AD AutoPwn

Zero-Auth a Domain Admin — Catena d'Attacco Active Directory Automatica

Uno strumento di penetration testing completamente automatizzato che combina oltre 25 tecniche d'attacco per compromettere ambienti Active Directory. Progettato per valutazioni di sicurezza autorizzate.

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ Zero-Auth to Domain Admin — Attack Chain
    Discover | Sniff | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roast
    BloodHound | Reflect | Loot | RBCD+KCD | DCSync | DPAPI

Caratteristiche

Scoperta pre-autenticazione di username e credenziali (zero credenziali)

• kerbrute KRB-AS-REQ enumerazione utenti (sicura contro i lockout)
• CLDAP NetLogon ping enumerazione username (sicura contro i lockout)
• AS-REP roast di tutti i candidati (hash gratuiti per account con DONT_REQ_PREAUTH)
• pre2k auto-test (macchine con password predefinita compatibilità Windows 2000)
• Spray singola password (consapevole dei lockout, attivabile con --spray-password)

Attacchi passivi Layer-2 / zero-auth

• Sniffing di rete passivo — rilevamento WPAD, WSUS, PXE, LLMNR, DHCPv6, TFTP, SCCM ProxyDHCP
• ARP spoof + NTLM relay — cattura e cracking di hash NTLMv2
• Avvelenamento WPAD — mitm6 / Responder dirottamento DNS IPv6
• WSUS relay — intercetta l'autenticazione NTLM di Windows Update (porta 8530/8531)
• Furto credenziali da boot PXE — estrazione di credenziali da immagini di boot via TFTP/WIM
• File NTLM theft drop — file .library-ms / .theme / .url su condivisioni scrivibili
• WebDAV coercion — WebClient HTTP → relay LDAP (bypassa firma SMB)
• DHCP coercion — relay dell'account macchina del server DHCP

Bypass di riflessione autenticazione (Synacktiv 2026)

• CVE-2025-58726 ghost-SPN riflessione Kerberos AP-REQ (innescata automaticamente dall'azione automatica BloodHound)
• CVE-2026-24294 LPE — riflessione SMB su porta TCP arbitraria (Win11 24H2 / Server 2025 pre-marzo-2026)
• CVE-2026-26128 LPE — loopback Kerberos tramite SPN Unicode
• Fallback Unicode-SPN quando il percorso CVE-2025-33073 è patchato

Raccolta credenziali (post-autenticazione)

• Kerberoasting — estrai e automaticamente cracka hash SPN (hashcat modalità 13100/19700)
• AS-REP Roasting — cracka account senza pre-autenticazione (hashcat modalità 18200)
• Timeroast — hash SNTP-MS da qualsiasi macchina aggiunta al dominio (hashcat modalità 31300)
• Recupero password LAPS + attributo LDAP userPassword + password trapelate dalla descrizione (estratta dalla batteria di arricchimento nxc)
• Furto NAA SCCM — estrai credenziali Network Access Account tramite sccmhunter

Catene d'attacco guidate da grafi (BloodHound)

• bloodhound-python -c All raccolta + analisi ZIP
• Risultati ad alto valore — Domain/Enterprise/Schema Admins, Kerberoastable, AS-REP roastable, delega non vincolata, RBCD in entrata, LAPS, AdminCount
• Analisi di archi utilizzabili — chiusura del principal controllato (tu + appartenenze transitive ai gruppi) → archi ACE dove tu sei il principal: WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• Catena di azioni automatica — attiva automaticamente le primitive corrispondenti:
  • WriteSPN → upgrade ghost-SPN (CVE-2025-58726)
  • AddKeyCredentialLink → shadow credentials → PKINIT → hash NT
  • GenericAll / WriteAccountRestrictions su Computer → catena RBCD → TGS admin

Primitive di escalation privilegi

• Sfruttamento AD CS — ESC1-ESC16 tramite certipy (enumerazione + sfruttamento automatici)
  • ESC8 (relay web-enrollment)
  • ESC9/ESC10 scambio UPN (bypass CVE-2022-26923)
  • ESC4 modifica + sfruttamento + ripristino template (sicuro per la directory corrente)
  • Enumerazione Certihound con fallback certipy (auth hash NT)
• Shadow Credentials — msDS-KeyCredentialLink tramite ntlmrelayx o pywhisker
• Abuso RBCD — Resource-Based Constrained Delegation (addcomputer + S4U2Self + S4U2Proxy)
• Orchestratore catena RBCD+KCD — completo WriteSPN → ghost-SPN → RBCD → S4U2Proxy → riscrittura -altservice, in una fase
• Riscrittura sname TGS (bypass transizione protocollo KCD stile tgssub) — standalone o inline tramite -altservice
• Dollar Ticket — tentativo automatico di ripetizione con suffisso $ del KDC sulla ricerca principal → TGT per utente Linux tramite account macchina <user>$ creato automaticamente → SSH GSSAPI
• Abuso GPO — pyGPOAbuse attività pianificata come SYSTEM

Compromissione del dominio

• DCSync — dump completo hash del dominio tramite impacket-secretsdump
• Chiave backup DPAPI — estrai chiave DPAPI del dominio per decrittazione offline credenziali
• Bypass AppLocker — LOLBins (mshta, certutil, regsvr32, ecc.) + distribuzione firmata WSUS
• Iniezione aggiornamenti WSUS — invio di Windows Update dannosi tramite wsuks

Bottino post-sfruttamento

• Raccolta riga di comando dei processi — Get-CimInstance Win32_Process tramite nxc -x; regex-grep per password in flag come mysql/sqlcmd/runas/KeePass/--password
• Scoperta e cracking vault KeePass — trova *.kdbx in C:\Users, scarica tramite smbclient, keepass2john | hashcat -m 13400

Utilizzo

# Completamente automatizzato — catena zero-credenziali (auto-scopre tutto)
sudo ./ad-autopwn.py

# Con credenziali — catena completa
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# Laboratori AWS / VPC (attacchi Layer 2 bloccati) — auto-scoperta ancora funziona
sudo ./ad-autopwn.py --no-arp --no-wpad

# Scoperta credenziali pre-autenticazione (sicura contro lockout)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# Raccolta grafo BloodHound + analisi automatica ad alto valore
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# Dollar Ticket — TGT per 'root' tramite account macchina root$ creato automaticamente
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# Catena RBCD+KCD — full ghost-SPN + RBCD + riscrittura altservice, un colpo solo
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# Bypass AppLocker
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# Esecuzione a secco (stampa ogni comando, non esegue nulla — nemmeno processi in background)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

Fasi disponibili