AD AutoPwn

من الصفر إلى مدير المجال — سلسلة هجوم آلية على Active Directory

أداة اختبار اختراق آلية بالكامل تربط أكثر من 25 تقنية هجوم لاختراق بيئات Active Directory. مصممة لتقييمات الأمن المصرح بها.

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ من الصفر إلى مدير المجال — سلسلة هجوم
    اكتشاف | تنصت | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roast
    BloodHound | انعكاس | نهب | RBCD+KCD | DCSync | DPAPI

الميزات

اكتشاف اسم المستخدم وبيانات الاعتماد قبل المصادقة (بدون أي بيانات اعتماد)

• kerbrute تعداد المستخدمين عبر KRB-AS-REQ (آمن ضد قفل الحساب)
• CLDAP NetLogon ping تعداد أسماء المستخدمين (آمن ضد قفل الحساب)
• AS-REP roast لجميع المرشحين (تجزئات مجانية للحسابات التي تحتوي على DONT_REQ_PREAUTH)
• اختبار pre2k التلقائي (أجهزة متوافقة مع Windows 2000 بكلمة مرور افتراضية)
• رش كلمة مرور واحدة (مراعي لقفل الحساب، اختياري عبر --spray-password)

هجمات الطبقة الثانية / السلبية بدون مصادقة

• التنصت السلبي على الشبكة — اكتشاف WPAD و WSUS و PXE و LLMNR و DHCPv6 و TFTP و SCCM ProxyDHCP
• انتحال ARP + ترحيل NTLM — التقاط تجزئات NTLMv2 وكسرها
• تسميم WPAD — اختطاف DNS عبر IPv6 باستخدام mitm6 / Responder
• ترحيل WSUS — اعتراض مصادقة NTLM لتحديثات Windows (المنفذ 8530/8531)
• سرقة بيانات اعتماد الإقلاع PXE — استخراج بيانات الاعتماد من صور الإقلاع عبر TFTP/WIM
• إسقاط ملفات سرقة NTLM — ملفات .library-ms / .theme / .url على مشاركات قابلة للكتابة
• إكراه WebDAV — ترحيل HTTP لـ WebClient → LDAP (تجاوز توقيع SMB)
• إكراه DHCP — ترحيل حساب جهاز خادم DHCP

تجاوز انعكاس المصادقة (Synacktiv 2026)

• CVE-2025-58726 ghost-SPN انعكاس Kerberos AP-REQ (يتم إطلاقه تلقائيًا بواسطة إجراء BloodHound التلقائي)
• CVE-2026-24294 LPE — انعكاس SMB على منفذ TCP عشوائي (Win11 24H2 / Server 2025 قبل مارس 2026)
• CVE-2026-26128 LPE — حلقة Kerberos مغلقة عبر SPN Unicode
• التراجع إلى Unicode-SPN عند تصحيح مسار CVE-2025-33073

جمع بيانات الاعتماد (بعد المصادقة)

• Kerberoasting — استخراج تجزئات SPN وكسرها تلقائيًا (وضع hashcat 13100/19700)
• AS-REP Roasting — كسر حسابات بدون مصادقة مسبقة (وضع hashcat 18200)
• Timeroast — تجزئات SNTP-MS من أي جهاز منضم للمجال (وضع hashcat 31300)
• استعادة كلمة مرور LAPS + سمة userPassword LDAP + كلمات مرور مسربة في الوصف (مستخلصة من بطارية nxc التجميعية)
• سرقة SCCM NAA — استخراج بيانات اعتماد حساب الوصول إلى الشبكة عبر sccmhunter

سلاسل هجوم مدفوعة بالرسم البياني (BloodHound)

