ssteelfactor-oss/kestrelأداة تعداد أمني لأكتيف ديركتوري منخفضة الظهور تستخدم واجهات ADSI/COM الأصلية. تعدّد قوائم ACL، والتفويض، وعلاقات الثقة، وADCS، وأهداف Kerberoast، ومسارات الهجوم دون الحاجة إلى .NET أو PowerShell، مع إنتاج مخرجات متوافقة مع BloodHound.
# Kestrel
[](https://github.com/ssteelfactor-oss/Kestrel/actions/workflows/build.yml)
[](LICENSE)
[](#)
[](#)
> ### BloodHound يُظهر لك المسار. أما Kestrel فيُظهر لك ما هو موجود بالفعل في الداخل.
الجميع يرسمون الخريطة نفسها: مسار الهجوم - *من يستطيع الوصول إلى Domain Admin.* إنه السؤال الصحيح، والأدوات التي تجيب عنه ممتازة. لكن رسم بياني لـ "من يستطيع الوصول إلى من" أعمى عن فئة كاملة من المشكلات، لأن بعض أسوأ الأشياء الموجودة في Active Directory ليست مسارًا على الإطلاق.
إنها باب خلفي ملحوم داخل سمة. شهادة تستمر في المصادقة لفترة طويلة بعد إعادة تعيين كلمة المرور. إذن مطبوع في المخطط نفسه، بحيث يرثه كل كائن يُنشأ من الآن فصاعدًا بصمت. حساب محذوف احتفظ أحدهم بهدوء بحق إعادته. كائن مخفي عن التعداد بواسطة ACE واحد يمنع القراءة.
**لا شيء من ذلك يمثل حافة في رسم بياني. كل ذلك موجود في دليلك الآن.** يقرأه Kestrel - باستدعاءات Windows الأصلية، وحقوق مستخدم نطاق عادية، دون خادم، دون Python، دون وكيل، وبصمة على وحدة التحكم بالمجال محدودة لدرجة أنها [موثقة حدثًا بحدث](https://github.com/ssteelfactor-oss/kestrel/blob/main/FOOTPRINT.md).
ملف `.exe` واحد. أمر واحد. كل ما يلي.
---
## كنت تنظر في الاتجاه الخاطئ
منظومة AD الهجومية - SharpHound وimpacket وCertipy والرسم البياني خلفها - رائعة، وكلها تنظر إلى السطح نفسه: إمكانية الوصول. أما Kestrel فينظر إلى الأبعاد الثلاثة التي لا يستطيع ذلك السطح التعبير عنها.
- **الزمن.** الرسم البياني لقطة لحظية. يقرأ Kestrel بيانات التعريف الخاصة بالنسخ المتماثل - *متى* تغيّرت سمة من الفئة Tier-0 و*أي DC* أنشأها. حق DCSync الممنوح الليلة الماضية ليس الاكتشاف نفسه كحق موجود منذ سنوات، وواحد فقط منهما يعني أنك تتعرض للهجوم الآن.
- **الاستمرارية في سمة، لا في حافة.** بيانات الاعتماد الظلية، وسجل SID، وإحياء شواهد القبور، وأبواب خلفية `defaultSecurityDescriptor` في المخطط، والكائنات المخفية، وACEs رفض `OWNER RIGHTS`، ومفاتيح AD FS DKM. أدوات الرسم البياني لا تجمع هذه لأنه لا توجد حافة لرسمها.
- **الوضع الدفاعي، معكوسًا.** ليس "من يستطيع الهجوم"، بل "ما غير المحمي" - حساب Tier-0 خارج سياجه، وحساب المزامنة ذو RID عشوائي لم يضع عليه أحد علامة، وسياسة القفل التي لا تحدّ أبدًا من هجوم التخمين.
ليس الأمر أن Kestrel أسرع من رسم بياني. إنه يجيب عن أسئلة لا يستطيع الرسم البياني طرحها.
