用途
本项目是 Active Directory 域环境攻击方法论与技能集合，核心理念是「拿下域控 = 控制整个网络」。适用于渗透测试场景中，当目标主机处于域环境时（systeminfo 显示 Domain 非 WORKGROUP）、发现 88/389/636 端口、或已获取到域用户凭据时使用。
主要能力与阶段划分
Phase 1：域环境确认与信息收集
- 确认域环境：使用 systeminfo、nltest、nslookup SRV 记录等命令。域控 IP 通常就是 DNS 服务器（ipconfig /all 中的 DNS Server）。
- 域枚举（无需凭据）：kerbrute 用户枚举、netexec LDAP 匿名绑定。
- 域深度枚举（需要域用户凭据）：netexec LDAP 枚举用户、net accounts 查看密码策略（含锁定阈值）、impacket-GetUserSPNs 枚举 SPN、bloodhound-python 收集 all 类数据。文档指出 BloodHound 能自动发现攻击路径，是域渗透最强大的工具。
Phase 2：攻击决策树
按所拥有的凭据类型给出路径：
- 无凭据 → AS-REP Roasting（针对无需预认证的用户）。
- 任意域用户 → Kerberoasting（SPN 服务账户）、密码喷洒（需先查锁定策略）、BloodHound 找攻击路径。
- 本地管理员 → SAM dump → PTH 横向 → 凭据复用。
- 域管权限 → DCSync 提取所有哈希。
- 发现委派/ACL 路径 → 委派攻击/ACL 滥用。
凭据复用
使用 netexec smb 对网段进行凭据复用与 PTH（Pass-the-Hash）。
工具速查
文档按场景列出推荐工具：域枚举（BloodHound、netexec）、票据攻击（impacket 套件）、密码破解（hashcat）、漏洞利用（certipy（ADCS）、zerologon 脚本）、NTLM 中继（ntlmrelayx + Responder）、证书攻击（certipy ESC1-ESC11）。
Password Spray 安全策略
检查域密码策略中的 Lockout duration（锁定时长/冷却时间），避免账户锁定影响可用性；了解 observation window（观察窗口）以掌握计数器重置时间。
工具替代与规避
SharpHound 可能被拦截（杀软/EDR），需要替代方案；LDAP 查询可远程执行，无需上传工具、不接触目标文件系统。
补充工具与命令示例
- bloodyAD：AD LDAP 操作，示例包含添加用户到组、修改 ACL（添加 GenericAll）、查询可写对象、修改密码。
- ldeep：LDAP 深度枚举，示例包含连接并枚举 all、枚举委派配置、枚举 SPN、枚举 ASREPRoast 用户、枚举信任关系。
- enum4linux-ng：SMB/RPC 枚举，示例包含完整枚举（用户、组、共享、策略、RID）、认证枚举、仅用户枚举。
- gMSADumper：gMSA 密码提取，示例导出 gMSA 账户密码。
深入参考
文档提供多个必须阅读的参考文件：域侦察环境搭建与初始枚举（references/ad-recon-setup.md）、认证后深度枚举方法（references/authenticated-enum.md）、密码喷洒/AS-REP Roasting/Kerberoasting 详细命令（references/credential-attacks.md）、委派攻击(RBCD)/ACL 滥用/DCSync/持久化（references/domain-escalation.md）、ZeroLogon 攻击与恢复（references/zerologon-attack.md，CVE-2020-1472）。
限制
文档未提供授权范围说明、适用平台版本、成功条件或效果保证，相关收费、价格与平台信息暂未提供。