Write-Host 與 Write-Output

在練習 PowerShell 時, 看到兩個很類似的指令: Write-Host 與 Write-Output

查了一下微軟的說明:
Write-Host:

自定義輸出, 可以使用 ForegroundColor 參數指定文字的顏色, 也可以使用 BackgroundColor 參數指定背景顏色, 使用 Separator 參數可以指定一個字串來分隔顯示的物件

Write-Output:

將指定的物件發送到管道中(pipeline)的下一個命令, 如果該命令是管道中的最後一條命令, 則物件將顯示在控制台(console) (就是顯示在畫面上)

Write-Output沿主管道(或稱為"輸出流"或"成功管道")發送物件, 如要將錯誤物件發送到錯誤管道, 則使用Write-Error

此指令通常在指令碼中使用, 用以在控制台(console)上顯示字串和其他物件, 但是由於默認行為是在管道的末尾顯示物件, 因此通常不必使用指令, 例如 Get-Process | Write-Output 等於 Get-Process

網路小白7

我網站被攻擊的log

該不會是微信的相關企業吧? 資安做的這麼差.... IP我懶得遮了

網路小白6

本站被攻擊的log

對方網站完全沒設密碼...

將AD (Active Directory) 使用者及群組資料匯出的方法: 4.dsquery

Dsquery, 適用於 Windows Server 2003, Windows Server 2008, Windows Server 2003 R2, Windows Server 2008 R2, Windows Server 2012, Windows Server 2003 SP1, Windows 8

如同 dsget 一樣, dsquery 後面接上 OU 來使用, 例如: dsquery computer, dsquery user 等, 常用 dsquery * 查詢所有資料

雖然 dsquery 匯出的資料格式與 csvde 類似, 不過 dsquery 是用空格來做欄位分隔, 而不像 csvde 使用逗號來做欄位分隔, 利用上比較不方便

1. 使用 dsquery /? 呼叫說明

2. dsquery 指令加上方向(大於)符號可將資料輸出成檔案:
dsquery * OU=ou_name,DC=domain,DC=com > export.csv (或txt)

w-studio.idv.tw

將AD (Active Directory) 使用者及群組資料匯出的方法: 3.dsget

Dsget, 適用於 Windows Server 2003 及 SP1、R2, Windows Server 2008, Windows Server 2012, Windows 8

1. 指令通常會接上其他 OU 使用, 例如: dsget computer, dsget ou, dsget user 等

 w-studio.idv.tw
2. 不過 dsget 通常不會單獨使用, 會搭配 dsquery 再接管線直線符號( | )使用

參考資料: Windows Docs: Dsget

將AD (Active Directory) 使用者及群組資料匯出匯入的方法: 2.Ldifde

Ldifde, 適用於 Windows Server 2003及SP1, Windows Server 2008, Windows Server 2008 R2, Windows Server 2012, Windows 8

指令:
Ldifde [-i] [-f <FileName>] [-s <ServerName>] [-c <String1> <String2>] [-v] [-j <Path>] [-t <PortNumber>] [-d <BaseDN>] [-r <LDAPFilter>] [-p <Scope>] [-l <LDAPAttributeList>] [-o <LDAPAttributeList>] [-g] [-m] [-n] [-k] [-a <UserDistinguishedName> <Password>] [-b <UserName> <Domain> <Password>] [-?]

1. 使用 ldifde /? 呼叫說明

w-studio.idv.tw

將AD (Active Directory) 使用者及群組資料匯出匯入的方法: 1.Csvde

Csvde, 適用於 Windows Server 2003、SP1及 R2, Windows Server 2008及 R2, Windows Server 2012, Windows 8

指令:

Csvde [-i] [-f <FileName>] [-s <ServerName>] [-c <String1> <String2>] [-v] [-j <Path>] [-t <PortNumber>] [-d <BaseDN>] [-r <LDAPFilter>] [-p <Scope] [-l <LDAPAttributeList>] [-o <LDAPAttributeList>] [-g] [-m] [-n] [-k] [-a <UserDistinguishedName> {<Password> | *}] [-b <UserName> <Domain> {<Password> | *}]

