AdminSDHolder
Het object waarvan de toegangscontrolelijst als sjabloon dient voor elk bevoorrecht account in het domein. Een achtergrondproces stempelt het elk uur terug – inclusief wat een aanvaller erin heeft gezet.
De functie bestaat met een goede reden. Zonder zou een beheerder met beperkte rechten blijvende rechten op een account in Domain Admins kunnen krijgen en die houden. Daarom draait het SDProp-proces op de domeincontroller elke zestig minuten en overschrijft het de toegangscontrolelijst van elk beschermd object met het AdminSDHolder-sjabloon, waarbij het object met adminCount wordt gemarkeerd.
Het misbruik is het spiegelbeeld: wie schrijftoegang tot het sjabloon zelf weet te krijgen, zet daar een eigen recht neer, en binnen een uur staat dat op elk bevoorrecht account in het domein – en wordt het daarna elk uur opnieuw aangebracht, zelfs als iemand het met de hand opruimt. Klassieke persistentie en een vast punt bij elke review.