AD AutoPwn

शून्य-प्रमाणीकरण से डोमेन व्यवस्थापक तक — स्वचालित सक्रिय निर्देशिका आक्रमण श्रृंखला

एक पूरी तरह से स्वचालित पैठ परीक्षण उपकरण जो सक्रिय निर्देशिका वातावरण से समझौता करने के लिए 25+ आक्रमण तकनीकों को जोड़ता है। अधिकृत सुरक्षा मूल्यांकनों के लिए डिज़ाइन किया गया।

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ शून्य-प्रमाणीकरण से डोमेन व्यवस्थापक — आक्रमण श्रृंखला
    खोजें | सूँघें | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roast
    BloodHound | Reflect | Loot | RBCD+KCD | DCSync | DPAPI

विशेषताएँ

प्री-ऑथ उपयोगकर्ता नाम और क्रेडेंशियल खोज (शून्य क्रेडेंशियल)

• kerbrute KRB-AS-REQ उपयोगकर्ता गणना (लॉकआउट-सुरक्षित)
• CLDAP NetLogon पिंग उपयोगकर्ता नाम गणना (लॉकआउट-सुरक्षित)
• AS-REP रोस्ट सभी उम्मीदवारों का (मुफ्त हैश उन खातों के लिए जिनमें DONT_REQ_PREAUTH है)
• pre2k ऑटो-टेस्ट (Windows 2000 संगतता डिफ़ॉल्ट-पासवर्ड मशीनें)
• एकल-पासवर्ड स्प्रे (लॉकआउट-जागरूक, वैकल्पिक --spray-password के माध्यम से)

लेयर-2 / निष्क्रिय शून्य-प्रमाणीकरण हमले

• निष्क्रिय नेटवर्क सूँघना — WPAD, WSUS, PXE, LLMNR, DHCPv6, TFTP, SCCM ProxyDHCP का पता लगाना
• ARP स्पूफ + NTLM रिले — NTLMv2 हैश कैप्चर करना और क्रैक करना
• WPAD विषाक्तीकरण — mitm6 / Responder IPv6 DNS हाईजैक
• WSUS रिले — Windows Update NTLM प्रमाणीकरण इंटरसेप्ट करना (पोर्ट 8530/8531)
• PXE बूट क्रेडेंशियल चोरी — TFTP/WIM के माध्यम से बूट इमेज से क्रेडेंशियल निकालना
• NTLM चोरी फ़ाइल ड्रॉप — .library-ms / .theme / .url फ़ाइलें लिखने योग्य शेयरों पर
• WebDAV बाध्यता — WebClient HTTP → LDAP रिले (SMB हस्ताक्षर को बायपास करता है)
• DHCP बाध्यता — DHCP सर्वर मशीन खाता रिले

प्रमाणीकरण-प्रतिबिंब बायपास (Synacktiv 2026)

• CVE-2025-58726 घोस्ट-SPN Kerberos AP-REQ प्रतिबिंब (BloodHound ऑटो-एक्शन द्वारा स्वचालित रूप से फायर)
• CVE-2026-24294 LPE — SMB-ऑन-आर्बिट्ररी-टीसीपीपोर्ट प्रतिबिंब (Win11 24H2 / Server 2025 मार्च-2026 से पहले)
• CVE-2026-26128 LPE — यूनिकोड SPN के माध्यम से Kerberos लूपबैक
• यूनिकोड-SPN फ़ॉलबैक जब CVE-2025-33073 पथ पैच किया गया हो

क्रेडेंशियल हार्वेस्टिंग (पोस्ट-ऑथ)

• Kerberoasting — SPN हैश निकालना और स्वचालित रूप से क्रैक करना (hashcat मोड 13100/19700)
• AS-REP Roasting — बिना प्री-ऑथ वाले खातों को क्रैक करना (hashcat मोड 18200)
• Timeroast — किसी भी डोमेन-जॉइन मशीन से SNTP-MS हैश (hashcat मोड 31300)
• LAPS पासवर्ड रिकवरी + userPassword LDAP विशेषता + विवरण-लीक हुए पासवर्ड (nxc संवर्धन बैटरी से खनन)
• SCCM NAA चोरी — sccmhunter के माध्यम से नेटवर्क एक्सेस अकाउंट क्रेडेंशियल निकालना

ग्राफ-संचालित आक्रमण श्रृंखलाएँ (BloodHound)