1. 使用 csvde /? 呼叫說明

w-studio.idv.tw

AD (Active Directory) User and Computer使用者及電腦資料匯出

學習 Windows Server 2016 的 Active Directory 時, 發現教材上並沒有特別說明如何將 AD 使用者及電腦中的使用者及群組等一些 OU 資料匯出匯入, 而是使用 Windows Server Backup 來備份回復資料, 或是使用 PowerShell 來建立資料, 對於一些初學者來說只是要使用者資料可能會無法了解, 查了一下過去 Windows 2016 以前版本的做法, 有幾個 command-line 工具可以使用

1. Windows Server 的 AD 使用者及電腦中, 只有匯出的功能沒有匯入的功能, 而且欄位資料並不完整

 w-studio.idv.tw

Windows Server 2019

Windows Server 2016 都還沒玩熟咧結果 2019 就出來了, 不過現在好像只有內部工程師可以下載

網路小白5

其實不太想遮他的 IP, 不過他的漏洞實在太大了

使用PowerShell管理ADDS物件

1. 使用 PowerShell管理使用者

。New-ADUser: 建立使用者帳戶

。Set-ADUser: 修改使用者帳戶的屬性

。Remove-ADUser: 刪除使用者帳戶

。Set-ADAccountPassword: 重設使用者帳戶的密碼

。Set-ADAccountExpiration: 修改使用者帳戶的到期日

。Unlock-ADAccount: 當使用者帳戶因超過可接受的錯誤登入嘗試次數而被鎖定時, 解鎖該帳戶

。Enable-ADAccount: 啟用使用者帳戶

。Disable-ADAccount: 停用使用者帳戶

範例: New‑ADUser "Tom Cruise" ‑AccountPassword (Read‑Host ‑AsSecureString "Enter password") ‑Department ITw-studio.idv.tw

網路小白4

這IP今天攻擊了上百筆, 從搜尋的結果這個IP網段包含在澳洲、英國、中國？不能確定是哪來的, 但可以確定的是一個網路小白

建立組織單位OU及簡單設定委派權限

1. 於 ADDS主機上開啟 AD使用者和電腦, 於網域內新增一個組織單位OU, 暫命名 Kaohsiung模擬分公司

2. 接著於 Kaohsiung的 OU中新增 KHH Admins群組w-studio.idv.tw

委派ADDS物件的權限

1. 在 AD使用者和電腦的上方功能列, 動作項目中選擇委派控制

w-studio.idv.tw

2. 選擇好要委派的物件(群組、使用者、組織單位)後, 即可設定委派的工作

防止組織單位OU意外刪除

ADDS在建立物件時, 預設會將其設定保護以防止意外刪除, 如果沒有則自行在進階功能下開啟物件內容中的「物件」標籤裡勾選保護物件以防止被意外刪除

w-studio.idv.tw

或者使用 PowerShell指令啟用或停用保護:

Get-ADOrganizationalUnit –filter * -properties ProtectedFromAccidentalDeletion | where {$_.ProtectedFromAccidentalDeletion –eq $false} | Set-ADOrganizationalUnit –protectedFromAccidentalDeletion $true

ADDS的物件權限設定

1. 在還沒有開啟進階功能時, 查看物件內容是沒有權限設定功能

2. 在上方功能列中, 檢視項目裡選擇進階功能

w-studio.idv.tw

ADDS中規劃組織單位OU時的考量

在 ADDS中規劃組織單位(OU)是設計與管理網域結構的重要環節, 良好的 OU結構有助於簡化資源管理、群組原則(GPO)應用以及委派權限(Delegation of Control), 以下是規劃 OU結構時的重要考量因素:

1. 根據組織架構設計

。部門導向: 依照公司部門(如行銷部、財務部、IT部門)建立 OU, 方便管理不同部門的使用者與資源

。地理導向: 若組織跨多個地區可根據地點建立 OU(如台北、台中、高雄辦事處), 便於區域管理

。業務單位導向: 針對特定業務單位或專案團隊建立 OU, 有助於專案資源管理

w-studio.idv.tw

2. 根據物件類型設計

。使用者與電腦分離: 將使用者帳戶與電腦帳戶分開管理, 方便套用不同的群組原則(GPO)

