AD AutoPwn

शून्य-प्रमाणीकरण से डोमेन व्यवस्थापक तक — स्वचालित सक्रिय निर्देशिका आक्रमण श्रृंखला

एक पूरी तरह से स्वचालित पैठ परीक्षण उपकरण जो सक्रिय निर्देशिका वातावरण से समझौता करने के लिए 25+ आक्रमण तकनीकों को जोड़ता है। अधिकृत सुरक्षा मूल्यांकनों के लिए डिज़ाइन किया गया।

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ शून्य-प्रमाणीकरण से डोमेन व्यवस्थापक — आक्रमण श्रृंखला
    खोजें | सूँघें | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roast
    BloodHound | Reflect | Loot | RBCD+KCD | DCSync | DPAPI

विशेषताएँ

प्री-ऑथ उपयोगकर्ता नाम और क्रेडेंशियल खोज (शून्य क्रेडेंशियल)

• kerbrute KRB-AS-REQ उपयोगकर्ता गणना (लॉकआउट-सुरक्षित)
• CLDAP NetLogon पिंग उपयोगकर्ता नाम गणना (लॉकआउट-सुरक्षित)
• AS-REP रोस्ट सभी उम्मीदवारों का (मुफ्त हैश उन खातों के लिए जिनमें DONT_REQ_PREAUTH है)
• pre2k ऑटो-टेस्ट (Windows 2000 संगतता डिफ़ॉल्ट-पासवर्ड मशीनें)
• एकल-पासवर्ड स्प्रे (लॉकआउट-जागरूक, वैकल्पिक --spray-password के माध्यम से)

लेयर-2 / निष्क्रिय शून्य-प्रमाणीकरण हमले

• निष्क्रिय नेटवर्क सूँघना — WPAD, WSUS, PXE, LLMNR, DHCPv6, TFTP, SCCM ProxyDHCP का पता लगाना
• ARP स्पूफ + NTLM रिले — NTLMv2 हैश कैप्चर करना और क्रैक करना
• WPAD विषाक्तीकरण — mitm6 / Responder IPv6 DNS हाईजैक
• WSUS रिले — Windows Update NTLM प्रमाणीकरण इंटरसेप्ट करना (पोर्ट 8530/8531)
• PXE बूट क्रेडेंशियल चोरी — TFTP/WIM के माध्यम से बूट इमेज से क्रेडेंशियल निकालना
• NTLM चोरी फ़ाइल ड्रॉप — .library-ms / .theme / .url फ़ाइलें लिखने योग्य शेयरों पर
• WebDAV बाध्यता — WebClient HTTP → LDAP रिले (SMB हस्ताक्षर को बायपास करता है)
• DHCP बाध्यता — DHCP सर्वर मशीन खाता रिले

प्रमाणीकरण-प्रतिबिंब बायपास (Synacktiv 2026)

• CVE-2025-58726 घोस्ट-SPN Kerberos AP-REQ प्रतिबिंब (BloodHound ऑटो-एक्शन द्वारा स्वचालित रूप से फायर)
• CVE-2026-24294 LPE — SMB-ऑन-आर्बिट्ररी-टीसीपीपोर्ट प्रतिबिंब (Win11 24H2 / Server 2025 मार्च-2026 से पहले)
• CVE-2026-26128 LPE — यूनिकोड SPN के माध्यम से Kerberos लूपबैक
• यूनिकोड-SPN फ़ॉलबैक जब CVE-2025-33073 पथ पैच किया गया हो

क्रेडेंशियल हार्वेस्टिंग (पोस्ट-ऑथ)

• Kerberoasting — SPN हैश निकालना और स्वचालित रूप से क्रैक करना (hashcat मोड 13100/19700)
• AS-REP Roasting — बिना प्री-ऑथ वाले खातों को क्रैक करना (hashcat मोड 18200)
• Timeroast — किसी भी डोमेन-जॉइन मशीन से SNTP-MS हैश (hashcat मोड 31300)
• LAPS पासवर्ड रिकवरी + userPassword LDAP विशेषता + विवरण-लीक हुए पासवर्ड (nxc संवर्धन बैटरी से खनन)
• SCCM NAA चोरी — sccmhunter के माध्यम से नेटवर्क एक्सेस अकाउंट क्रेडेंशियल निकालना

