adPEAS v2 — Active Directory Berechtigungserweiterung – Fantastische Skripte

Umfassende Active Directory-Sicherheitsbewertung – keine Abhängigkeiten, einzelne Datei, sofort einsatzbereit.

Was ist adPEAS?

adPEAS ist ein PowerShell-basiertes Sicherheitsbewertungstool, das Fehlkonfigurationen, Schwachstellen und Privilege-Escalation-Pfade in Active Directory-Umgebungen identifiziert. Es wurde für Penetrationstester, Sicherheitsauditoren und Red Teams entwickelt, die ein zuverlässiges, eigenständiges Tool benötigen, das auf jedem Windows-System funktioniert – ohne RSAT, ohne ActiveDirectory-Modul, ohne Abhängigkeiten von Drittanbietern.

adPEAS v2 ist eine komplette Neufassung von adPEAS v1. Es ersetzt den alten DirectoryEntry/DirectorySearcher-Ansatz durch eine einheitliche System.DirectoryServices.Protocols.LdapConnection-Architektur und fügt native Kerberos-Authentifizierung, erweiterte Berichterstattung und offensive Operationen hinzu – alles in reinem PowerShell.

Neuerungen in v2

• Natives Kerberos-Stack – AS-REQ/AS-REP, TGS-REQ/TGS-REP, Pass-the-Ticket, PKINIT, alles in reinem PowerShell
• Mehrere Authentifizierungsmethoden – Passwort, NT-Hash (OPtH), AES-Schlüssel (PtK), Zertifikate (PKINIT & Pass-the-Cert/Schannel), Windows-integriert
• 40+ Sicherheitsprüfungen in 9 Kategorien mit Schweregradbewertung
• Interaktive HTML-Berichte mit Suche, Filterung, Risikobewertungen und Tooltips
• JSON-Export für die Offline-Berichtskonvertierung, inkrementelles Scannen und Scan-Vergleich
• BloodHound CE-Collector – integrierte Datensammlung für Angriffspfadanalyse
• Offensive Operationen – Kerberoasting, AS-REP Roasting, Golden/Silver/Diamond Tickets, RBCD-Missbrauch, Shadow Credentials und mehr
• Sitzungsbasierter Workflow – einmal verbinden, mehrere Prüfungen interaktiv ausführen
• Tab-Vervollständigung – automatische Vervollständigung von AD-Objekten für die interaktive Erkundung

Neu bei adPEAS? Lesen Sie die Schnellstart-Anleitung oder die Blog-Serie auf blog.sekurity.de für einen tiefen Einblick in die Architektur, Authentifizierung und Interna.

Auf einen Blick

Anforderungen

• Betriebssystem: Windows 10/11, Windows Server 2016/2019/2022/2025
• PowerShell: 5.1+ (Windows PowerShell)
• .NET Framework: 4.5+ (in Windows enthalten)
• Netzwerk: LDAP (389), LDAPS (636), Kerberos (88), SMB (445)

Es wird kein ActiveDirectory-Modul, RSAT oder externe PowerShell-Module benötigt.

Download

Release-Versionen

Alle vier Versionen sind funktional identisch. Wählen Sie je nach Bereitstellungsszenario.

# Repository klonen
git clone https://github.com/61106960/adPEAS.git
cd adPEAS

Aus dem Quellcode erstellen

Der main-Branch enthält nur Quelldateien (src/). Release-Builds sind an jedes GitHub-Release angehängt. Wenn Sie aus dem aktuellen Quellcode erstellen möchten, verwenden Sie das beiliegende Build-Skript:

git clone https://github.com/61106960/adPEAS.git
cd adPEAS
.\Build-Release.ps1

Dies erzeugt alle vier Varianten (adPEAS.ps1, adPEAS_min.ps1, adPEAS_ultra.ps1, adPEAS_obf.ps1) im Repository-Stammverzeichnis. Erfordert Windows PowerShell 5.1 und keine zusätzlichen Abhängigkeiten.

