Overthrone

Active-Directory-Exploitation-Framework.
Jeder Thron fällt. Overthrone sorgt dafür.

---

Was ist das  ·  Installation  ·  Wortlisten  ·  Befehle  ·  Wizard-Nutzung  ·  Architektur  ·  Funktionen  ·  Beispiele  ·  FAQ

---

Was ist das?

Du weißt, wie im mittelalterlichen Krieg die Einnahme einer Burg Belagerungsingenieure, Späher, Kavallerie, Bogenschützen, Sappeurs und jemanden erforderte, der das Tor von innen öffnete? Active-Directory-Pentesting ist genau das, nur dass die Burg ein Fortune-500-Unternehmen ist, das Tor eine fehlkonfigurierte Gruppenrichtlinie und der „Jemand im Inneren" ein Dienstkonto mit Password123! ist, das nicht rotiert wurde, seit Windows Server 2008 als modern galt.

Overthrone ist ein Full-Spectrum-AD-Red-Team-Framework, das die gesamte Kill Chain abdeckt – von „Ich habe Netzwerkzugriff und einen Traum" bis „Ich besitze jede Domäne in diesem Forest und hier ist ein 47-seitiges PDF, das es beweist." In Rust geschrieben, weil C2-Frameworks auch Speichersicherheit verdienen, und weil das Debuggen von Use-after-free-Bugs während eines Engagements der Weg ist, Vertrauensprobleme zu entwickeln (sowohl die Active-Directory-Art als auch die persönliche Art).

Dies ist kein Scanner. Dies ist kein „Mimikatz, aber in Rust"-Tool. Dies ist kein weiterer Python-Wrapper, der kaputtgeht, wenn man ihn schief anschaut. Dies ist die ganze Belagerungsmaschine. Eine Binärdatei. Minimale Laufzeitabhängigkeiten*. Alles Bedauern (für das Blue Team).

Kurzschreibweise: Jeder Befehl funktioniert sowohl mit overthrone als auch mit ovt. Denn das Leben ist zu kurz, um 10 Zeichen zu tippen, wenn 3 es auch tun. ovt wizard = overthrone wizard. Dieselben Kriegsverbrechen gegen Active Directory, weniger Tastenanschläge.

⚠️ Deprecation-Hinweis: Der Befehl ovt auto-pwn aus früheren Betas wurde entfernt und durch ovt wizard ersetzt. Wenn dein Muskelgedächtnis immer noch auto-pwn tippt, keine Sorge – deine Finger werden sich anpassen. Der Wizard ist das, was auto-pwn immer sein wollte, als es erwachsen wurde: interaktiv, fortsetzbar, Q-Learning-optimiert und mit Pause/Genehmigen pro Phase, damit du während einer Demo nicht versehentlich DCSync ausführst.

*Die Binärdatei ist statisch mit ~35 Rust-Crates gelinkt (Tokio, ldap3, kerberos_asn1 usw.) – kein Python, kein .NET, keine JVM. SMB-Dateioperationen, die smbclient-artige Shell (ovt smb shell), RPC (ovt rpc, rpcclient-Befehlssatz) und Remote-Ausführung laufen alle auf dem integrierten Pure-Rust-SMB2-Client; die externe smbclient-Binärdatei wird nur als letzter Ausweg auf Hosts verwendet, auf denen der integrierte Client nicht verhandeln kann.

Die Kill Chain

sequenceDiagram
    participant Op as Operator
    participant CLI as overthrone-cli
    participant PILOT as overthrone-pilot
    participant REAPER as overthrone-reaper
    participant HUNTER as overthrone-hunter
    participant FORGE as overthrone-forge
    participant CORE as overthrone-core
    participant DC as Domain Controller

    Note over Op,DC: Phase 0: Initial Access (T1078)
    Op->>CLI: ovt enum / scan / kerberos commands
    CLI->>CORE: TCP/TLS connect to target

    Note over CLI,DC: Phase 1: Discovery & Enumeration (T1087, T1069, T1482)
    CLI->>REAPER: enum_all(target, domain, credentials)
    REAPER->>CORE: LDAP bind + paginated search
    CORE->>DC: LDAP query (port 389/636)
    DC-->>CORE: RootDSE + namingContexts
    CORE->>DC: Search base DN: users, groups, computers
    DC-->>CORE: LDAP entries with attributes
    CORE-->>REAPER: Structured ADData
    Note over REAPER: Enrich: LAPS v1/v2 decrypt, GPP decrypt,<br/>Snaffler share crawl, ADCS template scan
    REAPER-->>CLI: ADData { users, groups, trusts, ACLs,<br/>GPOs, LAPS, SPNs, delegations }