ADRecon: Active Directory Recon

Este repo contiene actualizaciones del concepto y código original de Prashant Mahajan (@prashant3535) mientras trabajaba en Sense of Security.

ADRecon es una herramienta que extrae y combina diversos artefactos (como se destaca a continuación) de un entorno AD. La información puede presentarse en un informe de Microsoft Excel con un formato especial que incluye vistas resumidas con métricas para facilitar el análisis y proporcionar una imagen holística del estado actual del entorno AD objetivo.

La herramienta es útil para diversas clases de profesionales de la seguridad como auditores, DFIR, estudiantes, administradores, etc. También puede ser una herramienta invaluable de post-explotación para un pentester.

Puede ejecutarse desde cualquier estación de trabajo conectada al entorno, incluso hosts que no son miembros del dominio. Además, la herramienta puede ejecutarse en el contexto de una cuenta no privilegiada (es decir, un usuario de dominio estándar). Fine Grained Password Policy, LAPS y BitLocker pueden requerir cuentas de usuario privilegiadas. La herramienta utilizará Microsoft Remote Server Administration Tools (RSAT) si está disponible; de lo contrario, se comunicará con el Domain Controller mediante LDAP.

La siguiente información es recopilada por la herramienta:

• Forest;
• Domain;
• Trusts;
• Sites;
• Subnets;
• Schema History;
• Default and Fine Grained Password Policy (si está implementada);
• Domain Controllers, versiones de SMB, si SMB Signing está soportado y roles FSMO;
• Users y sus atributos;
• Service Principal Names (SPNs);
• Groups, membresías y cambios;
• Organizational Units (OUs);
• Objetos GroupPolicy y detalles de gPLink;
• DNS Zones y Records;
• Printers;
• Computers y sus atributos;
• PasswordAttributes (Experimental);
• Contraseñas LAPS (si está implementado);
• BitLocker Recovery Keys (si está implementado);
• ACLs (DACLs y SACLs) para los objetos Domain, OUs, Root Containers, GPO, Users, Computers y Groups (no incluido en el método de recolección predeterminado);
• GPOReport (requiere RSAT);
• Kerberoast (no incluido en el método de recolección predeterminado); y
• Cuentas de dominio utilizadas para cuentas de servicio (requiere cuenta privilegiada y no está incluido en el método de recolección predeterminado).

ADRecon fue presentado en: - Slidedeck

| - Slidedeck

Bay Area OWASP - Slidedeck

CHCON - Slidedeck

Primeros pasos

Estas instrucciones te permitirán obtener una copia de la herramienta y ponerla en funcionamiento en tu máquina local.

Requisitos previos

• .NET Framework 3.0 o posterior (Windows 7 incluye 3.0)
• PowerShell 2.0 o posterior (Windows 7 incluye 2.0)
  • Powershell Core en Windows está soportado (Probado en PowerShell v7.2.2 ejecutándose en Windows 10)
• Un host Windows (Powershell para Linux/macOS no está soportado)

Opcional

• Microsoft Excel (para generar el informe)
• Remote Server Administration Tools (RSAT):
  • Windows 10 (October 2018 Update o 1809 y posteriores), RSAT se incluye como un conjunto de Features on Demand.
    • Haz clic en Inicio --> Configuración --> Aplicaciones --> Aplicaciones y características --> Administrar características opcionales --> Agregar una característica --> Selecciona lo siguiente:
      • RSAT: Active Directory Domain Services and Lightweight Directory Services Tools
      • RSAT: Group Policy Management Tools
  • Windows 10 (https://www.microsoft.com/en-au/download/details.aspx?id=45520)
  • Windows 7 (https://www.microsoft.com/en-au/download/details.aspx?id=7887)

Instalación

Si tienes git instalado, puedes comenzar clonando el repositorio:

git clone https://github.com/adrecon/ADRecon.git

De lo contrario, puedes descargar un archivo zip de la última versión. La intención es mantener siempre la rama master en un estado funcional.

Uso

Ejemplos

Para ejecutar ADRecon en un host miembro del dominio.

PS C:\> .\ADRecon.ps1

Para ejecutar ADRecon en un host miembro del dominio como un usuario diferente.

PS C:\>.\ADRecon.ps1 -DomainController <IP or FQDN> -Credential <domain\username>

Para ejecutar ADRecon en un host no miembro usando LDAP.

PS C:\>.\ADRecon.ps1 -Method LDAP -DomainController <IP or FQDN> -Credential <domain\username>

Para ejecutar ADRecon con módulos específicos en un host no miembro con RSAT. (El OutputType predeterminado es STDOUT con el parámetro -Collect)

PS C:\>.\ADRecon.ps1 -Method ADWS -DomainController <IP or FQDN> -Credential <domain\username> -Collect Domain, DomainControllers

Para generar el ADRecon-Report.xlsx basado en la salida de ADRecon (archivos CSV).

PS C:\>.\ADRecon.ps1 -GenExcel C:\ADRecon-Report-<timestamp>

Cuando ejecutes ADRecon, se creará una carpeta ADRecon-Report-<timestamp> que contendrá ADRecon-Report.xlsx y una carpeta CSV con los archivos sin procesar.

Parámetros

-Method <String>
    Which method to use; ADWS (default), LDAP

-DomainController <String>
    Domain Controller IP Address or Domain FQDN.

-Credential <PSCredential>
    Domain Credentials.

-GenExcel <String>
    Path for ADRecon output folder containing the CSV files to generate the ADRecon-Report.xlsx. Use it to generate the ADRecon-Report.xlsx when Microsoft Excel is not installed on the host used to run ADRecon.

-OutputDir <String>
    Path for ADRecon output folder to save the CSV/XML/JSON/HTML files and the ADRecon-Report.xlsx. (The folder specified will be created if it doesn't exist) (Default pwd)

-Collect <String>
    Which modules to run (Comma separated; e.g Forest,Domain. Default all except ACLs, Kerberoast and DomainAccountsusedforServiceLogon)
    Valid values include: Forest, Domain, Trusts, Sites, Subnets, SchemaHistory, PasswordPolicy, FineGrainedPasswordPolicy, DomainControllers, Users, UserSPNs, PasswordAttributes, Groups, GroupChanges, GroupMembers, OUs, ACLs, GPOs, gPLinks, GPOReport, DNSZones, DNSRecords, Printers, Computers, ComputerSPNs, LAPS, BitLocker, Kerberoast DomainAccountsusedforServiceLogon.

-OutputType <String>
    Output Type; Comma seperated; e.g CSV,STDOUT,Excel (Default STDOUT with -Collect parameter, else CSV and Excel).
    Valid values include: STDOUT, CSV, XML, JSON, HTML, Excel, All (excludes STDOUT).

-DormantTimeSpan <Int>
    Timespan for Dormant accounts. (Default 90 days)

-PassMaxAge <Int>
    Maximum machine account password age. (Default 30 days)

-PageSize <Int>
    The PageSize to set for the LDAP searcher object. (Default 200)