Schnellstart

# Option 1: Als Modul importieren (empfohlen)
Import-Module .\adPEAS.ps1

# Option 2: Dot-Sourcing
. .\adPEAS.ps1

# Option 3: Lesen und im Arbeitsspeicher ausführen
Get-Content -Raw .\adPEAS.ps1 | Invoke-Expression

# Option 4: Direkt von GitHub in den Arbeitsspeicher laden (keine Datei auf Festplatte)
Invoke-Expression (Invoke-WebRequest -Uri "https://raw.githubusercontent.com/61106960/adPEAS/main/adPEAS_obf.ps1" -UseBasicParsing).Content

Einzeiler (v1-kompatibel)

# In die Domäne eingebundener Rechner (aktueller Benutzer)
Invoke-adPEAS -Domain "contoso.com" -UseWindowsAuth

# Mit Anmeldedaten
Invoke-adPEAS -Domain "contoso.com" -Username "john.doe" -Password "P@ssw0rd!"

# OPSEC-Modus (Kerberoast, ASREPRoast, BloodHound überspringen)
Invoke-adPEAS -Domain "contoso.com" -UseWindowsAuth -OPSEC

Sitzungsbasiert (v2-Stil)

# Einmal verbinden
Connect-adPEAS -Domain "contoso.com" -UseWindowsAuth

# Vollständigen Scan ausführen
Invoke-adPEAS

# Oder einzelne Prüfungen ausführen
Get-KerberoastableAccounts
Get-ADCSVulnerabilities
Get-DangerousACLs

# Trennen, wenn fertig
Disconnect-adPEAS

Authentifizierungsmethoden

# Anmeldedaten
Connect-adPEAS -Domain "contoso.com" -Credential (Get-Credential)

# Overpass-the-Hash (NT-Hash)
Connect-adPEAS -Domain "contoso.com" -Username "admin" -NTHash "32ED87BDB5FDC5E9CBA88547376818D4"

# Pass-the-Key (AES256)
Connect-adPEAS -Domain "contoso.com" -Username "admin" -AES256Key "4a3b2c1d5e6f..."

# PKINIT (Zertifikat)
Connect-adPEAS -Domain "contoso.com" -Certificate "user.pfx"

# Pass-the-Cert / Schannel (LDAPS, ohne Kerberos)
Connect-adPEAS -Domain "contoso.com" -Certificate "user.pfx" -PassTheCert

# LDAPS
Connect-adPEAS -Domain "contoso.com" -UseWindowsAuth -UseLDAPS

Ausgabe und Berichte

# Alle Formate (Standard) – erzeugt .txt, .html und .json
Invoke-adPEAS -Domain "contoso.com" -UseWindowsAuth -Outputfile .\report

# Nur HTML
Invoke-adPEAS -Domain "contoso.com" -UseWindowsAuth -Outputfile .\report -Format HTML

# Offline-Berichtskonvertierung aus JSON
Convert-adPEASReport -InputJson ".\report.json" -OutputPath ".\new_report"

# Zwei Scans vergleichen (Diff-Bericht)
Compare-adPEASReport -Baseline ".\scan_q1.json" -Current ".\scan_q2.json" -OutputPath ".\diff"

Sicherheitsprüfungsmodule

Spezifische Module ausführen:

Invoke-adPEAS -Domain "contoso.com" -UseWindowsAuth -Module Domain,Creds,ADCS

Dokumentation

Die vollständige Dokumentation finden Sie im Verzeichnis docs/:

Blog-Serie

Eine detaillierte Blog-Serie zu den Interna von adPEAS v2 ist auf blog.sekurity.de veröffentlicht.

Lizenz

adPEAS ist quelloffen (source-available). Interne Sicherheitsbewertungen der eigenen Organisation sind kostenlos. Die kommerzielle Nutzung (Beratung, MSP, bezahlte Aufträge) erfordert eine kommerzielle Lizenz.

Siehe LICENSE für die vollständigen Bedingungen, COMMERCIAL_AGREEMENT für die kommerzielle Vereinbarung und PRICING für Lizenzoptionen.

• Lizenzanfragen: [email protected]
• Technischer Support: [email protected]

Rechtlicher Hinweis

adPEAS ist nur für autorisierte Sicherheitstests bestimmt. Holen Sie immer eine schriftliche Genehmigung ein, bevor Sie Tests durchführen. Verwenden Sie es niemals gegen Systeme, die Ihnen nicht gehören oder für die Sie keine Testberechtigung haben. Die Autoren sind nicht für Missbrauch dieses Tools verantwortlich. Halten Sie alle geltenden Gesetze und Vorschriften ein.

Autor

Alexander Sturz — SEKurity GmbH

• GitHub: @61106960
• Blog: blog.sekurity.de