用途：在内网发现 SCCM/MECM/ConfigMgr 基础设施（站点服务器、MP、DP）后，提供从侦察到接管的攻击方法论。触发场景包括 DNS 枚举发现 _mssms_mp 或 _mssms_sul SRV 记录、BloodHound/LDAP 发现 mSSMSManagementPoint 对象等。
主要能力：Phase 1 侦察（DNS SRV 查询、LDAP 枚举、sccmhunter 自动侦察、本地站点信息、PXE 探测）；Phase 2 凭证获取（NAA 提取、PXE 启动介质密码、DPAPI 本地提取、WMI 查询、DP 文件搜刮）；Phase 3 权限提升（Client Push 强制认证 relay、MSSQL relay 注入管理员、AdminService relay、Passive→Active relay）；Phase 4 横向移动（应用部署、PowerSCCM、CMScript、AdminService API）；Phase 5 层级接管（CAS 自动传播、跨站点 AdminService relay）。
使用方式：需域用户凭证（部分技术支持匿名或机器账号），工具包括 SharpSCCM、sccmhunter、SCCMSecrets、pxethiefy、cmloot、ntlmrelayx 等；网络需可达 MP/DP（TCP 80/443）、Site DB（1433）、SMS Provider（443）。示例命令如 sccmhunter.py find -u $USER -p $PASSWORD -d $DOMAIN -dc-ip $DC_IP、SharpSCCM.exe local site-info、ntlmrelayx.py -t 'http://$MP_IP/ccm_system_windowsauth/request' -smb2support --sccm-policies。
限制：ConfigMgr 2509+ 默认拒绝 AdminService 上的 NTLM 认证，相关技术仅适用于早期版本；SMB 签名、EPA 会阻碍 relay；HTTPS MP 需 PKI 证书；站点未配置 NAA 时提取为空。具体环境适配与授权要求暂未提供。