AD AutoPwn

Zéro-Auth vers Administrateur de domaine — Chaîne d'attaque Active Directory automatisée

Un outil de test d'intrusion entièrement automatisé qui enchaîne plus de 25 techniques d'attaque pour compromettre des environnements Active Directory. Conçu pour des évaluations de sécurité autorisées.

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ Zéro-Auth vers Administrateur de domaine — Chaîne d'attaque
    Découvrir | Sniffer | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Rôti
    BloodHound | Refléter | Butin | RBCD+KCD | DCSync | DPAPI

Fonctionnalités

Découverte de noms d'utilisateur et d'identifiants avant authentification (zéro identifiant)

• kerbrute Énumération d'utilisateurs KRB-AS-REQ (sécurisé contre les verrouillages)
• Ping CLDAP NetLogon — énumération de noms d'utilisateur (sécurisé contre les verrouillages)
• AS-REP roast de tous les candidats (hashs gratuits pour les comptes avec DONT_REQ_PREAUTH)
• pre2k auto-test (machines avec mot de passe par défaut de compatibilité Windows 2000)
• Pulvérisation d'un seul mot de passe — conscient du verrouillage, activable via --spray-password

Attaques couche 2 / passives sans authentification

• Sniffing réseau passif — détection WPAD, WSUS, PXE, LLMNR, DHCPv6, TFTP, SCCM ProxyDHCP
• Spoofing ARP + relais NTLM — capture et craquage de hashs NTLMv2
• Empoisonnement WPAD — détournement DNS IPv6 mitm6 / Responder
• Relais WSUS — interception de l'authentification NTLM de Windows Update (port 8530/8531)
• Vol d'identifiants de démarrage PXE — extraction d'identifiants depuis des images de démarrage via TFTP/WIM
• Dépôts de fichiers de vol NTLM — fichiers .library-ms / .theme / .url sur des partages accessibles en écriture
• Coercition WebDAV — relais HTTP WebClient → LDAP (contourne la signature SMB)
• Coercition DHCP — relais de compte machine du serveur DHCP

Contournement par réflexion d'authentification (Synacktiv 2026)

• CVE-2025-58726 ghost-SPN — réflexion AP-REQ Kerberos (déclenchée automatiquement par l'action automatique de BloodHound)
• CVE-2026-24294 LPE — réflexion SMB sur port TCP arbitraire (Win11 24H2 / Server 2025 avant mars 2026)
• CVE-2026-26128 LPE — boucle locale Kerberos via SPN Unicode
• Repli Unicode-SPN lorsque le chemin CVE-2025-33073 est corrigé

Récolte d'identifiants (post-authentification)

• Kerberoasting — extraction et craquage automatique des hashs SPN (mode hashcat 13100/19700)
• AS-REP Roasting — craquage des comptes sans pré-authentification (mode hashcat 18200)
• Timeroast — hashs SNTP-MS depuis n'importe quelle machine jointe au domaine (mode hashcat 31300)
• Récupération du mot de passe LAPS + attribut LDAP userPassword + mots de passe divulgués dans les descriptions (extraits via la batterie d'enrichissement nxc)
• Vol NAA SCCM — extraction des identifiants de compte d'accès réseau via sccmhunter

Chaînes d'attaque guidées par graphe (BloodHound)

• Collecte bloodhound-python -c All + analyse ZIP
• Résultats de haute valeur — Administrateurs de domaine/Entreprise/Schéma, Kerberoastable, AS-REP roastable, délégation non contrainte, RBCD entrant, LAPS, AdminCount
• Analyse des arêtes exploitables — fermeture des principaux contrôlés (vous + appartenances à des groupes transitifs) → arêtes ACE où vous êtes le principal : WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• Chaîne d'action automatique — déclenche automatiquement les primitives correspondantes :
  • WriteSPN → mise à niveau ghost-SPN (CVE-2025-58726)
  • AddKeyCredentialLink → credentials fantômes → PKINIT → hash NT
  • GenericAll / WriteAccountRestrictions sur un ordinateur → chaîne RBCD → TGS administrateur

Primitives d'élévation de privilèges

• Exploitation AD CS — ESC1-ESC16 via certipy (énumération + exploitation automatiques)
  • ESC8 (relais d'inscription web)
  • ESC9/ESC10 échange UPN (contournement CVE-2022-26923)
  • ESC4 modification+exploitation+restauration de modèle (sûr pour le répertoire de travail)
  • Énumération Certihound avec repli certipy (authentification par hash NT)
• Credentials fantômes — msDS-KeyCredentialLink via ntlmrelayx ou pywhisker
• Abus RBCD — délégation contrainte basée sur les ressources (addcomputer + S4U2Self + S4U2Proxy)
• Orchestrateur de chaîne RBCD+KCD — WriteSPN complet → ghost-SPN → RBCD → S4U2Proxy → réécriture -altservice, en une seule phase
• Réécriture de nom de service TGS (contournement de transition de protocole KCD de type tgssub) — autonome ou en ligne via -altservice
• Dollar Ticket — nouvelle tentative automatique du suffixe $ par le KDC lors de la recherche du principal → TGT pour un utilisateur Linux via un compte machine <user>$ créé automatiquement → SSH GSSAPI
• Abus GPO — tâche planifiée pyGPOAbuse en tant que SYSTEM

Compromission du domaine

• DCSync — vidage complet des hashs du domaine via impacket-secretsdump
• Clé de sauvegarde DPAPI — extraction de la clé DPAPI du domaine pour déchiffrement hors ligne des identifiants
• Contournement AppLocker — LOLBins (mshta, certutil, regsvr32, etc.) + livraison signée WSUS
• Injection de mise à jour WSUS — pousser des mises à jour Windows malveillantes via wsuks

Butin post-exploitation

• Récolte de lignes de commande de processus — Get-CimInstance Win32_Process via nxc -x ; grep regex pour mots de passe dans mysql/sqlcmd/runas/KeePass/indicateurs de style --password
• Découverte et craquage de coffres KeePass — trouver *.kdbx dans C:\Users, télécharger via smbclient, keepass2john | hashcat -m 13400

Utilisation

# Entièrement automatisé — chaîne zéro-identifiant (détection automatique de tout)
sudo ./ad-autopwn.py

# Avec identifiants — chaîne complète
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# Laboratoires AWS / VPC (attaques couche 2 bloquées) — la détection automatique fonctionne toujours
sudo ./ad-autopwn.py --no-arp --no-wpad

# Découverte d'identifiants avant authentification (sécurisé contre les verrouillages)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# Collecte de graphe BloodHound + analyse automatique de haute valeur
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# Dollar Ticket — TGT pour 'root' via compte machine root$ créé automatiquement
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# Chaîne RBCD+KCD — ghost-SPN complet + RBCD + réécriture altservice, en un tir
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# Contournement AppLocker
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# Simulation (affiche chaque commande, n'en exécute aucune — même les processus d'arrière-plan)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

Phases disponibles