AD AutoPwn

제로 인증에서 도메인 관리자까지 — 자동화된 Active Directory 공격 체인

25개 이상의 공격 기법을 연결하여 Active Directory 환경을 손상시키는 완전 자동화된 침투 테스트 도구입니다. 승인된 보안 평가용으로 설계되었습니다.

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ 제로 인증에서 도메인 관리자까지 — 공격 체인
    발견 | 스니핑 | ARP | WPAD | WSUS | PXE | AD CS | SCCM | 로스트
    BloodHound | 리플렉트 | 루트 | RBCD+KCD | DCSync | DPAPI

기능

사전 인증 사용자명 및 자격 증명 발견 (자격 증명 없음)

• kerbrute KRB-AS-REQ 사용자 열거 (잠금 방지)
• CLDAP NetLogon 핑 사용자명 열거 (잠금 방지)
• AS-REP 로스트 모든 후보 대상 (계정에 DONT_REQ_PREAUTH가 설정된 경우 무료 해시)
• pre2k 자동 테스트 (Windows 2000 호환 기본 비밀번호 시스템)
• 단일 비밀번호 스프레이 (잠금 방지, --spray-password로 선택적 활성화)

레이어 2 / 수동적 제로 인증 공격

• 수동적 네트워크 스니핑 — WPAD, WSUS, PXE, LLMNR, DHCPv6, TFTP, SCCM ProxyDHCP 탐지
• ARP 스푸핑 + NTLM 릴레이 — NTLMv2 해시 캡처 및 크래킹
• WPAD 중독 — mitm6 / Responder IPv6 DNS 하이재킹
• WSUS 릴레이 — Windows Update NTLM 인증 가로채기 (포트 8530/8531)
• PXE 부트 자격 증명 도용 — TFTP/WIM을 통해 부트 이미지에서 자격 증명 추출
• NTLM 도용 파일 드롭 — 쓰기 가능한 공유에 .library-ms / .theme / .url 파일
• WebDAV 강제 — WebClient HTTP → LDAP 릴레이 (SMB 서명 우회)
• DHCP 강제 — DHCP 서버 시스템 계정 릴레이

인증 반사 우회 (Synacktiv 2026)

• CVE-2025-58726 ghost-SPN Kerberos AP-REQ 반사 (BloodHound 자동 실행 시 자동 발동)
• CVE-2026-24294 LPE — 임의 TCP 포트를 통한 SMB 반사 (Win11 24H2 / Server 2025 2026년 3월 이전)
• CVE-2026-26128 LPE — 유니코드 SPN을 통한 Kerberos 루프백
• 유니코드-SPN 대체 — CVE-2025-33073 경로가 패치된 경우

자격 증명 수집 (인증 후)

• Kerberoasting — SPN 해시 추출 및 자동 크래킹 (hashcat 모드 13100/19700)
• AS-REP 로스팅 — 사전 인증이 없는 계정 크래킹 (hashcat 모드 18200)
• Timeroast — 도메인 가입된 모든 시스템에서 SNTP-MS 해시 (hashcat 모드 31300)
• LAPS 비밀번호 복구 + userPassword LDAP 속성 + 설명에 누출된 비밀번호 (nxc 강화 배터리에서 채굴)
• SCCM NAA 도용 — sccmhunter를 통해 Network Access Account 자격 증명 추출

그래프 기반 공격 체인 (BloodHound)

• bloodhound-python -c All 수집 + ZIP 분석
• 고가치 발견 항목 — 도메인/엔터프라이즈/스키마 관리자, Kerberoastable, AS-REP roastable, 무제한 위임, RBCD 인바운드, LAPS, AdminCount
• 행동 가능한 엣지 분석 — 제어된 주체 전이적 그룹 멤버십 포함) → 사용자가 주체인 ACE 엣지: WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• 자동 실행 체인 — 일치하는 프리미티브를 자동으로 실행:
  • WriteSPN → ghost-SPN 업그레이드 (CVE-2025-58726)
  • AddKeyCredentialLink → 섀도 자격 증명 → PKINIT → NT 해시
  • Computer에 대한 GenericAll / WriteAccountRestrictions → RBCD 체인 → 관리자 TGS

권한 상승 프리미티브

• AD CS 익스플로잇 — certipy를 통한 ESC1-ESC16 (자동 열거 + 익스플로잇)
  • ESC8 (웹 등록 릴레이)
  • ESC9/ESC10 UPN 스왑 (CVE-2022-26923 우회)
  • ESC4 템플릿 수정+익스플로잇+복원 (cwd 안전)
  • Certihound 열거 및 certipy 대체 (NT 해시 인증)
• 섀도 자격 증명 — ntlmrelayx 또는 pywhisker를 통한 msDS-KeyCredentialLink
• RBCD 남용 — 리소스 기반 제한 위임 (addcomputer + S4U2Self + S4U2Proxy)
• RBCD+KCD 체인 오케스트레이터 — 전체 WriteSPN → ghost-SPN → RBCD → S4U2Proxy → -altservice 재작성, 한 단계로
• TGS sname 재작성 (tgssub 스타일 KCD 프로토콜 전환 우회) — 독립형 또는 -altservice를 통한 인라인
• 달러 티켓 — KDC의 주체 조회 시 자동 $ 접미사 재시도 → 자동 생성된 <user>$ 시스템 계정을 통한 Linux 사용자용 TGT → GSSAPI SSH
• GPO 남용 — pyGPOAbuse를 통한 SYSTEM 권한 예약 작업