---
## كل خطايا AD، في ملف exe أصلي واحد
| الخطر | ما يكتشفه Kestrel | العلامة/العلامات |
|-----|-------------------|---------|
| **النسخ المتماثل والتفويض** | حقوق DCSync (من *يستطيع* النسخ المتماثل - دون أن يقوم بالنسخ المتماثل أبدًا)، التفويض غير المقيّد / المقيّد / RBCD / S4U | `--acl` · `--delegation` |
| **إساءة استخدام الشهادات** | AD CS ESC1–5/9، CA مارق في مخزن NTAuth، استمرارية شهادة طويلة الأمد، **ACL مفتاح AD FS DKM - الشرط المسبق لـ Golden SAML** | `--adcs` · `--adfs` |
| **الاستمرارية في السمات** | بيانات اعتماد الظل، حقن سجل SID، **حقوق إعادة إحياء شواهد القبور**، **الكائنات المخفية**، **أبواب خلفية `defaultSecurityDescriptor` في المخطط**، `adminCount` اليتيم | `--shadowcreds` · `--sidhistory` · `--acl` · `--schema` · `--adminsdholder` |
| **بيانات اعتماد نصية صريحة وقابلة للكسر** | `cpassword` في GPP، أسرار `unattend`/`sysprep` وكلمات مرور النصوص البرمجية عبر SYSVOL، الحسابات القابلة لـ Kerberoast وAS-REP-roast، ثغرات تغطية LAPS | `--gpp` · `--roast` · `--laps` |
| **عبر النطاقات والهجين** | الكيانات الخارجية في المجموعات المميزة، **حسابات مزامنة Entra Connect الموسومة Tier-0**، وضع الثقة، **حسابات الأجهزة المنشأة عبر MachineAccountQuota** (`mS-DS-CreatorSID`) | `--groups` · `--trust` · `--machines` |
| **الوضع الأمني والاستطلاع** | سياسة كلمات المرور / PSO، عمر `krbtgt`، إعدادات GPO لـ LLMNR / NBT-NS / WDigest / NTLMv1، قارئات gMSA، الأجهزة القديمة، طوبولوجيا التفويض | `--pwdpolicy` · `--policy` · `--gmsa` · `--stale` |
| **علم الآثار** | **ACEs خطرة يتيمة** (حق يحتفظ به كيان محذوف - يُحلّ SID إلى لا أحد)، **حسابات مميزة قديمة** (منسية، مفرطة الامتيازات، كلمة مرور قديمة) | `--archaeology` |
| **تقوية النطاق** | علامات `dSHeuristics` لـ LDAP المجهول / استبعاد AdminSDHolder، عضوية واسعة في Pre-Windows 2000 Compatible Access | `--hardening` |
| **وضع الخدمة** *(يُقرأ من AD، دون حزمة إلى الخدمة)* | **تصعيد Exchange-to-DA ونهاية العمر**، **الاستيلاء على حاوية SCCM وخريطة الموقع**، **تسميم منطقة ADIDNS** (يمكن للمستخدمين المصادق عليهم إنشاء سجلات) | `--exchange` · `--sccm` · `--dns` |
أكثر من عشرين فحصًا عادةً ما تكون موزعة عبر عشرات النصوص البرمجية ولغتين. هنا هي ثنائية واحدة - وتنتهي بحكم واحد مرتب حسب الخطورة.
---
## سطر واحد
```
Kestrel.exe --all --report audit.html
```
شغّل كل شيء. احصل على تقرير HTML الكامل. وفي نهاية وحدة التحكم تمامًا، الجزء المهم:
```
═══ Kestrel - Prioritized Findings ═══
CRITICAL DCSync CORP\svc_sql - non-default principal can replicate directory changes (DCSync)
→ fix: remove GetChanges/GetChangesAll from the principal on the domain head (dsacls) unless it is a DC
CRITICAL AD FS CN=... - read access to the DKM key (Golden SAML precondition)
→ fix: remove non-default read ACEs on the DKM object (dsacls) and rotate the token-signing certificate
HIGH Persistence CN=... - object hidden from enumeration via a broad deny-read ACE
→ fix: inspect the hidden object and remove the broad deny-read ACE (dsacls)
[=] 2 critical · 1 high · 0 medium · 0 low
```
ليس جدارًا من المخرجات. النتائج المهمة، مرتّبة، كل واحدة منها مرفقة بالأمر اللازم لإغلاقها.
