AD AutoPwn

ゼロ認証からドメイン管理者へ — 自動化されたActive Directory攻撃チェーン

完全自動化されたペネトレーションテストツール。25以上の攻撃テクニックを連鎖させ、Active Directory環境を侵害します。許可されたセキュリティ評価用に設計されています。

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ Zero-Auth to Domain Admin — Attack Chain
    Discover | Sniff | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roast
    BloodHound | Reflect | Loot | RBCD+KCD | DCSync | DPAPI

特徴

事前認証のユーザー名と資格情報発見（ゼロ認証）

• kerbrute KRB-AS-REQ ユーザー列挙（ロックアウトセーフ）
• CLDAP NetLogon ping ユーザー名列挙（ロックアウトセーフ）
• 全候補の AS-REP Roast（DONT_REQ_PREAUTH を持つアカウントの無料ハッシュ）
• pre2k 自動テスト（Windows 2000互換のデフォルトパスワードマシン）
• 単一パスワードスプレー（ロックアウト対応、--spray-password でオプトイン）

レイヤー2 / パッシブなゼロ認証攻撃

• パッシブネットワークスニッフィング — WPAD、WSUS、PXE、LLMNR、DHCPv6、TFTP、SCCM ProxyDHCP 検出
• ARPスプーフ + NTLMリレー — NTLMv2 ハッシュをキャプチャしてクラック
• WPADポイズニング — mitm6 / Responder IPv6 DNS ハイジャック
• WSUSリレー — Windows Update NTLM 認証を傍受（ポート 8530/8531）
• PXEブート資格情報の窃取 — TFTP/WIM 経由でブートイメージから資格情報を抽出
• NTLM窃取ファイルドロップ — 書き込み可能な共有上の .library-ms / .theme / .url ファイル
• WebDAV強制 — WebClient HTTP → LDAP リレー（SMB署名をバイパス）
• DHCP強制 — DHCPサーバーマシンアカウントリレー

認証反射バイパス（Synacktiv 2026）

• CVE-2025-58726 ghost-SPN Kerberos AP-REQ 反射（BloodHound自動アクションで自動発射）
• CVE-2026-24294 LPE — SMB-on-arbitrary-tcpport 反射（Win11 24H2 / Server 2025、2026年3月以前）
• CVE-2026-26128 LPE — Unicode SPN 経由の Kerberos ループバック
• Unicode-SPN フォールバック（CVE-2025-33073 パッチが適用された場合）

資格情報収集（認証後）

• Kerberoasting — SPN ハッシュを抽出して自動クラック（hashcat モード 13100/19700）
• AS-REP Roasting — 事前認証なしのアカウントをクラック（hashcat モード 18200）
• Timeroast — ドメイン参加済みの任意のマシンから SNTP-MS ハッシュ（hashcat モード 31300）
• LAPS パスワード回復 + userPassword LDAP 属性 + 説明欄に漏洩したパスワード（nxc エンリッチメントバッテリーから採掘）
• SCCM NAA 窃取 — sccmhunter 経由で Network Access Account 資格情報を抽出

グラフ駆動の攻撃チェーン（BloodHound）

• bloodhound-python -c All 収集 + ZIP 分析
• 高価値の発見 — Domain/Enterprise/Schema Admins、Kerberoastable、AS-REP roastable、制約なし委任、RBCD 受信、LAPS、AdminCount
• アクション可能なエッジ分析 — 制御プリンシパルの閉包（あなた + 推移的グループメンバーシップ）→ あなたがプリンシパルである ACE エッジ：WriteSPN、AddKeyCredentialLink、GenericAll/Write、WriteDacl/Owner、WriteAccountRestrictions、AddAllowedToAct、ForceChangePassword
• 自動アクションチェーン — 一致するプリミティブを自動的に発射：
  • WriteSPN → ghost-SPN アップグレード（CVE-2025-58726）
  • AddKeyCredentialLink → シャドウ資格情報 → PKINIT → NT ハッシュ
  • Computer に対する GenericAll / WriteAccountRestrictions → RBCD チェーン → 管理者 TGS

権限昇格プリミティブ

• AD CS エクスプロイト — certipy による ESC1-ESC16（自動列挙 + エクスプロイト）
  • ESC8（Web 登録リレー）
  • ESC9/ESC10 UPN スワップ（CVE-2022-26923 バイパス）
  • ESC4 テンプレート変更+エクスプロイト+復元（cwd セーフ）
  • certipy フォールバックによる Certihound 列挙（NT ハッシュ認証）
• シャドウ資格情報 — ntlmrelayx または pywhisker による msDS-KeyCredentialLink
• RBCD 悪用 — Resource-Based Constrained Delegation（addcomputer + S4U2Self + S4U2Proxy）
• RBCD+KCD チェーンオーケストレーター — 完全な WriteSPN → ghost-SPN → RBCD → S4U2Proxy → -altservice 書き換え、1フェーズで
• TGS sname 書き換え（tgssub スタイルの KCD プロトコル遷移バイパス）— 単独または -altservice によるインライン
• Dollar Ticket — プリンシパルルックアップ時の KDC の自動 $ サフィックス再試行 → 自動作成された <user>$ マシンアカウントを介した Linux ユーザー向け TGT → GSSAPI SSH
• GPO 悪用 — pyGPOAbuse による SYSTEM としてのスケジュールタスク

