用户、计算机、组、OU、GPO 和证书模板等 AD 对象，都通过安全描述符记录访问权限。权限配置不当时，普通账户可能获得修改组成员、重置其他账户密码、写入认证凭据，甚至复制域凭据的能力。 分析这类路径，需要把两件事连起来：当前主体对对象拥有什么有效权限，以及服务端如何处理获准的操作。 例如，写组的 member 可以改变成员关系；写 service…