• جمع bloodhound-python -c All + تحليل ZIP
• نتائج عالية القيمة — مسؤولو المجال/المؤسسة/المخطط، قابل للـ Kerberoast، قابل للـ AS-REP roast، تفويض غير مقيد، RBCD وارد، LAPS، AdminCount
• تحليل الحواف القابلة للتنفيذ — إغلاق المدير الخاضع للتحكم (أنت + عضويات المجموعات المتعدية) → حواف ACE حيث تكون أنت المدير: WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• سلسلة إجراءات تلقائية — إطلاق البدائيات المطابقة تلقائيًا:
  • WriteSPN → ترقية ghost-SPN (CVE-2025-58726)
  • AddKeyCredentialLink → ظل بيانات الاعتماد → PKINIT → تجزئة NT
  • GenericAll / WriteAccountRestrictions على Computer → سلسلة RBCD → TGS مدير

بدائيات تصعيد الامتيازات

• استغلال AD CS — ESC1-ESC16 عبر certipy (تعداد تلقائي + استغلال)
  • ESC8 (ترحيل التسجيل عبر الويب)
  • ESC9/ESC10 تبديل UPN (تجاوز CVE-2022-26923)
  • ESC4 تعديل القالب+استغلال+استعادة (آمن لمسار العمل الحالي)
  • تعداد Certihound مع تراجع إلى certipy (مصادقة بتجزئة NT)
• ظل بيانات الاعتماد — msDS-KeyCredentialLink عبر ntlmrelayx أو pywhisker
• إساءة استخدام RBCD — التفويض المقيد المستند إلى المورد (إضافة جهاز + S4U2Self + S4U2Proxy)
• منسق سلسلة RBCD+KCD — كتابة SPN كاملة → ghost-SPN → RBCD → S4U2Proxy → إعادة كتابة -altservice، في مرحلة واحدة
• إعادة كتابة sname TGS (تجاوز انتقال بروتوكول KCD على غرار tgssub) — مستقل أو مضمّن عبر -altservice
• Dollar Ticket — إعادة محاولة اللاحقة $ التلقائية من KDC عند البحث عن المدير → TGT لمستخدم Linux عبر حساب جهاز <user>$ تم إنشاؤه تلقائيًا → GSSAPI SSH
• إساءة استخدام GPO — مهمة مجدولة كـ SYSTEM عبر pyGPOAbuse

اختراق المجال

• DCSync — تفريغ كامل لتجزئات المجال عبر impacket-secretsdump
• مفتاح احتياطي DPAPI — استخراج مفتاح DPAPI للمجال لفك تشفير بيانات الاعتماد دون اتصال
• تجاوز AppLocker — LOLBins (mshta, certutil, regsvr32, إلخ) + تسليم موقع عبر WSUS
• حقن تحديث WSUS — دفع تحديثات Windows ضارة عبر wsuks

نهب ما بعد الاستغلال

• حصاد سطر أوامر العمليات — Get-CimInstance Win32_Process عبر nxc -x; تعبيرات منتظمة لكلمات المرور في mysql/sqlcmd/runas/KeePass/علامات --password
• اكتشاف خزائن KeePass + كسرها — العثور على *.kdbx في C:\Users، تنزيل عبر smbclient، keepass2john | hashcat -m 13400

الاستخدام

# آلي بالكامل — سلسلة بدون بيانات اعتماد (يكتشف كل شيء تلقائيًا)
sudo ./ad-autopwn.py

# مع بيانات الاعتماد — سلسلة كاملة
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# معامل AWS / VPC (هجمات الطبقة الثانية محظورة) — الاكتشاف التلقائي ما زال يعمل
sudo ./ad-autopwn.py --no-arp --no-wpad

# اكتشاف بيانات الاعتماد قبل المصادقة (آمن ضد قفل الحساب)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# جمع رسم بياني لـ BloodHound + تحليل تلقائي للقيم العالية
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# Dollar Ticket — TGT لـ 'root' عبر حساب جهاز root$ تم إنشاؤه تلقائيًا
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# سلسلة RBCD+KCD — ghost-SPN كامل + RBCD + إعادة كتابة altservice، لقطة واحدة
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# تجاوز AppLocker
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# تشغيل جاف (طباعة كل أمر، لا تنفيذ — حتى العمليات الخلفية)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

المراحل المتاحة