---
## ملف exe واحد. أحمر، أزرق، بنفسجي.
- **أحمر / رمادي** - عدّد الاستمرارية والتفويض اللذين يفوتهما الرسم البياني، وصدّر مباشرةً إلى BloodHound CE OpenGraph (`--opengraph`) لدمجها مع مجموعتك الحالية، أو انطلق من أي principal (`--from`).
- **أزرق** - قائمة نتائج مرتّبة حسب الأولوية ومُعالَجة؛ و`--diff` مقابل لقطة الأسبوع الماضي لالتقاط ما *تغيّر*؛ وأداة نُشر أثر الكشف الدقيق الخاص بها كي تتمكن من إدراجها في القائمة البيضاء وضبط تنبيهاتك حولها.
- **بنفسجي** - أثر واحد يقرأه الطرفان بالطريقة نفسها. الأحمر يجده، والأزرق يصلحه، والجميع يشير إلى رقم السطر نفسه.
## قابل للكشف بحكم التصميم
Kestrel للقراءة فقط. لا يكتب أبدًا إلى الدليل، ولا ينسخ، ولا يحتاج إلى `SeSecurityPrivilege`، ولا يمسّ السحابة. قراءة *من يستطيع* تنفيذ DCSync لا تشبه إطلاقًا، على مستوى الشبكة، *تنفيذ* DCSync - لا DRSUAPI، ولا `4662` الخاص بتوقيع النسخ المتماثل. كل استعلام يشغّله وكل حدث يمكنه توليده (وما لا يمكنه) مُفهرَس في **[FOOTPRINT.md](https://github.com/ssteelfactor-oss/kestrel/blob/main/FOOTPRINT.md)**. أداة تدقيق تخبر المدافع بالضبط كيف يلتقطها ليست تناقضًا - بل هذا هو المقصد كله.
---
## البدء السريع
**احصل على بناء.** كل تشغيل ناجح لـ CI ينشر أثرًا باسم `Kestrel.exe` - نزّله من [تبويب Actions](https://github.com/ssteelfactor-oss/Kestrel/actions)، دون الحاجة إلى toolchain.
**أو ابنِه بنفسك.** Visual Studio (v143+) أو MSBuild:
```
git clone https://github.com/ssteelfactor-oss/Kestrel.git
cd Kestrel
msbuild Kestrel.vcxproj /p:Configuration=Release /p:Platform=x64
```
C خالص، بدون أي تبعيات خارجية. ابنِ `/MT` وستحصل على ملف تنفيذي واحد مكتفٍ ذاتيًا - ضعه على مضيف منضم إلى النطاق، وشغّله بأي مستخدم عادي.
**شغّله.**
```
Kestrel.exe --all --report audit.html # everything, HTML report + ranked findings
Kestrel.exe --acl --adcs --adfs # pick specific checks
Kestrel.exe --paths --from CORP\jdoe # attack paths from one principal
Kestrel.exe --all --diff last-week.json # what changed since the last snapshot
Kestrel.exe --all --opengraph graph.json # export to BloodHound CE OpenGraph
```
## الوحدات
شغّل `--all`، أو اختر أي مجموعة فرعية. المساعدة الكاملة: `Kestrel.exe --help`.