• bloodhound-python -c All संग्रह + ZIP विश्लेषण
• उच्च-मूल्य निष्कर्ष — डोमेन/एंटरप्राइज/स्कीमा एडमिन, Kerberoastable, AS-REP रोस्टेबल, अनियंत्रित प्रतिनिधिमंडल, RBCD इनबाउंड, LAPS, AdminCount
• कार्रवाई योग्य-एज विश्लेषण — नियंत्रित-प्रिंसिपल क्लोज़र (आप + सकर्मक समूह सदस्यताएँ) → ACE एज जहाँ आप प्रिंसिपल हैं: WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• ऑटो-एक्शन चेन — स्वचालित रूप से मिलान करने वाले प्रिमिटिव को फायर करता है:
  • WriteSPN → घोस्ट-SPN अपग्रेड (CVE-2025-58726)
  • AddKeyCredentialLink → शैडो क्रेडेंशियल → PKINIT → NT हैश
  • कंप्यूटर पर GenericAll / WriteAccountRestrictions → RBCD चेन → एडमिन TGS

विशेषाधिकार वृद्धि प्रिमिटिव

• AD CS शोषण — ESC1-ESC16 certipy के माध्यम से (स्वचालित एनुम + शोषण)
  • ESC8 (वेब-एनरोलमेंट रिले)
  • ESC9/ESC10 UPN-स्वैप (CVE-2022-26923 बायपास)
  • ESC4 टेम्पलेट संशोधित+शोषण+पुनर्स्थापना (cwd-सुरक्षित)
  • Certihound एनुमरेशन certipy फ़ॉलबैक के साथ (NT-हैश प्रमाणीकरण)
• शैडो क्रेडेंशियल — msDS-KeyCredentialLink ntlmrelayx या pywhisker के माध्यम से
• RBCD दुरुपयोग — संसाधन-आधारित प्रतिबंधित प्रतिनिधिमंडल (addcomputer + S4U2Self + S4U2Proxy)
• RBCD+KCD चेन ऑर्केस्ट्रेटर — पूर्ण WriteSPN → घोस्ट-SPN → RBCD → S4U2Proxy → -altservice पुनर्लेखन, एक चरण में
• TGS sname पुनर्लेखन (tgssub-शैली KCD प्रोटोकॉल-संक्रमण बायपास) — स्टैंडअलोन या इनलाइन -altservice के माध्यम से
• डॉलर टिकट — KDC का प्रिंसिपल लुकअप पर स्वचालित $-प्रत्यय पुनर्प्रयास → लिनक्स उपयोगकर्ता के लिए स्वचालित रूप से बनाए गए <user>$ मशीन खाते के माध्यम से TGT → GSSAPI SSH
• GPO दुरुपयोग — pyGPOAbuse निर्धारित कार्य SYSTEM के रूप में

डोमेन समझौता

• DCSync — impacket-secretsdump के माध्यम से पूर्ण डोमेन हैश डंप
• DPAPI बैकअप कुंजी — ऑफ़लाइन क्रेडेंशियल डिक्रिप्शन के लिए डोमेन DPAPI कुंजी निकालना
• AppLocker बायपास — LOLBins (mshta, certutil, regsvr32, आदि) + WSUS हस्ताक्षरित वितरण
• WSUS अपडेट इंजेक्शन — wsuks के माध्यम से दुर्भावनापूर्ण Windows अपडेट पुश करना

पोस्ट-एक्सप्लॉइटेशन लूट

• प्रक्रिया कमांड-लाइन हार्वेस्ट — Get-CimInstance Win32_Process nxc -x के माध्यम से; mysql/sqlcmd/runas/KeePass/--password शैली फ्लैग में पासवर्ड के लिए रेगेक्स-ग्रेप
• KeePass वॉल्ट खोज + क्रैक — C:\Users में *.kdbx ढूँढें, smbclient के माध्यम से डाउनलोड करें, keepass2john | hashcat -m 13400

उपयोग

# पूरी तरह से स्वचालित — शून्य-क्रेड चेन (सब कुछ स्वचालित रूप से खोजता है)
sudo ./ad-autopwn.py

# क्रेडेंशियल के साथ — पूर्ण चेन
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# AWS / VPC लैब (लेयर 2 हमले अवरुद्ध) — ऑटो-डिस्कवरी अभी भी काम करती है
sudo ./ad-autopwn.py --no-arp --no-wpad

# प्री-ऑथ क्रेडेंशियल खोज (लॉकआउट-सुरक्षित)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# BloodHound ग्राफ संग्रह + स्वचालित उच्च-मूल्य विश्लेषण
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# डॉलर टिकट — स्वचालित रूप से बनाए गए root$ मशीन खाते के माध्यम से 'root' के लिए TGT
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# RBCD+KCD चेन — पूर्ण घोस्ट-SPN + RBCD + altservice पुनर्लेखन, एक शॉट
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# AppLocker बायपास
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# ड्राई रन (प्रत्येक कमांड प्रिंट करें, कुछ न चलाएँ — यहाँ तक कि पृष्ठभूमि प्रक्रियाएँ भी)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

उपलब्ध चरण