How do I install the Hunting For Dcsync Attacks skill?

Run npx skillmds@latest add killvxk/hunting-for-dcsync-attacks in your terminal (requires Node.js), paste this page's agent-chat prompt into Claude, Cursor, or any MCP-connected agent, or download the SKILL.md file and copy it into your agent's skills directory.

What does the Hunting For Dcsync Attacks skill do?

通过分析 Windows 事件 ID 4662，检测非域控制器账户发起的未授权 DS-Replication-Get-Changes 请求，从而发现 DCSync 攻击。 It is listed under Coding & Dev Tools on SkillMD.

Is Hunting For Dcsync Attacks safe to use?

This skill has not completed SkillMD's automated safety review yet. SkillMD never runs a skill's scripts for you; review the SKILL.md before installing.

Which AI agents work with Hunting For Dcsync Attacks?

This skill is tagged as working with Claude Code, Claude.ai, OpenAI Codex. SKILL.md is an open format, so most agents that read a skills directory can load it too.

Is Hunting For Dcsync Attacks free to use?

Yes. Installing skills from SkillMD is free. This skill is licensed under Apache-2.

Who published Hunting For Dcsync Attacks?

killvxk (@killvxk) published this skill. Their other Agent Skills are listed on their SkillMD profile.

Hunting For Dcsync Attacks by killvxk

Name: Hunting For Dcsync Attacks
Author: killvxk

File contents

狩猎 DCSync 攻击

适用场景

狩猎 DCSync 凭据窃取行为（MITRE ATT&CK T1003.006）时
在环境中检测到 Mimikatz 或类似工具后
涉及 Active Directory 失陷的事件响应期间
监控未授权的域复制请求时
紫队演练测试 AD 攻击检测时

前置条件

启用 Windows 安全事件日志转发（事件 ID 4662）
通过组策略启用"审核目录服务访问"
在域对象上配置域计算机 SACL 以检测机器账户
已接入 Windows 事件数据的 SIEM（Splunk、Elastic、Sentinel）
了解合法的域控制器账户和复制伙伴

工作流程

启用审计：确保在域控制器上启用"审核目录服务访问"。
收集事件：收集 AccessMask 为 0x100（控制访问）的 Windows 事件 ID 4662。
过滤复制 GUID：搜索 DS-Replication-Get-Changes 和 DS-Replication-Get-Changes-All。
识别非 DC 来源：标记 SubjectUserName 非域控制器机器账户的事件。
关联网络数据：将源 IP 与已知 DC 地址进行交叉比对。
验证发现：排除合法的复制工具（Azure AD Connect、SCCM）。
响应：禁用失陷账户、重置 krbtgt、调查横向移动。

核心概念

概念	描述
DCSync	滥用 AD 复制协议提取密码哈希的技术
事件 ID 4662	目录服务访问审计事件
DS-Replication-Get-Changes	GUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
DS-Replication-Get-Changes-All	GUID 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
AccessMask 0x100	控制访问权限，表示扩展权限验证
T1003.006	OS 凭据转储：DCSync

工具与系统

工具	用途
Windows 事件查看器	直接分析事件日志
Splunk	事件 4662 的 SIEM 关联分析
Elastic Security	DCSync 模式检测规则
Mimikatz lsadump::dcsync	执行 DCSync 的攻击工具
Impacket secretsdump.py	基于 Python 的 DCSync 实现
BloodHound	识别具有复制权限的账户

输出格式

狩猎 ID：TH-DCSYNC-[日期]-[序号]
技术：T1003.006
域控制器：[DC 主机名]
主体账户：[执行复制的账户]
源 IP：[非 DC IP 地址]
访问的 GUID：[复制 GUID]
风险等级：[严重/高/中/低]
建议操作：[禁用账户、重置 krbtgt、展开调查]

---name: hunting-for-dcsync-attacksdescription: 通过分析 Windows 事件 ID 4662，检测非域控制器账户发起的未授权 DS-Replication-Get-Changes 请求，从而发现 DCSync 攻击。license: Apache-2.0---# 狩猎 DCSync 攻击## 适用场景- 狩猎 DCSync 凭据窃取行为（MITRE ATT&CK T1003.006）时- 在环境中检测到 Mimikatz 或类似工具后- 涉及 Active Directory 失陷的事件响应期间- 监控未授权的域复制请求时- 紫队演练测试 AD 攻击检测时## 前置条件- 启用 Windows 安全事件日志转发（事件 ID 4662）- 通过组策略启用"审核目录服务访问"- 在域对象上配置域计算机 SACL 以检测机器账户- 已接入 Windows 事件数据的 SIEM（Splunk、Elastic、Sentinel）- 了解合法的域控制器账户和复制伙伴## 工作流程1. **启用审计**：确保在域控制器上启用"审核目录服务访问"。2. **收集事件**：收集 AccessMask 为 0x100（控制访问）的 Windows 事件 ID 4662。3. **过滤复制 GUID**：搜索 DS-Replication-Get-Changes 和 DS-Replication-Get-Changes-All。4. **识别非 DC 来源**：标记 SubjectUserName 非域控制器机器账户的事件。5. **关联网络数据**：将源 IP 与已知 DC 地址进行交叉比对。6. **验证发现**：排除合法的复制工具（Azure AD Connect、SCCM）。7. **响应**：禁用失陷账户、重置 krbtgt、调查横向移动。## 核心概念| 概念 | 描述 ||------|------|| DCSync | 滥用 AD 复制协议提取密码哈希的技术 || 事件 ID 4662 | 目录服务访问审计事件 || DS-Replication-Get-Changes | GUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2 || DS-Replication-Get-Changes-All | GUID 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2 || AccessMask 0x100 | 控制访问权限，表示扩展权限验证 || T1003.006 | OS 凭据转储：DCSync |## 工具与系统| 工具 | 用途 ||------|------|| Windows 事件查看器 | 直接分析事件日志 || Splunk | 事件 4662 的 SIEM 关联分析 || Elastic Security | DCSync 模式检测规则 || Mimikatz lsadump::dcsync | 执行 DCSync 的攻击工具 || Impacket secretsdump.py | 基于 Python 的 DCSync 实现 || BloodHound | 识别具有复制权限的账户 |## 输出格式```狩猎 ID：TH-DCSYNC-[日期]-[序号]技术：T1003.006域控制器：[DC 主机名]主体账户：[执行复制的账户]源 IP：[非 DC IP 地址]访问的 GUID：[复制 GUID]风险等级：[严重/高/中/低]建议操作：[禁用账户、重置 krbtgt、展开调查]```

Frequently asked questions

Hunting For Dcsync Attacks