AD AutoPwn

من الصفر إلى مدير المجال — سلسلة هجوم آلية على Active Directory

أداة اختبار اختراق آلية بالكامل تربط أكثر من 25 تقنية هجوم لاختراق بيئات Active Directory. مصممة لتقييمات الأمن المصرح بها.

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ من الصفر إلى مدير المجال — سلسلة هجوم
    اكتشاف | تنصت | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roast
    BloodHound | انعكاس | نهب | RBCD+KCD | DCSync | DPAPI

الميزات

اكتشاف اسم المستخدم وبيانات الاعتماد قبل المصادقة (بدون أي بيانات اعتماد)

• kerbrute تعداد المستخدمين عبر KRB-AS-REQ (آمن ضد قفل الحساب)
• CLDAP NetLogon ping تعداد أسماء المستخدمين (آمن ضد قفل الحساب)
• AS-REP roast لجميع المرشحين (تجزئات مجانية للحسابات التي تحتوي على DONT_REQ_PREAUTH)
• اختبار pre2k التلقائي (أجهزة متوافقة مع Windows 2000 بكلمة مرور افتراضية)
• رش كلمة مرور واحدة (مراعي لقفل الحساب، اختياري عبر --spray-password)

هجمات الطبقة الثانية / السلبية بدون مصادقة

• التنصت السلبي على الشبكة — اكتشاف WPAD و WSUS و PXE و LLMNR و DHCPv6 و TFTP و SCCM ProxyDHCP
• انتحال ARP + ترحيل NTLM — التقاط تجزئات NTLMv2 وكسرها
• تسميم WPAD — اختطاف DNS عبر IPv6 باستخدام mitm6 / Responder
• ترحيل WSUS — اعتراض مصادقة NTLM لتحديثات Windows (المنفذ 8530/8531)
• سرقة بيانات اعتماد الإقلاع PXE — استخراج بيانات الاعتماد من صور الإقلاع عبر TFTP/WIM
• إسقاط ملفات سرقة NTLM — ملفات .library-ms / .theme / .url على مشاركات قابلة للكتابة
• إكراه WebDAV — ترحيل HTTP لـ WebClient → LDAP (تجاوز توقيع SMB)
• إكراه DHCP — ترحيل حساب جهاز خادم DHCP

تجاوز انعكاس المصادقة (Synacktiv 2026)

• CVE-2025-58726 ghost-SPN انعكاس Kerberos AP-REQ (يتم إطلاقه تلقائيًا بواسطة إجراء BloodHound التلقائي)
• CVE-2026-24294 LPE — انعكاس SMB على منفذ TCP عشوائي (Win11 24H2 / Server 2025 قبل مارس 2026)
• CVE-2026-26128 LPE — حلقة Kerberos مغلقة عبر SPN Unicode
• التراجع إلى Unicode-SPN عند تصحيح مسار CVE-2025-33073

جمع بيانات الاعتماد (بعد المصادقة)

• Kerberoasting — استخراج تجزئات SPN وكسرها تلقائيًا (وضع hashcat 13100/19700)
• AS-REP Roasting — كسر حسابات بدون مصادقة مسبقة (وضع hashcat 18200)
• Timeroast — تجزئات SNTP-MS من أي جهاز منضم للمجال (وضع hashcat 31300)
• استعادة كلمة مرور LAPS + سمة userPassword LDAP + كلمات مرور مسربة في الوصف (مستخلصة من بطارية nxc التجميعية)
• سرقة SCCM NAA — استخراج بيانات اعتماد حساب الوصول إلى الشبكة عبر sccmhunter

سلاسل هجوم مدفوعة بالرسم البياني (BloodHound)

• جمع bloodhound-python -c All + تحليل ZIP
• نتائج عالية القيمة — مسؤولو المجال/المؤسسة/المخطط، قابل للـ Kerberoast، قابل للـ AS-REP roast، تفويض غير مقيد، RBCD وارد، LAPS، AdminCount
• تحليل الحواف القابلة للتنفيذ — إغلاق المدير الخاضع للتحكم (أنت + عضويات المجموعات المتعدية) → حواف ACE حيث تكون أنت المدير: WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• سلسلة إجراءات تلقائية — إطلاق البدائيات المطابقة تلقائيًا:
  • WriteSPN → ترقية ghost-SPN (CVE-2025-58726)
  • AddKeyCredentialLink → ظل بيانات الاعتماد → PKINIT → تجزئة NT
  • GenericAll / WriteAccountRestrictions على Computer → سلسلة RBCD → TGS مدير

