AD AutoPwn

Null-Authentifizierung zu Domain-Administrator — Automatisierte Active-Directory-Angriffskette

Ein vollautomatisiertes Penetrationstest-Tool, das 25+ Angriffstechniken zu einer Kette verknüpft, um Active-Directory-Umgebungen zu kompromittieren. Entwickelt für autorisierte Sicherheitsüberprüfungen.

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ Null-Auth zu Domain-Admin — Angriffskette
    Entdecken | Sniffen | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roasten
    BloodHound | Reflektieren | Ausbeuten | RBCD+KCD | DCSync | DPAPI

Funktionen

Prä-Auth Benutzer- und Anmeldeinformationserkennung (Null-Anmeldedaten)

• kerbrute KRB-AS-REQ Benutzerenumeration (Lockout-sicher)
• CLDAP NetLogon-Ping Benutzernamensenumeration (Lockout-sicher)
• AS-REP Roast aller Kandidaten (kostenlose Hashes für Konten mit DONT_REQ_PREAUTH)
• pre2k Auto-Test (Windows 2000 Kompatibilitäts-Standard-Passwort-Maschinen)
• Einzelpasswort-Spray (Lockout-bewusst, opt-in via --spray-password)

Layer-2 / passive Null-Auth-Angriffe

• Passives Netzwerk-Sniffen — WPAD-, WSUS-, PXE-, LLMNR-, DHCPv6-, TFTP-, SCCM ProxyDHCP-Erkennung
• ARP-Spoofing + NTLM-Relay — NTLMv2-Hashes erfassen und knacken
• WPAD-Vergiftung — mitm6 / Responder IPv6 DNS-Entführung
• WSUS-Relay — Windows Update NTLM-Authentifizierung abfangen (Port 8530/8531)
• PXE-Boot-Anmeldeinformationsdiebstahl — Anmeldeinformationen aus Boot-Images via TFTP/WIM extrahieren
• NTLM-Diebstahl-Dateiablagen — .library-ms / .theme / .url-Dateien auf beschreibbaren Freigaben
• WebDAV-Nötigung — WebClient HTTP → LDAP-Relay (umgeht SMB-Signierung)
• DHCP-Nötigung — DHCP-Server-Maschinenkonto-Relay

Authentifizierungs-Reflection-Bypass (Synacktiv 2026)

• CVE-2025-58726 ghost-SPN Kerberos AP-REQ-Reflection (automatisch ausgelöst durch BloodHound-Autoaktion)
• CVE-2026-24294 LPE — SMB auf beliebigem TCP-Port-Reflection (Win11 24H2 / Server 2025 vor März 2026)
• CVE-2026-26128 LPE — Kerberos-Loopback über Unicode-SPN
• Unicode-SPN-Fallback wenn der CVE-2025-33073-Pfad gepatcht ist

Anmeldeinformationssammeln (Post-Auth)

• Kerberoasting — SPN-Hashes extrahieren und automatisch knacken (Hashcat-Modus 13100/19700)
• AS-REP Roasting — Konten ohne Pre-Auth knacken (Hashcat-Modus 18200)
• Timeroast — SNTP-MS-Hashes von jeder in die Domäne eingebundenen Maschine (Hashcat-Modus 31300)
• LAPS-Passwort-Wiederherstellung + userPassword LDAP-Attribut + im Beschreibungsfeld durchgesickerte Passwörter (abgebaut aus nxc-Anreicherungsbatterie)
• SCCM NAA-Diebstahl — Netzwerkzugriffskonto-Anmeldeinformationen via sccmhunter extrahieren

Graph-getriebene Angriffsketten (BloodHound)

• bloodhound-python -c All-Sammlung + ZIP-Analyse
• Hochwertige Ergebnisse — Domain/Enterprise/Schema-Admins, Kerberoastable, AS-REP roastable, uneingeschränkte Delegierung, RBCD eingehend, LAPS, AdminCount
• Aktionsfähige Kantenanalyse — Controlled-Principal-Closure (Sie + transitive Gruppenmitgliedschaften) → ACE-Kanten, bei denen Sie der Prinzipal sind: WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• Auto-Aktionskette — löst automatisch passende Primitive aus:
  • WriteSPN → ghost-SPN-Upgrade (CVE-2025-58726)
  • AddKeyCredentialLink → Schatten-Anmeldeinformationen → PKINIT → NT-Hash
  • GenericAll / WriteAccountRestrictions on Computer → RBCD-Kette → Admin-TGS

Privilegieneskalations-Primitive

• AD CS-Ausnutzung — ESC1-ESC16 via certipy (Auto-Enum + Ausnutzung)
  • ESC8 (Web-Enrollment-Relay)
  • ESC9/ESC10 UPN-Tausch (CVE-2022-26923-Bypass)
  • ESC4 Vorlage ändern+ausnutzen+wiederherstellen (cwd-sicher)
  • Certihound-Enumeration mit certipy-Fallback (NT-Hash-Auth)
• Schatten-Anmeldeinformationen — msDS-KeyCredentialLink via ntlmrelayx oder pywhisker
• RBCD-Missbrauch — Resource-Based Constrained Delegation (addcomputer + S4U2Self + S4U2Proxy)
• RBCD+KCD-Kettenorchestrator — vollständig WriteSPN → ghost-SPN → RBCD → S4U2Proxy → -altservice-Umschreibung, in einer Phase
• TGS-sname-Umschreibung (tgssub-artiger KCD-Protokollübergangs-Bypass) — eigenständig oder inline via -altservice
• Dollar Ticket — KDCs automatischer $-Suffix-Wiederholungsversuch bei Principal-Suche → TGT für Linux-Benutzer via automatisch erstelltes <user>$-Maschinenkonto → GSSAPI SSH
• GPO-Missbrauch — pyGPOAbuse geplanter Task als SYSTEM

Domänenkompromittierung

• DCSync — vollständiger Domänen-Hash-Dump via impacket-secretsdump
• DPAPI-Backup-Schlüssel — Domänen-DPAPI-Schlüssel extrahieren für Offline-Entschlüsselung von Anmeldeinformationen
• AppLocker-Bypass — LOLBins (mshta, certutil, regsvr32, usw.) + WSUS signierte Zustellung
• WSUS-Update-Injektion — bösartige Windows-Updates via wsuks pushen

Post-Exploitation-Beute

• Prozess-Befehlszeilen-Ernte — Get-CimInstance Win32_Process via nxc -x; Regex-Grep nach Passwörtern in mysql/sqlcmd/runas/KeePass/--password-artigen Flags
• KeePass-Tresor-Erkennung + Knacken — *.kdbx in C:\Users finden, via smbclient herunterladen, keepass2john | hashcat -m 13400

Verwendung

# Vollautomatisiert — Null-Anmeldeinformationskette (automatische Erkennung)
sudo ./ad-autopwn.py

# Mit Anmeldeinformationen — vollständige Kette
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# AWS / VPC-Labs (Layer-2-Angriffe blockiert) — Auto-Erkennung funktioniert trotzdem
sudo ./ad-autopwn.py --no-arp --no-wpad

# Prä-Auth-Anmeldeinformationserkennung (Lockout-sicher)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# BloodHound-Graph-Sammlung + automatische Hochwert-Analyse
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# Dollar Ticket — TGT für 'root' via automatisch erstelltes root$-Maschinenkonto
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# RBCD+KCD-Kette — vollständig ghost-SPN + RBCD + altservice-Umschreibung, auf einen Schlag
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# AppLocker-Bypass
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# Probelauf (jeden Befehl anzeigen, nichts ausführen — auch Hintergrundprozesse)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

Verfügbare Phasen