SID history
El atributo que permite a una cuenta conservar sus identificadores antiguos tras una migración de dominio. Si se escribe un valor privilegiado ahí, la cuenta obtiene ese acceso sin aparecer en ningún grupo.
Durante una migración, las listas de control de acceso de los servidores de archivos siguen apuntando a los SID antiguos de los usuarios, y reescribirlas todas es inviable. La solución es que la cuenta nueva lleve consigo sus identificadores antiguos en sIDHistory, que se tienen en cuenta al evaluar el acceso. El abuso es directo: si un atacante escribe el RID 512 del dominio — Domain Admins — en el atributo de una cuenta que controla, esa cuenta obtiene privilegios de administrador mientras sus pertenencias a grupos parecen completamente normales a simple vista. Eso hace la técnica popular para persistencia a largo plazo. El filtrado de SID existe para frenar esto entre confianzas de dominios distintos, pero está desactivado dentro de un mismo bosque.