Skip to content
KitploitKITPLOIT
ツールブログ
提出
ツールブログ
提出

ハッキング、侵入テスト、サイバーセキュリティツールをあなたのセキュリティアーセナルに！

Kitploitはハッキング、サイバーセキュリティ、ペネトレーションテストのツールディレクトリです。最新のプロジェクトアップデートを見つけて、脆弱性の発見、システム分析、テストの自動化、セキュリティの強化を行いましょう。

··フィード·お問い合わせ·プライバシー·© 2026 Kitploit

ツールディレクトリ

カテゴリ

すべてのカテゴリを見る
Loading categories
FarsightAD — Active Directoryドメイン侵害後に脅威アクターが展開した（可能性のある）永続化メカニズムの発見を支援することを目的としたPowerShellスクリプト | Kitploit
ツール/GitHubGitHub/qazeer/farsightad
特権昇格偵察永続化メカニズム脆弱性分析フォレンジック情報収集ポストエクスプロイトインシデントレスポンス
GitHubqazeer/farsightad

FarsightAD

Active Directoryドメイン侵害後に脅威アクターが展開した（可能性のある）永続化メカニズムの発見を支援することを目的としたPowerShellスクリプト

リポジトリを見る
98157ヶ月前Kitploit レビュー済み

人気

すべて見る →

コミュニティで最も使われているツールを見つけましょう。

すべてのツールを探索

ツールコレクションを閲覧

すべてのツールを見る →
共有

FarsightAD

目次

  • FarsightAD
    • 目次
    • 説明
    • 前提条件
    • 基本的な使い方
    • ADハンティングコマンドレット
    • デモ
      • 完全/部分隠しオブジェクトの検出
    • 謝辞
    • 感謝
    • 著者
    • ライセンス

説明

FarsightAD は、Active Directoryドメインの侵害後に脅威アクターが仕掛けた（可能性のある）永続化メカニズムを発見することを目的としたPowerShellスクリプトです。

このスクリプトは、複製メタデータのタイムスタンプで強化された様々なオブジェクトとその属性のCSV/JSONファイル出力を生成します。さらに、レプリケーション権限で実行した場合、Directory Replication Service (DRS) プロトコルを活用して、完全または部分的に隠されたオブジェクトを検出します。

詳細については、SANS DFIR Summit 2022 紹介スライド を参照してください。

前提条件

FarsightAD には、PowerShell 7 と、PowerShell 7 用に更新された ActiveDirectory モジュールが必要です。

Windows 10/11 では、モジュールは オプション機能 から RSAT: Active Directory Domain Services and Lightweight Directory Services ツール としてインストールできます。既にインストールされているモジュールは、次のコマンドで更新できます：

root@kitploit:~
Add-WindowsCapability -Online -Name Rsat.ServerManager.Tools~~~~0.0.1.0

モジュールが正しく更新されていれば、Get-Command Get-ADObject は次のように返します：

root@kitploit:~
CommandType     Name                                               Version    Source
-----------     ----                                               -------    ------
Cmdlet          Get-ADObject                                       1.0.X.X    ActiveDirectory

基本的な使い方

root@kitploit:~
. .\FarsightAD.ps1

Invoke-ADHunting [-Server <DC_IP | DC_HOSTNAME>] [-Credential <PS_CREDENTIAL>] [-ADDriveName <AD_DRIVE_NAME>] [-OutputFolder <OUTPUT_FOLDER>] [-OutputType <CSV | JSON>]

ADハンティングコマンドレット

各コマンドレットの使用法の詳細は、Get-Help -Full <CMDLET> で取得できます。

デモ

完全/部分隠しオブジェクトの検出

完全に隠されたユーザーの追加

ユーザーのSID History属性を隠す

Export-ADHuntingHiddenObjectsWithDRSRepData で完全および部分隠しユーザーを発見

謝辞

  • DRS リクエスト用の C# コードは、以下から適応されました：

    • MakeMeEnterpriseAdmin 作成者: @vletoux
    • Mimikatz 作成者: @gentilkiwi および @vletoux
    • SharpKatz 作成者: @b4rtik

  • Key Credentialsを解析する関数は、ADComputerKeys PowerShellモジュール から取得しました。

  • AD CS関連の永続化は、以下の研究に基づいています：

    • Certified Pre-Owned 作成者: Will Schroeder (@harmj0y) および Lee Christensen (@tifkin_)
    • Microsoft ADCS – Active Directory環境でのPKIの悪用 作成者: Jean Marsault (@iansus)

  • Service Principal Nameを解析する関数は、Adam Bertramの研究 に基づいています。

感謝

  • Antoine Cauchois (@caucho_a) 氏の校正、テスト、アイデアに感謝します。

著者

Thomas DIOT (Qazeer)

