SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场ad-pentest

ad-pentest

安全与审计

查看项目

更新于 10-16 05:38

技能介绍

用途

ad-pentest 是一个结构化的 Active Directory 渗透测试技能，用于在获得授权的环境中对 Windows/AD 域开展内部渗透测试。其典型使用场景包括：对 Windows/AD 环境执行经授权的内部渗透测试；为红队或安全评估项目评估 AD 攻击面；验证防御控制措施（如层级化管理、LAPS、Protected Users、Credential Guard）；生成 BloodHound 攻击路径数据以支持修复优先级排序。

该技能在文档中明确标注「AUTHORIZED TESTING ONLY（仅限授权测试）」，说明所有技术仅可用于已获得书面授权的环境，未授权使用属于违法行为。

主要能力

技能按照六个阶段展开：

  1. 未认证枚举：通过 DNS SRV 记录发现域控、检查 SMB 签名、检查 LDAP 匿名绑定、通过空会话获取密码策略、以及使用 kerbrute 进行 Kerberos 用户枚举；同时包含 LLMNR/NBT-NS 投毒的检测就绪检查（仅分析模式，未授权不得启动 Responder）。
  2. 认证枚举（BloodHound）：使用 bloodhound-python 收集全部方法的数据并打包为 ZIP，执行 LDAP 域转储、GPO 枚举、SPN 枚举（Kerberoastable 账户）、AS-REP Roasting 候选账户枚举，以及使用 Certipy 枚举 ADCS 证书模板中的易受攻击项。
  3. 凭证攻击：包含密码喷洒（需先确认锁定阈值，默认每 30 分钟 1 次尝试）、破解 Kerberoast 哈希（hashcat 模式 13100）、破解 AS-REP 哈希（hashcat 模式 18200）、NTLM 中继（ntlmrelayx）设置说明，以及 GPP cPassword（MS14-025）检查。
  4. 提权分析：汇总 Certipy 的 ADCS ESC 漏洞发现，并提示加载 BloodHound 数据运行到 DA/EA 的最短路径查询。文档指出 Kerberos 委派滥用、基于 ACL 的提权路径以及 ADCS ESC1–ESC11 变体参见 REFERENCE.md。
  5. 横向移动评估：对范围内的主机进行 WinRM 可达性检查；PtH、PtT、Overpass-the-Hash、远程执行、DCOM 等横向移动技术命令同样参见 REFERENCE.md。
  6. 生成发现报告：将各阶段输出合并为一份包含授权声明、攻击路径与修复指导的报告。文档指出修复指导（Tier 0 加固、Kerberos、ADCS、凭证保护、ACL 卫生、关键监控事件 ID）参见 REFERENCE.md。

使用方式

通过环境变量配置目标与凭证：

  • SECSKILL_DC_IP（必填）：域控 IP 地址
  • SECSKILL_DOMAIN（必填）：目标域 FQDN，例如 corp.example.com
  • SECSKILL_DOMAIN_SHORT（可选）：NetBIOS 域名，例如 CORP
  • SECSKILL_AD_USER（可选）：认证域用户名（阶段 2–6）
  • SECSKILL_AD_PASS（可选）：认证域密码
  • SECSKILL_AD_HASH（可选）：pass-the-hash 使用的 NTLM 哈希（格式 LM:NT）
  • SECSKILL_OUTPUT_DIR（可选）：结果目录，默认 ./output

前置依赖安装命令（技能中给出）：

pip install impacket ldapdomaindump bloodhound certipy-ad crackmapexec
go install github.com/ropnop/kerbrute@latest
git clone https://github.com/lgandx/Responder /opt/Responder

BloodHound（GUI + neo4j）需从发布页获取：https://github.com/BloodHoundAD/BloodHound/releases 。Windows 端采集可使用 SharpHound.exe / Rubeus.exe（授权实验室用途）。

完成标准（Done when）包括：阶段 1 未认证枚举输出已保存；阶段 2 已收集 BloodHound ZIP 并枚举 ADCS 模板；阶段 3 已捕获 Kerberoast/AS-REP 哈希（若存在相应账户）；阶段 4 已记录 ADCS ESC 发现与 ACL 提权路径；阶段 5 已对范围内主机检查横向移动可达性；合并报告已写入 $SECSKILL_OUTPUT_DIR。

限制与注意事项

  • 仅限获得书面授权时使用；所有技术都会生成 Windows 事件日志条目，可能被 EDR/SIEM 检测；开始前需记录交战规则（ROE）。
  • 密码喷洒可能导致账户锁定，需先核对锁定阈值。
  • NTLM 中继前需确认目标 SMB 签名已禁用（CrackMapExec 输出中 signing: False），否则中继会静默失败。
  • 若 LDAP 匿名绑定被禁用（2003+ 默认），需有效凭证，可直接跳到阶段 2。
  • 若未部署 ADCS 或无权限，可跳过 ADCS 阶段并在报告中说明。
  • 文档建议尽可能使用 certipy-ad（Python）而非 Certify.exe（C#），以避免在 Windows 上执行二进制文件触发 EDR。
  • 技能中记录了常见失败模式与应对，如 KRB_ERR_CLIENT_REVOKED（账户锁定）、模块缺失、SMB 超时等。
  • 关于收费、价格或具体平台支持范围，资料中暂未提供相关信息。