ग्राफ-संचालित आक्रमण श्रृंखलाएँ (BloodHound)

• bloodhound-python -c All संग्रह + ZIP विश्लेषण
• उच्च-मूल्य निष्कर्ष — डोमेन/एंटरप्राइज/स्कीमा एडमिन, Kerberoastable, AS-REP रोस्टेबल, अनियंत्रित प्रतिनिधिमंडल, RBCD इनबाउंड, LAPS, AdminCount
• कार्रवाई योग्य-एज विश्लेषण — नियंत्रित-प्रिंसिपल क्लोज़र (आप + सकर्मक समूह सदस्यताएँ) → ACE एज जहाँ आप प्रिंसिपल हैं: WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• ऑटो-एक्शन चेन — स्वचालित रूप से मिलान करने वाले प्रिमिटिव को फायर करता है:
  • WriteSPN → घोस्ट-SPN अपग्रेड (CVE-2025-58726)
  • AddKeyCredentialLink → शैडो क्रेडेंशियल → PKINIT → NT हैश
  • कंप्यूटर पर GenericAll / WriteAccountRestrictions → RBCD चेन → एडमिन TGS

विशेषाधिकार वृद्धि प्रिमिटिव

• AD CS शोषण — ESC1-ESC16 certipy के माध्यम से (स्वचालित एनुम + शोषण)
  • ESC8 (वेब-एनरोलमेंट रिले)
  • ESC9/ESC10 UPN-स्वैप (CVE-2022-26923 बायपास)
  • ESC4 टेम्पलेट संशोधित+शोषण+पुनर्स्थापना (cwd-सुरक्षित)
  • Certihound एनुमरेशन certipy फ़ॉलबैक के साथ (NT-हैश प्रमाणीकरण)
• शैडो क्रेडेंशियल — msDS-KeyCredentialLink ntlmrelayx या pywhisker के माध्यम से
• RBCD दुरुपयोग — संसाधन-आधारित प्रतिबंधित प्रतिनिधिमंडल (addcomputer + S4U2Self + S4U2Proxy)
• RBCD+KCD चेन ऑर्केस्ट्रेटर — पूर्ण WriteSPN → घोस्ट-SPN → RBCD → S4U2Proxy → -altservice पुनर्लेखन, एक चरण में
• TGS sname पुनर्लेखन (tgssub-शैली KCD प्रोटोकॉल-संक्रमण बायपास) — स्टैंडअलोन या इनलाइन -altservice के माध्यम से
• डॉलर टिकट — KDC का प्रिंसिपल लुकअप पर स्वचालित $-प्रत्यय पुनर्प्रयास → लिनक्स उपयोगकर्ता के लिए स्वचालित रूप से बनाए गए <user>$ मशीन खाते के माध्यम से TGT → GSSAPI SSH
• GPO दुरुपयोग — pyGPOAbuse निर्धारित कार्य SYSTEM के रूप में

डोमेन समझौता

• DCSync — impacket-secretsdump के माध्यम से पूर्ण डोमेन हैश डंप
• DPAPI बैकअप कुंजी — ऑफ़लाइन क्रेडेंशियल डिक्रिप्शन के लिए डोमेन DPAPI कुंजी निकालना
• AppLocker बायपास — LOLBins (mshta, certutil, regsvr32, आदि) + WSUS हस्ताक्षरित वितरण
• WSUS अपडेट इंजेक्शन — wsuks के माध्यम से दुर्भावनापूर्ण Windows अपडेट पुश करना

पोस्ट-एक्सप्लॉइटेशन लूट

• प्रक्रिया कमांड-लाइन हार्वेस्ट — Get-CimInstance Win32_Process nxc -x के माध्यम से; mysql/sqlcmd/runas/KeePass/--password शैली फ्लैग में पासवर्ड के लिए रेगेक्स-ग्रेप
• KeePass वॉल्ट खोज + क्रैक — C:\Users में *.kdbx ढूँढें, smbclient के माध्यम से डाउनलोड करें, keepass2john | hashcat -m 13400

