Overthrone

إطار عمل استغلال Active Directory.
كل عرش يسقط. Overthrone تتأكد من ذلك.

---

ما هذا  ·  التثبيت  ·  قوائم الكلمات  ·  الأوامر  ·  استخدام المعالج  ·  البنية  ·  الميزات  ·  أمثلة  ·  الأسئلة الشائعة

---

ما هذا؟

تعرف كيف في الحروب في العصور الوسطى، كان الاستيلاء على قلعة يتطلب مهندسي حصار، وكشافة، وسلاح فرسان، ورماة، وحفّاري أنفاق، وشخصًا يفتح البوابة من الداخل؟ اختبار اختراق Active Directory هو بالضبط ذلك، إلا أن القلعة هي شركة من قائمة Fortune 500، والبوابة هي Group Policy مُهيّأة بشكل خاطئ، و"الشخص بالداخل" هو حساب خدمة بكلمة مرور Password123! لم يتم تغييرها منذ أن كان Windows Server 2008 يُعتبر حديثًا.

Overthrone هو إطار عمل فريق أحمر لـ AD بطيف كامل يتعامل مع سلسلة القتل بأكملها - من "لدي وصول إلى الشبكة وحلم" إلى "أملك كل نطاق في هذا الغابة وهذه وثيقة PDF من 47 صفحة تثبت ذلك." مبني بلغة Rust لأن أطر عمل C2 تستحق أمان الذاكرة أيضًا، ولأن تصحيح أخطاء use-after-free أثناء مهمة هو كيف تصاب بمشاكل الثقة (سواء نوع Active Directory أو النوع الشخصي).

هذا ليس ماسحًا ضوئيًا. هذه ليست أداة "شغّل Mimikatz لكن بلغة Rust". هذا ليس غلافًا آخر بلغة Python ينكسر عندما تنظر إليه نظرة غريبة. هذا هو محرك الحصار بأكمله. ملف تنفيذي واحد. اعتماديات وقت تشغيل ضئيلة*. كل الندم (لفريق الأزرق).

اختصار: كل أمر يعمل مع كل من overthrone و ovt. لأن الحياة أقصر من أن تكتب 10 أحرف عندما تكفي 3. ovt wizard = overthrone wizard. نفس جرائم الحرب ضد Active Directory، ضغطات مفاتيح أقل.

⚠️ إشعار الإهمال: تم إزالة أمر ovt auto-pwn من الإصدارات التجريبية السابقة واستُبدل بـ ovt wizard. إذا كانت ذاكرتك العضلية لا تزال تكتب auto-pwn، لا تقلق - ستتكيف أصابعك. المعالج هو ما أراد auto-pwn دائمًا أن يكون عندما كبر: تفاعلي، قابل للاستئناف، مُحسَّن بـ Q-learning، ومع إيقاف/موافقة لكل مرحلة حتى لا تقوم بـ DCSync عن طريق الخطأ أثناء عرض توضيحي.

*الملف التنفيذي مرتبط بشكل ثابت مع حوالي 35 حزمة Rust (Tokio، ldap3، kerberos_asn1، إلخ) - لا Python، لا .NET، لا JVM. عمليات ملفات SMB، وصدفة بنمط smbclient (ovt smb shell)، وRPC (ovt rpc، مجموعة أوامر rpcclient) والتنفيذ عن بُعد كلها تعمل على عميل SMB2 المدمج النقي بلغة Rust؛ يُستخدم الملف التنفيذي الخارجي smbclient فقط كخيار احتياطي أخير على المضيفين حيث لا يستطيع العميل المدمج التفاوض.

سلسلة القتل

sequenceDiagram
    participant Op as Operator
    participant CLI as overthrone-cli
    participant PILOT as overthrone-pilot
    participant REAPER as overthrone-reaper
    participant HUNTER as overthrone-hunter
    participant FORGE as overthrone-forge
    participant CORE as overthrone-core
    participant DC as Domain Controller

    Note over Op,DC: Phase 0: Initial Access (T1078)
    Op->>CLI: ovt enum / scan / kerberos commands
    CLI->>CORE: TCP/TLS connect to target

    Note over CLI,DC: Phase 1: Discovery & Enumeration (T1087, T1069, T1482)
    CLI->>REAPER: enum_all(target, domain, credentials)
    REAPER->>CORE: LDAP bind + paginated search
    CORE->>DC: LDAP query (port 389/636)
    DC-->>CORE: RootDSE + namingContexts
    CORE->>DC: Search base DN: users, groups, computers
    DC-->>CORE: LDAP entries with attributes
    CORE-->>REAPER: Structured ADData
    Note over REAPER: Enrich: LAPS v1/v2 decrypt, GPP decrypt,<br/>Snaffler share crawl, ADCS template scan
    REAPER-->>CLI: ADData { users, groups, trusts, ACLs,<br/>GPOs, LAPS, SPNs, delegations }

    Note over CLI,DC: Phase 2: Attack Graph Analysis (TA0007)
    CLI->>CORE: build_graph(ADData)
    CORE->>CORE: petgraph DiGraph construction<br/>30+ edge types with weighted costs
    CORE->>CORE: Reverse Dijkstra from Domain Admins
    CORE-->>CLI: AttackGraph + shortest paths to goal
    Note over CLI: Output: Path from current position to DA,<br/>broken down hop-by-hop with technique