| العلامة | الفحص |
|------|------|
| `--acl` | حواف ACL، حقوق DCSync، نظافة المالك/الوراثة/القانونية، الكائنات المخفية، إحياء شواهد القبور |
| `--groups` | العضوية المميزة المتعدية + الكيانات الأمنية الأجنبية |
| `--delegation` | غير مقيّدة / مقيّدة / RBCD / S4U2Self |
| `--paths` / `--from` | تحليل مسار الهجوم إلى Tier-0 (اختياريًا من كيان رئيسي معيّن) |
| `--adcs` | تدقيق قالب شهادة AD CS / CA (ESC1–5/9) + مخزن NTAuth + الصلاحية |
| `--adfs` | ACL مفتاح DKM في AD FS (شرط مسبق لـ Golden SAML) |
| `--schema` | تدقيق الباب الخلفي في `defaultSecurityDescriptor` للمخطط |
| `--trust` | وضعية الثقة بين النطاقات / الغابات |
| `--machines` | حسابات الأجهزة المنشأة عبر MachineAccountQuota (`mS-DS-CreatorSID`) |
| `--roast` | الحسابات القابلة لـ Kerberoast + AS-REP-roast |
| `--shadowcreds` | بيانات الاعتماد الظلية (`msDS-KeyCredentialLink`) |
| `--sidhistory` | حقن `sIDHistory` (مميز / أجنبي) |
| `--adminsdholder` | كائنات `adminCount=1` اليتيمة |
| `--gpp` | مسح أسرار SYSVOL - `cpassword` في GPP، `unattend`، بيانات اعتماد السكربتات |
| `--gpolateral` | GPO المجموعة المحلية → الحواف الجانبية (AdminTo / CanRDP / CanPSRemote / ExecuteDCOM) |
| `--policy` | سياسة أمان GPO (LLMNR / NBT-NS / WDigest / NTLMv1) |
| `--pwdpolicy` | سياسة كلمة المرور / PSO · عمر `krbtgt` · MachineAccountQuota |
| `--hygiene` | نظافة بيانات الاعتماد (`PASSWD_NOTREQD` / `DONT_EXPIRE` / قابل للعكس / تسريبات الوصف) |
| `--gmsa` | تعداد قارئ كلمة مرور gMSA |
| `--laps` | تغطية LAPS (القديمة + Windows LAPS 2023+) |
| `--stale` | الأجهزة القديمة عبر `lastLogonTimestamp` |
| `--topology` | طوبولوجيا الأجهزة عبر فك ترميز SPN |
| `--adws` | اكتشاف نقطة نهاية ADWS (9389/TCP لكل DC) |
| `--archaeology` | ACEs خطرة يتيمة (مالك ميت، حق نشط) + حسابات مميزة قديمة |
| `--hardening` | علامات تقوية النطاق: وصول مجهول `dSHeuristics` / استبعاد SDProp + Pre-Windows 2000 Compatible Access |
| `--exchange` | وضعية Exchange: الإصدار/نهاية العمر + تصعيد Exchange إلى DA (WriteDACL على النطاق) *(خدمة؛ اختيارية)* |
| `--sccm` | وضعية SCCM/MECM: ACL حاوية `System Management` + نقطة الإدارة / خريطة الموقع *(خدمة؛ اختيارية)* |
| `--dns` | DNS المدمج في AD (ADIDNS): DACL الخاص بـ CreateChild للمنطقة + wpad/isatap/wildcard + DnsAdmins *(خدمة؛ اختيارية)* |
**وضعية الخدمات** (`--exchange` · `--sccm` · `--dns`) اختيارية و**ليست** جزءًا من `--all`؛ شغّل `--services` للطبقة بأكملها. تحمل النتائج الآن وسوم تقنيات **MITRE ATT&CK**.
**الإخراج والتشغيل البيني:** `--report <file>` (`.html` / `.json` / `.yaml`) · `--opengraph <file>` (BloodHound CE) · `--diff <snapshot.json>` · `--verbose`.