ライセンス

CC BY 4.0 ライセンス - https://creativecommons.org/licenses/by/4.0/

ツールをダウンロード
コマンドレット概要
Invoke-ADHunting以下に記載されているすべてのFarsightAD ADハンティングコマンドレットを実行します。
Export-ADHuntingACLDangerousAccessRightsドメイン内のすべてのオブジェクトに対して、危険なACE（つまり、基盤となるオブジェクトの乗っ取りを許すACE）をエクスポートします。

大規模なドメインでは時間がかかる場合があります。
Export-ADHuntingACLDefaultFromSchemaスキーマクラスのdefaultSecurityDescriptor属性に設定されたACLをエクスポートします。

デフォルト（Microsoftドキュメントで定義されているもの）以外のACLが識別され、潜在的に危険なACEが強調表示されます。
Export-ADHuntingACLPrivilegedObjectsドメイン内の特権オブジェクトに設定されたACLをエクスポートし、潜在的に危険なアクセス権を強調表示します。
Export-ADHuntingADCSCertificateTemplates証明書テンプレートに関する情報とアクセス権をエクスポートします。

次の注目すべきパラメータが取得されます：証明書テンプレートの発行状態、証明書の用途、サブジェクトがユーザー提供データから構築されるかどうか、アクセス制御（登録/変更）。
Export-ADHuntingADCSPKSObjects機密性の高いPKSオブジェクト（NTAuthCertificates、certificationAuthority、pKIEnrollmentService）に関する情報とアクセス権をエクスポートします。
Export-ADHuntingGPOObjectsAndFilesACLGPOオブジェクトとファイルのACLアクセス権情報をエクスポートし、特権ユーザーやコンピューターに適用されているGPOを強調表示します。
Export-ADHuntingGPOSettingsGPOによって構成された、永続化に悪用される可能性のあるさまざまな設定（特権とログオン権、制限付きグループのメンバーシップ、スケジュールタスクと即時タスク V1/V2、マシンおよびユーザーのログオン/ログオフスクリプト）に関する情報をエクスポートします。
Export-ADHuntingHiddenObjectsWithDRSRepData直接クエリではアクセスできないが、レプリケーション（Directory Replication Service (DRS) プロトコル経由）ではアクセス可能なオブジェクトの属性をエクスポートします。

レプリケーション操作ではアクセス制御は考慮されないため、特定のオブジェクト属性へのアクセスをブロックするアクセス制御を識別できます。

限られた一連の機密属性のみが評価されます。
Export-ADHuntingKerberosDelegations危険と見なされるKerberos委任（制約なし、特権サービスへの制約付き、または特権サービスへのリソースベースの制約付き）をエクスポートします。
Export-ADHuntingPrincipalsAddedViaMachineAccountQuota非特権プリンシパルによって（ms-DS-MachineAccountQuotaメカニズムを使用して）ドメインに追加されたコンピューターをエクスポートします。
Export-ADHuntingPrincipalsCertificatesアカウントの証明書を解析してエクスポートします（userCertificate属性が空でないアカウント）。

証明書は解析され、以下のパラメータが取得されます：証明書の有効期間タイムスタンプ、証明書の目的、証明書のサブジェクトと必要に応じてSubjectAltNameなど。
Export-ADHuntingPrincipalsDontRequirePreAuthKerberos事前認証を必要としないアカウントをエクスポートします。
Export-ADHuntingPrincipalsOncePrivileged過去に特権グループのメンバーだったアカウントをエクスポートします。
Export-ADHuntingPrincipalsPrimaryGroupIDデフォルト以外のprimaryGroupID属性を持つアカウントをエクスポートし、特権グループに関連するRIDを強調表示します。
Export-ADHuntingPrincipalsPrivilegedAccounts特権グループのメンバーに関する詳細情報をエクスポートします。
Export-ADHuntingPrincipalsPrivilegedGroupsMembershipレプリケーションメタデータを使用して取得した、特権グループの現在および過去のメンバーをエクスポートします。
Export-ADHuntingPrincipalsSIDHistorySID History属性が空でないアカウントをエクスポートし、関連するドメインを解決し、特権SIDを強調表示します。
Export-ADHuntingPrincipalsShadowCredentialsKey Credentials情報を解析してエクスポートします（msDS-KeyCredentialLink属性が空でないアカウント）。
Export-ADHuntingPrincipalsTechnicalPrivilegedテクニカル特権アカウント（SERVER_TRUST_ACCOUNTおよびINTERDOMAIN_TRUST_ACCOUNT）をエクスポートします。
Export-ADHuntingPrincipalsUPNandAltSecIDUserPrincipalNameまたはAltSecurityIdentities属性を定義するアカウントをエクスポートし、潜在的な異常を強調表示します。
Export-ADHuntingTrustsフォレスト内のすべてのドメインの信頼をエクスポートします。

各信頼について、転送性、SIDフィルタリング、TGT委任など、多数のパラメータが取得されます。