بدائيات تصعيد الامتيازات

• استغلال AD CS — ESC1-ESC16 عبر certipy (تعداد تلقائي + استغلال)
  • ESC8 (ترحيل التسجيل عبر الويب)
  • ESC9/ESC10 تبديل UPN (تجاوز CVE-2022-26923)
  • ESC4 تعديل القالب+استغلال+استعادة (آمن لمسار العمل الحالي)
  • تعداد Certihound مع تراجع إلى certipy (مصادقة بتجزئة NT)
• ظل بيانات الاعتماد — msDS-KeyCredentialLink عبر ntlmrelayx أو pywhisker
• إساءة استخدام RBCD — التفويض المقيد المستند إلى المورد (إضافة جهاز + S4U2Self + S4U2Proxy)
• منسق سلسلة RBCD+KCD — كتابة SPN كاملة → ghost-SPN → RBCD → S4U2Proxy → إعادة كتابة -altservice، في مرحلة واحدة
• إعادة كتابة sname TGS (تجاوز انتقال بروتوكول KCD على غرار tgssub) — مستقل أو مضمّن عبر -altservice
• Dollar Ticket — إعادة محاولة اللاحقة $ التلقائية من KDC عند البحث عن المدير → TGT لمستخدم Linux عبر حساب جهاز <user>$ تم إنشاؤه تلقائيًا → GSSAPI SSH
• إساءة استخدام GPO — مهمة مجدولة كـ SYSTEM عبر pyGPOAbuse

اختراق المجال

• DCSync — تفريغ كامل لتجزئات المجال عبر impacket-secretsdump
• مفتاح احتياطي DPAPI — استخراج مفتاح DPAPI للمجال لفك تشفير بيانات الاعتماد دون اتصال
• تجاوز AppLocker — LOLBins (mshta, certutil, regsvr32, إلخ) + تسليم موقع عبر WSUS
• حقن تحديث WSUS — دفع تحديثات Windows ضارة عبر wsuks

نهب ما بعد الاستغلال

• حصاد سطر أوامر العمليات — Get-CimInstance Win32_Process عبر nxc -x; تعبيرات منتظمة لكلمات المرور في mysql/sqlcmd/runas/KeePass/علامات --password
• اكتشاف خزائن KeePass + كسرها — العثور على *.kdbx في C:\Users، تنزيل عبر smbclient، keepass2john | hashcat -m 13400

الاستخدام

# آلي بالكامل — سلسلة بدون بيانات اعتماد (يكتشف كل شيء تلقائيًا)
sudo ./ad-autopwn.py

# مع بيانات الاعتماد — سلسلة كاملة
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# معامل AWS / VPC (هجمات الطبقة الثانية محظورة) — الاكتشاف التلقائي ما زال يعمل
sudo ./ad-autopwn.py --no-arp --no-wpad

# اكتشاف بيانات الاعتماد قبل المصادقة (آمن ضد قفل الحساب)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# جمع رسم بياني لـ BloodHound + تحليل تلقائي للقيم العالية
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# Dollar Ticket — TGT لـ 'root' عبر حساب جهاز root$ تم إنشاؤه تلقائيًا
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# سلسلة RBCD+KCD — ghost-SPN كامل + RBCD + إعادة كتابة altservice، لقطة واحدة
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# تجاوز AppLocker
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# تشغيل جاف (طباعة كل أمر، لا تنفيذ — حتى العمليات الخلفية)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

المراحل المتاحة

التبعيات

APT (Kali Linux)

apt install python3 impacket-scripts netexec nmap hashcat tcpdump \
  responder dsniff arp-scan certipy-ad bloodyad bloodhound.py \
  smbclient atftp wimtools john seclists

مستودعات Git (استنساخ إلى /opt/tools/)

git clone https://github.com/mverschu/CVE-2025-33073        /opt/tools/CVE-2025-33073
git clone https://github.com/dirkjanm/krbrelayx              /opt/tools/krbrelayx
git clone https://github.com/Wh04m1001/DFSCoerce             /opt/tools/DFSCoerce
git clone https://github.com/ShutdownRepo/ShadowCoerce       /opt/tools/ShadowCoerce
git clone https://github.com/ShutdownRepo/pywhisker          /opt/tools/pywhisker
git clone https://github.com/dirkjanm/PKINITtools            /opt/tools/PKINITtools
git clone https://github.com/csandker/pxethiefy              /opt/tools/pxethiefy
git clone https://github.com/garrettfoster13/sccmhunter      /opt/tools/sccmhunter
git clone https://github.com/dirkjanm/mitm6                  /opt/tools/mitm6
git clone https://github.com/Hackndo/pyGPOAbuse              /opt/tools/pyGPOAbuse
git clone https://github.com/Hackndo/WebclientServiceScanner /opt/tools/WebclientServiceScanner
git clone https://github.com/almandin/Certihound             /opt/tools/Certihound

حزم Pipx

pipx install coercer
pipx install wsuks --system-site-packages

ملفات ثنائية أخرى

• kerbrute — احصل على أحدث ملف ثنائي من https://github.com/ropnop/kerbrute/releases — قم بالتثبيت إلى /usr/local/bin/
• userenum-cldap — أداة تعداد CLDAP NetLogon-ping المصاحبة (موجودة في هذا المستودع باسم userenum-cldap.py؛ قم بالتثبيت إلى /usr/local/bin/userenum-cldap)
• asn1tools — pip install asn1tools (اعتماد وقت تشغيل CLDAP enum)

