AD AutoPwn

De Cero Autenticación a Administrador de Dominio — Cadena de Ataque Automatizada a Active Directory

Una herramienta de pruebas de penetración completamente automatizada que encadena más de 25 técnicas de ataque para comprometer entornos de Active Directory. Diseñada para evaluaciones de seguridad autorizadas.

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ Cero Autenticación a Administrador de Dominio — Cadena de Ataque
    Descubrir | Sniff | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roast
    BloodHound | Reflejar | Saquear | RBCD+KCD | DCSync | DPAPI

Características

Descubrimiento de nombres de usuario y credenciales previo a la autenticación (sin credenciales)

• kerbrute Enumeración de usuarios KRB-AS-REQ (seguro contra bloqueo de cuentas)
• CLDAP NetLogon ping Enumeración de nombres de usuario (seguro contra bloqueo de cuentas)
• AS-REP roast de todos los candidatos (hashes gratuitos para cuentas con DONT_REQ_PREAUTH)
• pre2k auto-test (máquinas con contraseña predeterminada por compatibilidad con Windows 2000)
• Spray de una sola contraseña (consciente de bloqueo, opt-in mediante --spray-password)

Ataques de capa 2 / pasivos sin autenticación

• Sniffing pasivo de red — detección de WPAD, WSUS, PXE, LLMNR, DHCPv6, TFTP, SCCM ProxyDHCP
• ARP spoof + NTLM relay — captura y craqueo de hashes NTLMv2
• Envenenamiento WPAD — mitm6 / Responder secuestro de DNS IPv6
• WSUS relay — interceptar autenticación NTLM de Windows Update (puerto 8530/8531)
• Robo de credenciales de arranque PXE — extraer credenciales de imágenes de arranque mediante TFTP/WIM
• Colocación de archivos para robo NTLM — archivos .library-ms / .theme / .url en recursos compartidos con escritura
• Coerción WebDAV — WebClient HTTP → relay LDAP (bypassea el firmado SMB)
• Coerción DHCP — relay de cuenta de máquina del servidor DHCP

Bypass de reflexión de autenticación (Synacktiv 2026)

• CVE-2025-58726 ghost-SPN Reflexión Kerberos AP-REQ (disparada automáticamente por la acción automática de BloodHound)
• CVE-2026-24294 LPE — SMB-en-puerto-tcp arbitrario reflexión (Win11 24H2 / Server 2025 anterior a marzo 2026)
• CVE-2026-26128 LPE — Bucle de retorno Kerberos mediante SPN Unicode
• Unicode-SPN fallback cuando la ruta CVE-2025-33073 está parcheada

Captura de credenciales (post-autenticación)

• Kerberoasting — extraer y auto-craquear hashes SPN (modo hashcat 13100/19700)
• AS-REP Roasting — crackear cuentas sin pre-autenticación (modo hashcat 18200)
• Timeroast — hashes SNTP-MS desde cualquier máquina unida al dominio (modo hashcat 31300)
• Recuperación de contraseñas LAPS + atributo LDAP userPassword + contraseñas filtradas en descripción (extraídas de la batería de enriquecimiento de nxc)
• Robo SCCM NAA — extraer credenciales de cuenta de acceso a red mediante sccmhunter

Cadenas de ataque basadas en gráficos (BloodHound)

• bloodhound-python -c All Colección + análisis ZIP
• Hallazgos de alto valor — Administradores de dominio/empresa/esquema, Kerberoasteable, AS-REP rosteable, delegación sin restricciones, RBCD entrante, LAPS, AdminCount
• Análisis de aristas accionables — cierre de principal controlado (tú + membresías de grupo transitivas) → aristas ACE donde tú eres el principal: WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• Cadena de acción automática — dispara automáticamente las primitivas coincidentes:
  • WriteSPN → mejora ghost-SPN (CVE-2025-58726)
  • AddKeyCredentialLink → shadow credentials → PKINIT → hash NT
  • GenericAll / WriteAccountRestrictions en Computer → cadena RBCD → TGS de administrador

Primitivas de escalada de privilegios

• Explotación AD CS — ESC1-ESC16 mediante certipy (auto-enumeración + explotación)
  • ESC8 (relay de inscripción web)
  • ESC9/ESC10 intercambio de UPN (bypass CVE-2022-26923)
  • ESC4 modificación de plantilla + explotación + restauración (seguro en directorio actual)
  • Enumeración Certihound con fallback a certipy (autenticación con hash NT)
• Shadow Credentials — msDS-KeyCredentialLink mediante ntlmrelayx o pywhisker
• Abuso RBCD — Delegación restringida basada en recursos (addcomputer + S4U2Self + S4U2Proxy)
• Orquestador de cadena RBCD+KCD — WriteSPN completo → ghost-SPN → RBCD → S4U2Proxy → reescritura -altservice, en una fase
• Reescritura de sname de TGS (bypass de transición de protocolo KCD estilo tgssub) — independiente o en línea mediante -altservice
• Dollar Ticket — Reintento automático de sufijo $ del KDC en búsqueda de principal → TGT para usuario Linux mediante cuenta de máquina <user>$ creada automáticamente → GSSAPI SSH
• Abuso GPO — tarea programada como SYSTEM mediante pyGPOAbuse

Compromiso del dominio

• DCSync — volcado completo de hashes del dominio mediante impacket-secretsdump
• Clave de respaldo DPAPI — extraer clave DPAPI del dominio para descifrado offline de credenciales
• Bypass de AppLocker — LOLBins (mshta, certutil, regsvr32, etc.) + entrega firmada WSUS
• Inyección de actualizaciones WSUS — enviar actualizaciones maliciosas de Windows mediante wsuks

Botín de post-explotación

• Cosecha de línea de comandos de procesos — Get-CimInstance Win32_Process mediante nxc -x; búsqueda regex de contraseñas en flags de mysql/sqlcmd/runas/KeePass/--password
• Descubrimiento y craqueo de bóvedas KeePass — encontrar *.kdbx en C:\Users, descargar mediante smbclient, keepass2john | hashcat -m 13400

Uso

# Cadena completamente automatizada — sin credenciales (descubre todo automáticamente)
sudo ./ad-autopwn.py

# Con credenciales — cadena completa
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# Laboratorios AWS / VPC (ataques de capa 2 bloqueados) — el descubrimiento automático sigue funcionando
sudo ./ad-autopwn.py --no-arp --no-wpad

# Descubrimiento de credenciales previo a la autenticación (seguro contra bloqueo)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# Colección de gráficos BloodHound + análisis automático de alto valor
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# Dollar Ticket — TGT para 'root' mediante cuenta de máquina root$ creada automáticamente
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# Cadena RBCD+KCD — ghost-SPN completo + RBCD + reescritura altservice, de un solo disparo
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# Bypass de AppLocker
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# Ejecución en seco (imprime cada comando, no ejecuta nada — incluso procesos en segundo plano)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

Fases disponibles