ADRecon: Active Directory Recon

Questa repo contiene aggiornamenti al concetto e al codice originali di Prashant Mahajan (@prashant3535) durante il suo lavoro presso Sense of Security.

ADRecon è uno strumento che estrae e combina vari artefatti (come evidenziato di seguito) da un ambiente AD. Le informazioni possono essere presentate in un report Microsoft Excel formattato appositamente che include viste riepilogative con metriche per facilitare l'analisi e fornire un quadro olistico dello stato attuale dell'ambiente AD di destinazione.

Lo strumento è utile a varie classi di professionisti della sicurezza come auditor, DFIR, studenti, amministratori, ecc. Può anche essere uno strumento di post-exploitation inestimabile per un penetration tester.

Può essere eseguito da qualsiasi workstation connessa all'ambiente, anche da host che non sono membri del dominio. Inoltre, lo strumento può essere eseguito nel contesto di un account non privilegiato (cioè un utente di dominio standard). Fine Grained Password Policy, LAPS e BitLocker possono richiedere account utente privilegiati. Lo strumento utilizzerà Microsoft Remote Server Administration Tools (RSAT) se disponibile, altrimenti comunicherà con il Domain Controller utilizzando LDAP.

Le seguenti informazioni vengono raccolte dallo strumento:

• Forest;
• Domain;
• Trusts;
• Sites;
• Subnets;
• Schema History;
• Default and Fine Grained Password Policy (se implementata);
• Domain Controllers, versioni SMB, se SMB Signing è supportato e ruoli FSMO;
• Users e i loro attributi;
• Service Principal Names (SPNs);
• Groups, appartenenze e modifiche;
• Organizational Units (OUs);
• GroupPolicy objects e dettagli gPLink;
• DNS Zones e Records;
• Printers;
• Computers e i loro attributi;
• PasswordAttributes (Sperimentale);
• Password LAPS (se implementate);
• BitLocker Recovery Keys (se implementate);
• ACLs (DACLs e SACLs) per gli oggetti Domain, OUs, Root Containers, GPO, Users, Computers e Groups (non inclusi nel metodo di raccolta predefinito);
• GPOReport (richiede RSAT);
• Kerberoast (non incluso nel metodo di raccolta predefinito); e
• Account di dominio utilizzati come service account (richiede account privilegiato e non incluso nel metodo di raccolta predefinito).

ADRecon è stato presentato a: - Slidedeck

| - Slidedeck

Bay Area OWASP - Slidedeck

CHCON - Slidedeck

Per Iniziare

Queste istruzioni ti permetteranno di ottenere una copia dello strumento funzionante sulla tua macchina locale.

Prerequisiti

• .NET Framework 3.0 o successivo (Windows 7 include 3.0)
• PowerShell 2.0 o successivo (Windows 7 include 2.0)
  • Powershell Core su Windows è supportato (Testato su PowerShell v7.2.2 in esecuzione su Windows 10)
• Un host Windows (Powershell per Linux/macOS non è supportato)

Opzionale

• Microsoft Excel (per generare il report)
• Remote Server Administration Tools (RSAT):
  • Windows 10 (October 2018 Update o 1809 e successivi), RSAT è incluso come insieme di Features on Demand.
    • Clicca su Start --> Impostazioni --> App --> App e funzionalità --> Gestisci funzionalità opzionali --> Aggiungi una funzionalità --> Seleziona quanto segue:
      • RSAT: Active Directory Domain Services and Lightweight Directory Services Tools
      • RSAT: Group Policy Management Tools
  • Windows 10 (https://www.microsoft.com/en-au/download/details.aspx?id=45520)
  • Windows 7 (https://www.microsoft.com/en-au/download/details.aspx?id=7887)

Installazione

Se hai git installato, puoi iniziare clonando il repository:

git clone https://github.com/adrecon/ADRecon.git

Altrimenti, puoi scaricare un archivio zip dell'ultima release. L'intento è di mantenere sempre il branch master in uno stato funzionante.

Utilizzo

Esempi

Per eseguire ADRecon su un host membro del dominio.

PS C:\> .\ADRecon.ps1

Per eseguire ADRecon su un host membro del dominio come utente diverso.

PS C:\>.\ADRecon.ps1 -DomainController <IP or FQDN> -Credential <domain\username>

Per eseguire ADRecon su un host non membro utilizzando LDAP.

PS C:\>.\ADRecon.ps1 -Method LDAP -DomainController <IP or FQDN> -Credential <domain\username>

Per eseguire ADRecon con moduli specifici su un host non membro con RSAT. (Il OutputType predefinito è STDOUT con il parametro -Collect)

PS C:\>.\ADRecon.ps1 -Method ADWS -DomainController <IP or FQDN> -Credential <domain\username> -Collect Domain, DomainControllers

Per generare il file ADRecon-Report.xlsx basato sull'output di ADRecon (File CSV).

PS C:\>.\ADRecon.ps1 -GenExcel C:\ADRecon-Report-<timestamp>

Quando esegui ADRecon, verrà creata una cartella ADRecon-Report-<timestamp> che conterrà ADRecon-Report.xlsx e una CSV-Folder con i file grezzi.

Parametri

-Method <String>
    Quale metodo utilizzare; ADWS (predefinito), LDAP

-DomainController <String>
    Indirizzo IP del Domain Controller o FQDN del Dominio.

-Credential <PSCredential>
    Credenziali di Dominio.

-GenExcel <String>
    Percorso per la cartella di output di ADRecon contenente i file CSV per generare ADRecon-Report.xlsx. Usalo per generare ADRecon-Report.xlsx quando Microsoft Excel non è installato sull'host utilizzato per eseguire ADRecon.

-OutputDir <String>
    Percorso per la cartella di output di ADRecon per salvare i file CSV/XML/JSON/HTML e ADRecon-Report.xlsx. (La cartella specificata verrà creata se non esiste) (Predefinito pwd)

-Collect <String>
    Quali moduli eseguire (separati da virgola; es. Forest,Domain. Predefinito tutti tranne ACLs, Kerberoast e DomainAccountsusedforServiceLogon)
    I valori validi includono: Forest, Domain, Trusts, Sites, Subnets, SchemaHistory, PasswordPolicy, FineGrainedPasswordPolicy, DomainControllers, Users, UserSPNs, PasswordAttributes, Groups, GroupChanges, GroupMembers, OUs, ACLs, GPOs, gPLinks, GPOReport, DNSZones, DNSRecords, Printers, Computers, ComputerSPNs, LAPS, BitLocker, Kerberoast DomainAccountsusedforServiceLogon.

-OutputType <String>
    Tipo di Output; separato da virgola; es. CSV,STDOUT,Excel (Predefinito STDOUT con il parametro -Collect, altrimenti CSV ed Excel).
    I valori validi includono: STDOUT, CSV, XML, JSON, HTML, Excel, All (esclude STDOUT).

-DormantTimeSpan <Int>
    Intervallo di tempo per gli account dormienti. (Predefinito 90 giorni)

-PassMaxAge <Int>
    Età massima della password dell'account macchina. (Predefinito 30 giorni)

-PageSize <Int>
    Il PageSize da impostare per l'oggetto LDAP searcher. (Predefinito 200)