تثبيت سريع (جميع التبعيات على Kali)

# حزم APT
sudo apt install python3 impacket-scripts netexec nmap hashcat tcpdump \
  responder dsniff arp-scan certipy-ad bloodyad bloodhound.py \
  smbclient atftp wimtools john seclists

# جميع المستودعات المطلوبة
for repo in mverschu/CVE-2025-33073 dirkjanm/krbrelayx \
            Wh04m1001/DFSCoerce ShutdownRepo/ShadowCoerce \
            ShutdownRepo/pywhisker dirkjanm/PKINITtools \
            csandker/pxethiefy garrettfoster13/sccmhunter \
            dirkjanm/mitm6 Hackndo/pyGPOAbuse \
            Hackndo/WebclientServiceScanner almandin/Certihound; do
  sudo git clone "https://github.com/$repo" "/opt/tools/$(basename $repo)"
done

# تبعيات Python للمستودعات التي تحتاجها
for repo in pywhisker PKINITtools sccmhunter pxethiefy mitm6 pyGPOAbuse Certihound; do
  [ -f "/opt/tools/$repo/requirements.txt" ] && \
    pip3 install --break-system-packages -r "/opt/tools/$repo/requirements.txt"
done

# حزم Pipx
pipx install coercer
pipx install wsuks --system-site-packages

# ملف kerbrute الثنائي (ropnop)
sudo wget -q -O /usr/local/bin/kerbrute \
  https://github.com/ropnop/kerbrute/releases/download/v1.0.3/kerbrute_linux_amd64
sudo chmod +x /usr/local/bin/kerbrute

# اعتماد تشغيل CLDAP userenum
sudo pip3 install --break-system-packages asn1tools

# سكريبت userenum-cldap المصاحب (هذا المستودع)
sudo wget -q -O /usr/local/bin/userenum-cldap \
  https://raw.githubusercontent.com/jonaslejon/ad-autopwn/main/userenum-cldap.py
sudo chmod +x /usr/local/bin/userenum-cldap

# ad-autopwn نفسه
sudo cp ad-autopwn.py /usr/local/bin/ad-autopwn
sudo chmod +x /usr/local/bin/ad-autopwn

check_prerequisites() تعمل في أعلى كل استدعاء وتطبع حالة ✅ خضراء / ⚠️ صفراء لكل أداة يلمسها السكريبت، مع تلميحات تثبيت لأي شيء مفقود.

تم اختباره ضد

• GOAD-Light (لعبة Active Directory، Orange Cyberdefense) على AWS eu-west-1 — تم التحقق من تغطية المرحلة v4.10.0 الكاملة من البداية إلى النهاية. الاكتشاف التلقائي على AWS يعمل الآن حرفيًا فقط باستخدام --no-arp --no-wpad (كل شيء آخر — الواجهة، عنوان المهاجم، المجال، عنوان IP لوحدة التحكم بالمجال، اسم FQDN لوحدة التحكم بالمجال — يتم اكتشافه تلقائيًا عبر مسح الشبكة الفرعية + التراجع إلى dig @<dc_ip>).
• سلسلة الإجراءات التلقائية في BloodHound أثبتت فعاليتها ضد الحافة stannis.baratheon → GenericAll → KINGSLANDING$ الأساسية: من بيانات اعتماد واحدة منخفضة الامتياز إلى TGS مدير على وحدة التحكم بالمجال في 5 ثوانٍ.
• DCSync استخرج 20 بيانات اعتماد بما في ذلك krbtgt — تذكرة ذهبية قابلة للتطبيق.

الأمان

• --dry-run يطبع كل أمر (في المقدمة و الخلفية) دون تنفيذ — لن يتم تشغيل أدوات انتحال ARP أو mitm6 أو Responder أو ntlmrelayx.
• تعديلات قالب ESC4 مغلفة في try/finally مع os.chdir لضمان استعادة المجلد الصحيح عند أي مسار خروج.
• سلاسل AD CS / RBCD / ghost-SPN تحاول تنظيف السجلات المزروعة عند الاكتمال (سجلات DNS، بتات UAC الخاصة بـ Trusted-For-Delegation، SPNs الوهمية). حسابات الأجهزة التي تنشئها تبقى في AD — راجع ملاحظات المشغل في إخراج التشغيل لأوامر التنظيف.
• --no-cleanup يحتفظ بكل شيء للمراجعة الجنائية.

إخلاء المسؤولية

للاستخدام المصرح به في اختبار الاختراق والبحث الأمني فقط.

هذه الأداة مصممة للاستخدام من قبل محترفي الأمن أثناء المهام المصرح بها. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني. احصل دائمًا على إذن كتابي قبل الاختبار.

المؤلف

Triop AB — https://triop.se

الترخيص

MIT