उपयोग

# पूरी तरह से स्वचालित — शून्य-क्रेड चेन (सब कुछ स्वचालित रूप से खोजता है)
sudo ./ad-autopwn.py

# क्रेडेंशियल के साथ — पूर्ण चेन
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# AWS / VPC लैब (लेयर 2 हमले अवरुद्ध) — ऑटो-डिस्कवरी अभी भी काम करती है
sudo ./ad-autopwn.py --no-arp --no-wpad

# प्री-ऑथ क्रेडेंशियल खोज (लॉकआउट-सुरक्षित)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# BloodHound ग्राफ संग्रह + स्वचालित उच्च-मूल्य विश्लेषण
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# डॉलर टिकट — स्वचालित रूप से बनाए गए root$ मशीन खाते के माध्यम से 'root' के लिए TGT
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# RBCD+KCD चेन — पूर्ण घोस्ट-SPN + RBCD + altservice पुनर्लेखन, एक शॉट
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# AppLocker बायपास
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# ड्राई रन (प्रत्येक कमांड प्रिंट करें, कुछ न चलाएँ — यहाँ तक कि पृष्ठभूमि प्रक्रियाएँ भी)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

उपलब्ध चरण

निर्भरताएँ

APT (Kali Linux)

apt install python3 impacket-scripts netexec nmap hashcat tcpdump \
  responder dsniff arp-scan certipy-ad bloodyad bloodhound.py \
  smbclient atftp wimtools john seclists

Git रिपॉजिटरीज़ (/opt/tools/ में क्लोन करें)

git clone https://github.com/mverschu/CVE-2025-33073        /opt/tools/CVE-2025-33073
git clone https://github.com/dirkjanm/krbrelayx              /opt/tools/krbrelayx
git clone https://github.com/Wh04m1001/DFSCoerce             /opt/tools/DFSCoerce
git clone https://github.com/ShutdownRepo/ShadowCoerce       /opt/tools/ShadowCoerce
git clone https://github.com/ShutdownRepo/pywhisker          /opt/tools/pywhisker
git clone https://github.com/dirkjanm/PKINITtools            /opt/tools/PKINITtools
git clone https://github.com/csandker/pxethiefy              /opt/tools/pxethiefy
git clone https://github.com/garrettfoster13/sccmhunter      /opt/tools/sccmhunter
git clone https://github.com/dirkjanm/mitm6                  /opt/tools/mitm6
git clone https://github.com/Hackndo/pyGPOAbuse              /opt/tools/pyGPOAbuse
git clone https://github.com/Hackndo/WebclientServiceScanner /opt/tools/WebclientServiceScanner
git clone https://github.com/almandin/Certihound             /opt/tools/Certihound

Pipx पैकेज

pipx install coercer
pipx install wsuks --system-site-packages

अन्य बाइनरी

• kerbrute — नवीनतम बाइनरी प्राप्त करें https://github.com/ropnop/kerbrute/releases से — /usr/local/bin/ में इंस्टॉल करें
• userenum-cldap — साथी CLDAP NetLogon-पिंग गणक (इस रिपॉजिटरी में userenum-cldap.py के रूप में रहता है; /usr/local/bin/userenum-cldap में इंस्टॉल करें)
• asn1tools — pip install asn1tools (CLDAP एनम रनटाइम निर्भरता)

त्वरित स्थापना (Kali पर सभी निर्भरताएँ)

# APT पैकेज
sudo apt install python3 impacket-scripts netexec nmap hashcat tcpdump \
  responder dsniff arp-scan certipy-ad bloodyad bloodhound.py \
  smbclient atftp wimtools john seclists

# सभी आवश्यक रिपॉजिटरी
for repo in mverschu/CVE-2025-33073 dirkjanm/krbrelayx \
            Wh04m1001/DFSCoerce ShutdownRepo/ShadowCoerce \
            ShutdownRepo/pywhisker dirkjanm/PKINITtools \
            csandker/pxethiefy garrettfoster13/sccmhunter \
            dirkjanm/mitm6 Hackndo/pyGPOAbuse \
            Hackndo/WebclientServiceScanner almandin/Certihound; do
  sudo git clone "https://github.com/$repo" "/opt/tools/$(basename $repo)"
done

