Question

关于局域网内管理员的权限调整问题，详见问题补充，高手进！！！！！！！！！！！！ 回答得好有追加！

我们学校的电脑组成了局域网，我拥有一个域的管理员账号，但是有些问题：
1.我利用管理员账号在某子机登陆，并给一个受限账户提权为Administrator权限,结果该账号在原子机登陆时权限为Administrator（同一个域登陆），但是在其他处于同一个域下的子机登录时，权限还是受限账户，这是什么回事？如何才能把该受限账户提权为整个域的管理员，即在任何子机登陆都是管理员权限？
2.我在某个子机登陆老师账号时，中心主机是否会有记录？假如有，老师可不可以追踪到该子机的位置？

Answer 1

1.我利用管理员账号在某子机登陆，并给一个受限账户提权为Administrator权限,结果该账号在原子机登陆时权限为Administrator（同一个域登陆），但是在其他处于同一个域下的子机登录时，权限还是受限账户，这是什么回事？

答：这涉及到本地用户组和域用户组的两个概念，本地用户存储在本地，域用户存储再域控制器上。你给一个受限帐号提升权限为administrators时，是提升到本地的管理员组，只有在本地生效，再其他计算机不生效。

如何才能把该受限账户提权为整个域的管理员，即在任何子机登陆都是管理员权限？

答：在域控制器上把这个用户加入到域管理员组，即可在所有已经加入域的计算机上登录，并且具有管理员组的权限，但是这样的做法是不安全的，普通用户不应该具有域管理员权限。

2.我在某个子机登陆老师账号时，中心主机是否会有记录？假如有，老师可不可以追踪到该子机的位置？

答：如果域的策略设置了登录审核，那么你的登录行为是会被记录的，并且可以记录登录的用户，时间，计算机等信息。

先吃饭去了，有不明白的，你再追问。

追问

1.那么域控制器是怎样的？如何操作？还是在特定的机子上才能设定？（比如电脑老师的电脑……）2.且在我们上电脑课的机房的电脑上面都安装了学生控制系统（但所在的域是相同的），那么在那上面登陆某个老师账号，会不会被客户端发现（因为上次我在机房里面登陆了一个老师账号，过了两天就封号了，是这个原因吗？）3.在任意子机上面改某个账户密码，那么在其他子机上密码是否会变？（脑残了，问一下……） 答的好，继续追加分数

追答

追问1.那么域控制器是怎样的？如何操作？还是在特定的机子上才能设定？（比如电脑老师的电脑……）

域控制器 Domain Controller 简称DC

在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作。
必须要再特定的域控制器上才能够添加帐号和管理分组。
老师的机器是不是域控，要视具体情况而定，一般校园机房没有把教师机作为域控制器的，但是如果是实验机房就不一定了，可能教师为了方便演示，就会在教师搭建一个小型的域，而他自己的主机作为域控制器。

详见百度百科“域控制器” http://baike.baidu.com/view/1218493.htm

2.且在我们上电脑课的机房的电脑上面都安装了学生控制系统（但所在的域是相同的），那么在那上面登陆某个老师账号，会不会被客户端发现（因为上次我在机房里面登陆了一个老师账号，过了两天就封号了，是这个原因吗？）

这个问题上面已经说过了，要看域策略是否开启了账户登录审核策略。
有的学生控制系统也包含账户登录审核的功能 ，也会记录相应的登录事件。
所以很有可能是被发现了，然后教师更改了他的帐号密码。

3.在任意子机上面改某个账户密码，那么在其他子机上密码是否会变？（脑残了，问一下……）

看你改的是什么密码了，如果是本地用户的密码只有在本地生效，如果是域用户的密码，则在域中的所有计算机上都生效，
因为本地用户是在本地计算机上验证 密码的，而域账户是在域控制器上验证密码的。

^_^ 觉得说的还算有道理就多给点分吧，我打算换那个百度鼠标垫。

追问

那么在现有状况下，如何才能不被发现呢？比如说登陆（真是抱歉，问了那么多问题，不过问完之后一定追加50或以上，谢谢）

追答

那么在现有状况下，如何才能不被发现呢？比如说登陆

1)如果是学生控制系统记录下你的登录行为比较好办，因为学生控制系统一般都会在主机上安装一个代理，用来收集系统数据，发送给控制系统的主服务器以便记录相应的行为，所以取得本地系统的管理员权限，然后想办法搞定学生控制系统的代理，让它不能正常工作，或者直接给卸载掉。

但是这么做又衍生出一个问题，就是如果学生控制系统的代理不工作了一段事件之后，控制系统的主服务器会认为这台主机处于失控状态，也同样会有一个失控的记录。

除非，你把这个代理给翻编译破解掉，或真是抱歉，问了那么多问题，不过问完之后一定追加50或以上，谢谢）者能拿到程序的源代码，对源代码修改，让他既不被主控服务器发现处于失控状态，又不记录你未经授权的行为。o(∩∩)o...哈哈，能达到这个水平的人都不会在百度混的。

话又说回来哈，即使被学生控制系统记录下来你未经授权的行为，全校有那么多太机器，老师也不一定能马上发现，发现了也不一定马上处理，现实中，这种事可大可小的，一般不会引起网络管理员的关注，大家都是多一事不如少一事。

2）如果是域策略的开启了登录审核，那就比较困难了，首先你需要取得域管理员的权限，然后为自己创建一个帐号，这个帐号最好让人看起来跟系统帐号差不多，提升自己的帐号到管理员组，然后你就可以通过这个帐号为所欲为了。在一个严谨的域中，用户的所有登录行为都会被记录，而你取得了管理员权限的帐号之后能做的就是可以删除日志中自己登录的日志条目，这样看起来就跟没登录过一样。

骚年，这里边的学问大着呢，我也只窥得一二。

最后讲一句，我们学习计算机网络安全的目的，是为了能使我们的计算机网路更安全，只有知道了如何去攻击一个网路，才能做好如何给一个网络做安全管理，不要企图破坏你们校园网。

鄙视一切非正义的黑客行为！！！

告诉你一个秘密，我喜欢一个叫“静”的姑娘。

Answer 2

1. 看不懂
2.有记录，并能查看登录的ip地址及pc的mac

追问

那么我利用管理员账号在某子机登陆，并给一个受限账户提权为Administrator权限,结果该账号在原子机登陆时权限为Administrator（同一个域登陆），但是在其他处于同一个域下的子机登录时，权限还是受限账户，这是什么回事？如何才能把该受限账户提权为整个域的管理员，即在任何子机登陆都是管理员权限？

Answer 3

权限要在域里添加！

追问

那么怎么添呢？

追答

AD里面。

Answer 4

是啥软件呢？