。伺服器與用戶端分開管理: 不同類型的設備通常有不同的安全性需求與原則

。群組OU: 若組織內群組數量龐大, 將其集中管理可簡化權限分配

電腦帳戶和安全通道

在 ADDS中, 電腦帳戶(Computer Account)與安全通道(Secure Channel)有密切關係, 這兩者是維持網域中電腦與網域控制站之間安全通訊與信任的基礎

電腦帳戶(Computer Account):

。每當電腦被加入 AD網域時, 會在 AD中建立一個對應的電腦帳戶

。電腦帳戶類似於使用者帳戶, 但它代表整台電腦而非個別使用者

。每個電腦帳戶都有一組安全識別碼(SID)以及電腦密碼(Computer Password), 用來與網域控制站進行身份驗證w-studio.idv.tw

安全通道(Secure Channel):

。安全通道是網域成員電腦與網域控制站之間建立的加密通訊通道, 用來進行身份驗證、資源存取等操作

。此通道是使用 Kerberos或 NTLM協定進行加密, 確保通訊安全

檢查安全通道

ADDS中的電腦物件(Computer)

在 Active Directory(AD) 中, 電腦(Computer)是一個預設的容器, 用來存放加入網域的電腦帳戶, 當新電腦加入網域後, 該電腦的帳戶會自動被建立並放置在「Computers」這個容器裡, 除非有特別指定要放在其他的組織單位(OU), 之後系統管理員再依需求將電腦帳戶移到適當的 OU, 以便進行更細緻的原則管理或權限設定w-studio.idv.tw

主要功能:

1. 集中管理電腦帳戶: 讓系統管理員可以在網域內統一管理所有的電腦, 包括設定權限、應用群組原則(Group Policy)、部署軟體等

2. 安全性與存取控制: 電腦帳戶也有自己的安全性描述(Security Descriptor), 可以設定哪些使用者或群組可以對這台電腦執行特定的操作

3. 群組原則應用: 儘管 Computers是個容器不是 OU, 但仍然可以透過群組原則物件 (GPO)來對容器內的電腦帳戶套用各種原則

4. 帳戶驗證: 電腦帳戶負責在電腦開機並登入網域時, 進行身份驗證以確保電腦是網域中的合法成員

電腦容器 vs. 組織單位

。容器(Container): 像是 Computers這種預設容器只能透過指令或工具來搬移物件, 功能比較基本無法細緻地套用群組原則

。組織單位(OU): 更靈活, 可用來組織和管理各種 AD物件, 例如電腦、使用者、群組等, 並且可以直接在 OU上套用 GPO, 常見於企業依部門、地點或用途來分類管理電腦帳戶

網路小白3

試作新增群組及加入成員

1. 群組新增可以使用「AD使用者和電腦」或「AD管理中心」來建立, 先用「AD使用者和電腦」在 Managers的 OU 中新增一個群組

2. 輸入組織名稱, 群組領域圈選萬用(組織名稱建議用英文, 使用中文後面好像會有問題)

群組領域(Group Scopes)

在 Windows網域環境(Active Directory)中, 群組的群組領域(Group Scope)決定了該群組的可用範圍以及可加入的成員, Windows提供了四種類型的群組領域:

1. 本機群組(Local Group)

。適用範圍: 單一本機電腦

。成員: 可包含該電腦上的本機使用者帳戶、其他本機群組、網域帳戶(若電腦加入網域)

。用途: 主要用於獨立電腦的權限管理, 例如允許特定使用者存取某些檔案或資料夾

2. 網域本機群組(Domain-Local Group)

。適用範圍: 所在網域的任一台電腦

。成員: 可以包含任何類型的帳戶(包括同網域內的帳戶、其他群組甚至是其他網域的帳戶)

。用途: 主要用於資源權限管理, 例如在檔案伺服器上建立一個群組來控制檔案或資料夾的存取權限

3. 全域群組(Global Group)w-studio.idv.tw

。適用範圍: 整個網域, 可以被指派給任何資源(如共享資料夾、印表機等)