ドメイン侵害

• DCSync — impacket-secretsdump によるドメインハッシュの完全ダンプ
• DPAPI バックアップキー — オフライン資格情報復号用のドメイン DPAPI キー抽出
• AppLocker バイパス — LOLBins（mshta、certutil、regsvr32 など）+ WSUS 署名配信
• WSUS 更新インジェクション — wsuks を介した悪意のある Windows Update のプッシュ

ポストエクスプロイト戦利品

• プロセスコマンドライン収集 — nxc -x 経由の Get-CimInstance Win32_Process；mysql/sqlcmd/runas/KeePass/--password スタイルフラグ内のパスワードを正規表現で grep
• KeePass 保管庫の発見とクラック — C:\Users 内の *.kdbx を検索、smbclient でダウンロード、keepass2john | hashcat -m 13400

使用方法

# 完全自動化 — ゼロ認証チェーン（すべて自動検出）
sudo ./ad-autopwn.py

# 認証情報あり — フルチェーン
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# AWS / VPC ラボ（レイヤー2攻撃ブロック）— 自動検出は引き続き動作
sudo ./ad-autopwn.py --no-arp --no-wpad

# 事前認証資格情報発見（ロックアウトセーフ）
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# BloodHound グラフ収集 + 自動高価値分析
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# Dollar Ticket — 自動作成された root$ マシンアカウント経由の 'root' 用 TGT
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# RBCD+KCD チェーン — 完全な ghost-SPN + RBCD + altservice 書き換え、一発
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# AppLocker バイパス
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# ドライラン（全コマンドを表示、実行しない — バックグラウンドプロセスも）
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

利用可能なフェーズ

フェーズ	認証	説明
full	任意	完全自動化チェーン（認証情報あり/なしで自動検出）
sniff	なし	パッシブ L2 トラフィック発見
discover	なし	kerbrute + CLDAP + AS-REP + pre2k + (オプトイン) スプレー
arp	なし	ARP スプーフ + NTLM キャプチャ
wpad	なし	WPAD/LLMNR ポイズニング（mitm6 / Responder）
wsus	なし	WSUS NTLM リレー
pxe	なし	PXE ブート資格情報窃取
enum	必要	ターゲット列挙（リレーターゲット、制約なし委任、WebClient ホスト）
enrich	必要	nxc 13モジュールバッテリー（LAPS、timeroast、MAQ、nopac、zerologon、…）+ 自動コンシューマー
bloodhound	必要	bloodhound-python -c All + 分析 + 自動アクションチェーン
roast	必要	Kerberoast + AS-REP Roast
adcs	必要	AD CS エクスプロイト（ESC1-ESC16）
sccm	必要	SCCM NAA 資格情報窃取
exploit	必要	特定ターゲットに対する NTLM 反射 / 強制エクスプロイト
dcsync	必要 (DA)	ドメインハッシュダンプ
loot	必要	プロセスコマンドライン収集 + KeePass 発見/クラック
tgs-rewrite	なし	オフライン ccache sname 書き換え（tgssub スタイル KCD バイパス）
dollar-ticket	必要	KDC $-サフィックス再試行攻撃（Linux GSSAPI ターゲット）
rbcd-kcd	必要	完全な RBCD+KCD チェーンオーケストレーター（WriteSPN → ghost → RBCD → S4U+altservice）
reflect-tcpport	必要	CVE-2026-24294 LPE プリミティブ（SMB-on-tcpport）
reflect-loopback	必要	CVE-2026-26128 LPE プリミティブ（Unicode SPN 経由の Kerberos ループバック）
kerb-reflect	必要	CVE-2025-58726 ghost-SPN AP-REQ 反射

依存関係

APT（Kali Linux）

apt install python3 impacket-scripts netexec nmap hashcat tcpdump \
  responder dsniff arp-scan certipy-ad bloodyad bloodhound.py \
  smbclient atftp wimtools john seclists

Git リポジトリ（/opt/tools/ にクローン）

git clone https://github.com/mverschu/CVE-2025-33073        /opt/tools/CVE-2025-33073
git clone https://github.com/dirkjanm/krbrelayx              /opt/tools/krbrelayx
git clone https://github.com/Wh04m1001/DFSCoerce             /opt/tools/DFSCoerce
git clone https://github.com/ShutdownRepo/ShadowCoerce       /opt/tools/ShadowCoerce
git clone https://github.com/ShutdownRepo/pywhisker          /opt/tools/pywhisker
git clone https://github.com/dirkjanm/PKINITtools            /opt/tools/PKINITtools
git clone https://github.com/csandker/pxethiefy              /opt/tools/pxethiefy
git clone https://github.com/garrettfoster13/sccmhunter      /opt/tools/sccmhunter
git clone https://github.com/dirkjanm/mitm6                  /opt/tools/mitm6
git clone https://github.com/Hackndo/pyGPOAbuse              /opt/tools/pyGPOAbuse
git clone https://github.com/Hackndo/WebclientServiceScanner /opt/tools/WebclientServiceScanner
git clone https://github.com/almandin/Certihound             /opt/tools/Certihound

Pipx パッケージ

pipx install coercer
pipx install wsuks --system-site-packages

その他のバイナリ