---
## ثوابت التصميم
هذه وعود، لا تفضيلات - وهي أسباب كونه آمنًا للتشغيل في بيئات الإنتاج. كسر أي منها يُعدّ خللًا أمنيًا (انظر [SECURITY.md](https://github.com/ssteelfactor-oss/kestrel/blob/main/SECURITY.md)).
- **للقراءة فقط** - لا ينشئ أو يعدّل أو يحذف أي كائن دليل. أحداث قراءة/وصول فقط، ولا أحداث تعديل أبدًا.
- **مستخدم نطاق عادي** - لا تصعيد امتيازات، لا `SeSecurityPrivilege`، أقنعة أمان DACL فقط.
- **لا نسخ متماثل** - يكتشف من *يستطيع* تنفيذ DCSync؛ ولا يستدعي DRSUAPI بنفسه أبدًا.
- **الدليل وSYSVOL فقط** - لا RPC/SMB ضد الأجهزة الأعضاء.
- **لا تهرب** - لا تجزئة للاستعلامات، لا ألاعيب توقيت، لا تلاعب بالسجلات. انظر [FOOTPRINT.md](https://github.com/ssteelfactor-oss/kestrel/blob/main/FOOTPRINT.md).
- **محلي فقط** - لا استدعاءات Entra / Graph / سحابية؛ فهو يدقق البصمة التي يتركها النهج الهجين *داخل AD*.
- **أصلي ومكتفٍ ذاتيًا** - C خالص، صفر تبعيات خارجية، ملف `.exe` واحد.
---
## خارطة الطريق
| الإصدار | الحالة | الإنجاز |
|---------|:------:|-----------|
| v0.13 | ✅ | وضعية شرط الدخول |
| v0.14 | ✅ | عمق ACL + الحواف الجانبية |
| v0.15 | ✅ | تدقيق بنية ACL (فئة ADeleg) |
| v0.16 | ✅ | الاستمرارية الخفية + عمق SYSVOL / ADCS |
| v0.17 | ✅ | البصمة عبر النطاقات + الهجينة |
| v0.18 | ✅ | نظافة الاستعلامات + بصمة صادقة |
| **v1.0** | ✅ | **مكتمل الميزات: النتائج ذات الأولوية + المعالجة، CI، Apache 2.0** |
| **v1.1** | ✅ | **طبقة وضعية الخدمات السلبية: Exchange · SCCM · ADIDNS · تقوية النطاق · وسوم MITRE ATT&CK** |
| **v1.2** | ✅ | **علم آثار AD: ACEs الخطرة اليتيمة + الحسابات المميزة القديمة** |
| v1.3 | 🔲 | التماس الهجين (Entra Connect / Seamless SSO) · nTDSConnection / شرط DCShadow المسبق |
---
## التوثيق
- **[FOOTPRINT.md](https://github.com/ssteelfactor-oss/kestrel/blob/main/FOOTPRINT.md)** - أثر LDAP / SYSVOL الدقيق الذي تتركه كل عملية فحص، وأحداث DC التي تولّدها (والتي لا يمكنها توليدها).
- **[SECURITY.md](https://github.com/ssteelfactor-oss/kestrel/blob/main/SECURITY.md)** - الإبلاغ، والنطاق، والثوابت التصميمية كضمانات قابلة للتحقق.
- **[LICENSE](https://github.com/ssteelfactor-oss/kestrel/blob/main/LICENSE)** - Apache 2.0.
## ذو صلة
المشروع الأصل: [NetEnum](https://github.com/ssteelfactor-oss/NetEnum) - تعداد AD عبر ADSI / COM / LDAP.
## المؤلف
[@ssteelfactor-oss](https://github.com/ssteelfactor-oss) - البحث الأمني وداخليات COM / Windows.
## الترخيص
مرخّص بموجب **Apache License 2.0** - راجع [LICENSE](https://github.com/ssteelfactor-oss/kestrel/blob/main/LICENSE). يُقدَّم "كما هو"، دون أي ضمان؛ شغّله فقط ضد الأدلة التي لديك تصريح بتدقيقها.