。成員: 只能包含來自同一個網域的帳戶或其他全域群組

。用途: 通常用來組織使用者, 例如某部門全域群組內含所有的人員, 並授予該群組存取該部門資料的權限

4. 萬用群組(Universal Group)

。適用範圍: 整個 AD樹狀結構(樹系, Forest)

。成員: 可以包含來自不同網域的帳戶或群組(全域群組或其他萬用群組)

。用途: 通常用於跨網域的權限管理, 例如公司管理層萬用群組可包含來自不同網域的管理者帳戶, 並指派適當的權限

群組領域的選擇建議

。本機群組: 適用於單機環境, 如獨立伺服器或工作站

。網域本機群組: 用於資源存取權限管理, 適合指派 NTFS權限或共享權限

。全域群組: 用於組織同網域內的使用者, 適合作為存取控制的基本單位

。萬用群組: 適用於多網域環境, 可用於跨網域權限設定, 但管理成本較高

通常最佳操作:

。使用全域群組來組織使用者(如 IT部門群組)

。使用網域本機群組來授權資源存取(如財務文件存取權限群組)

。在多網域環境下, 使用萬用群組來統合權限

群組(Group)類型

在 Windows作業系統的環境中, 群組(Group)主要分為兩種類型: 發佈群組(Distribution Group)和安全性群組(Security Group), 以下是對這兩種類型的詳細說明:

1. 發佈群組(Distribution Group)

用途:

。主要用於電子郵件通訊, 方便將郵件發送給多個使用者

。此類型群組無法用於存取權限控管, 僅供電子郵件系統(如 Microsoft Exchange)使用

特點:

。用於郵件通訊: 可透過發佈群組的電子郵件地址一次性寄送郵件給所有成員

。無權限控制功能: 無法用來授予成員對檔案、資料夾或系統資源的存取權限

。AD管理: 可在 AD中建立及管理, 適用於企業內部郵件協作

。無法轉換為安全性群組: 不能直接變更為安全性群組w-studio.idv.tw

2. 安全性群組(Security Group)

用途:

。用於存取控制與權限管理, 可授予成員對於檔案、資料夾、網路資源等的存取權限

。也可用於電子郵件通訊(與發佈群組功能相同)

特點:

。用於存取控制: 允許 IT管理員對 Windows伺服器上的資源(如檔案共用、印表機、應用程式)設定存取權限

。具備郵件通訊功能: 在搭配電子郵件伺服器時也可用於群組郵件發送

。AD整合: 透過 AD能夠有效管理組織內部的資源存取權限

。可轉換為發佈群組: 若群組的安全性功能不再需要, 可變更為發佈群組

建立一個使用者範本及使用此範本新增使用者

1. 開啟 AD管理中心, 選擇某一OU(例Sales), 新增一個使用者

2. 建立一個使用者範本, 輸入帳戶名字, 使用者UPN, 密碼

w-studio.idv.tw

從 Web Log 學習系統漏洞 27 -kangle web server

除了 IIS、Apache、nginx 等之類的 web server, 今天認識了新的 kangle(不過也出來很久的樣子), 好像是中國的產品

什麼是使用者UPN尾碼登入

在使用者登入網域時會使用 domain\user 或 user@domain 兩種帳號登入方式, 而 UPN(User Principal Name)登入方式則是指 user@domain(UPN尾碼顯示)方式, UPN尾碼通常與網域名稱相同, 如果有另外的網域想使用則要在 Active Directory網域及信任中新增一組 UPN尾碼

w-studio.idv.tw

在AD中新增使用者帳戶

要在 AD中新增使用者帳戶有 4個方式:

1. 使用 Active Directory使用者和電腦

w-studio.idv.tw

2. 使用 Active Directory管理中心

3. 使用 PowerShell指令 New-ADUser

4. 使用命令提示字元 dsadd

ADDS的物件(object)

在 ADDS中, 物件是目錄中用來表示網路資源的單元, 這些資源可以是使用者、電腦、群組、組織單位等: