SYSVOL

Définition

SYSVOL (System Volume) est un partage réseau présent sur chaque contrôleur de domaine Active Directory, accessible par défaut en lecture à l'ensemble des utilisateurs authentifiés du domaine, stockant les fichiers constitutifs des stratégies de groupe (GPO), les scripts de connexion (logon scripts) et les modèles de sécurité applicables au domaine. Le contenu de SYSVOL est synchronisé entre tous les contrôleurs de domaine via le service DFS Replication (DFS-R), garantissant que chaque DC applique une version identique et à jour des GPO, quel que soit celui auquel un client s'adresse pour son authentification ou l'application de ses stratégies. Cette large accessibilité en lecture, nécessaire au bon fonctionnement du domaine, en fait également une source d'exposition documentée : des scripts de connexion contenant historiquement des mots de passe en clair, une pratique aujourd'hui proscrite mais encore rencontrée dans certains environnements legacy, restent lisibles par tout utilisateur du domaine et constituent une source classique de compromission de compte lors d'un pentest. Sur le plan offensif, des permissions d'écriture excessives sur SYSVOL ou sur le partage NETLOGON qu'il contient permettraient l'injection de scripts malveillants exécutés à l'échelle de tout le domaine lors de la prochaine ouverture de session des utilisateurs concernés, un scénario d'attaque à impact maximal justifiant un contrôle strict des permissions déléguées sur ce partage.