# जिन रिपॉजिटरी को उनकी आवश्यकता है, उनके लिए Python निर्भरताएँ
for repo in pywhisker PKINITtools sccmhunter pxethiefy mitm6 pyGPOAbuse Certihound; do
  [ -f "/opt/tools/$repo/requirements.txt" ] && \
    pip3 install --break-system-packages -r "/opt/tools/$repo/requirements.txt"
done

# Pipx पैकेज
pipx install coercer
pipx install wsuks --system-site-packages

# kerbrute (ropnop) बाइनरी
sudo wget -q -O /usr/local/bin/kerbrute \
  https://github.com/ropnop/kerbrute/releases/download/v1.0.3/kerbrute_linux_amd64
sudo chmod +x /usr/local/bin/kerbrute

# CLDAP userenum रनटाइम निर्भरता
sudo pip3 install --break-system-packages asn1tools

# userenum-cldap साथी स्क्रिप्ट (यह रिपॉजिटरी)
sudo wget -q -O /usr/local/bin/userenum-cldap \
  https://raw.githubusercontent.com/jonaslejon/ad-autopwn/main/userenum-cldap.py
sudo chmod +x /usr/local/bin/userenum-cldap

# ad-autopwn स्वयं
sudo cp ad-autopwn.py /usr/local/bin/ad-autopwn
sudo chmod +x /usr/local/bin/ad-autopwn

check_prerequisites() प्रत्येक आह्वान के शीर्ष पर चलता है और उस स्क्रिप्ट द्वारा छूए गए प्रत्येक टूल के लिए हरे ✅ / पीले ⚠️ स्थिति को प्रिंट करता है, जिसमें किसी भी गुम चीज़ के लिए इंस्टॉल संकेत शामिल हैं।

परीक्षण किया गया

• GOAD-Light (Game of Active Directory, Orange Cyberdefense) AWS eu-west-1 पर — पूर्ण v4.10.0 चरण कवरेज एंड-टू-एंड सत्यापित। AWS पर ऑटो-डिस्कवरी अब केवल --no-arp --no-wpad के साथ काम करती है (बाकी सब कुछ — इंटरफ़ेस, हमलावर IP, डोमेन, DC IP, DC FQDN — सबनेट स्वीप + @<dc_ip> पर dig फ़ॉलबैक के माध्यम से स्वचालित रूप से पता लगाया जाता है)।
• BloodHound ऑटो-एक्शन चेन विहित stannis.baratheon → GenericAll → KINGSLANDING$ एज के विरुद्ध सिद्ध: एकल निम्न-विशेषाधिकार क्रेडेंशियल से DC पर 5 सेकंड में एडमिन TGS तक।
• DCSync ने krbtgt सहित 20 क्रेडेंशियल निकाले — गोल्डन टिकट व्यवहार्य।

सुरक्षा

• --dry-run प्रत्येक कमांड (अग्रभूमि और पृष्ठभूमि) बिना निष्पादित किए प्रिंट करता है — ARP स्पूफर, mitm6, Responder, या ntlmrelayx नहीं चलाएगा।
• ESC4 टेम्पलेट संशोधन try/finally में os.chdir के साथ लिपटे हुए हैं ताकि किसी भी निकास पथ पर पुनर्स्थापना सही निर्देशिका में उतरे।
• AD CS / RBCD / घोस्ट-SPN चेन पूर्णता पर लगाए गए रिकॉर्ड (DNS रिकॉर्ड, Trusted-For-Delegation UAC बिट्स, घोस्ट SPN) को साफ करने का प्रयास करती हैं। आपके द्वारा बनाए गए मशीन खाते AD में रहते हैं — सफाई कमांड के लिए रन आउटपुट में ऑपरेटर नोट्स देखें।
• --no-cleanup फोरेंसिक समीक्षा के लिए सब कुछ रखता है।

अस्वीकरण

केवल अधिकृत पैठ परीक्षण और सुरक्षा अनुसंधान के लिए।

यह उपकरण अधिकृत जुड़ाव के दौरान सुरक्षा पेशेवरों द्वारा उपयोग के लिए डिज़ाइन किया गया है। कंप्यूटर सिस्टम तक अनधिकृत पहुँच अवैध है। परीक्षण से पहले हमेशा लिखित अनुमति प्राप्त करें।

लेखक

Triop AB — https://triop.se

लाइसेंस

MIT