도메인 손상

• DCSync — impacket-secretsdump를 통한 전체 도메인 해시 덤프
• DPAPI 백업 키 — 오프라인 자격 증명 복호화를 위한 도메인 DPAPI 키 추출
• AppLocker 우회 — LOLBin (mshta, certutil, regsvr32 등) + WSUS 서명된 배포
• WSUS 업데이트 주입 — wsuks를 통한 악성 Windows 업데이트 푸시

사후 익스플로잇 루트

• 프로세스 명령줄 수집 — nxc -x를 통한 Get-CimInstance Win32_Process; mysql/sqlcmd/runas/KeePass/--password 스타일 플래그의 비밀번호 정규식 grep
• KeePass 자격 증명 저장소 발견 + 크래킹 — C:\Users에서 *.kdbx 찾기, smbclient로 다운로드, keepass2john | hashcat -m 13400

사용법

# 완전 자동화 — 제로 자격 증명 체인 (모든 것을 자동 발견)
sudo ./ad-autopwn.py

# 자격 증명 포함 — 전체 체인
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# AWS / VPC 랩 (레이어 2 공격 차단됨) — 자동 발견은 여전히 작동
sudo ./ad-autopwn.py --no-arp --no-wpad

# 사전 인증 자격 증명 발견 (잠금 방지)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# BloodHound 그래프 수집 + 자동 고가치 분석
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# 달러 티켓 — 자동 생성된 root$ 시스템 계정을 통한 'root'용 TGT
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# RBCD+KCD 체인 — 전체 ghost-SPN + RBCD + altservice 재작성, 한 번에
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# AppLocker 우회
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# 드라이 런 (모든 명령 출력, 실행하지 않음 — 백그라운드 프로세스 포함)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

사용 가능한 단계

단계	인증	설명
full	선택 사항	완전 자동화 체인 (자격 증명 유무 자동 감지)
sniff	없음	수동적 L2 트래픽 발견
discover	없음	kerbrute + CLDAP + AS-REP + pre2k + (선택적) 스프레이
arp	없음	ARP 스푸핑 + NTLM 캡처
wpad	없음	WPAD/LLMNR 중독 (mitm6 / Responder)
wsus	없음	WSUS NTLM 릴레이
pxe	없음	PXE 부트 자격 증명 도용
enum	필요	대상 열거 (릴레이 대상, 무제한 위임, WebClient 호스트)
enrich	필요	nxc 13개 모듈 배터리 (LAPS, timeroast, MAQ, nopac, zerologon, …) + 자동 소비자
bloodhound	필요	bloodhound-python -c All + 분석 + 자동 실행 체인
roast	필요	Kerberoast + AS-REP Roast
adcs	필요	AD CS 익스플로잇 (ESC1-ESC16)
sccm	필요	SCCM NAA 자격 증명 도용
exploit	필요	특정 대상에 NTLM 반사/강제 익스플로잇
dcsync	필요 (DA)	도메인 해시 덤프
loot	필요	프로세스 명령줄 수집 + KeePass 발견/크래킹
tgs-rewrite	없음	오프라인 ccache sname 재작성 (tgssub 스타일 KCD 우회)
dollar-ticket	필요	KDC $ 접미사 재시도 공격 (Linux GSSAPI 대상)
rbcd-kcd	필요	전체 RBCD+KCD 체인 오케스트레이터 (WriteSPN → ghost → RBCD → S4U+altservice)
reflect-tcpport	필요	CVE-2026-24294 LPE 프리미티브 (tcpport를 통한 SMB)
reflect-loopback	필요	CVE-2026-26128 LPE 프리미티브 (유니코드 SPN을 통한 Kerberos 루프백)
kerb-reflect	필요	CVE-2025-58726 ghost-SPN AP-REQ 반사

종속성

APT (Kali Linux)

apt install python3 impacket-scripts netexec nmap hashcat tcpdump \
  responder dsniff arp-scan certipy-ad bloodyad bloodhound.py \
  smbclient atftp wimtools john seclists

Git 저장소 (/opt/tools/에 클론)

git clone https://github.com/mverschu/CVE-2025-33073        /opt/tools/CVE-2025-33073
git clone https://github.com/dirkjanm/krbrelayx              /opt/tools/krbrelayx
git clone https://github.com/Wh04m1001/DFSCoerce             /opt/tools/DFSCoerce
git clone https://github.com/ShutdownRepo/ShadowCoerce       /opt/tools/ShadowCoerce
git clone https://github.com/ShutdownRepo/pywhisker          /opt/tools/pywhisker
git clone https://github.com/dirkjanm/PKINITtools            /opt/tools/PKINITtools
git clone https://github.com/csandker/pxethiefy              /opt/tools/pxethiefy
git clone https://github.com/garrettfoster13/sccmhunter      /opt/tools/sccmhunter
git clone https://github.com/dirkjanm/mitm6                  /opt/tools/mitm6
git clone https://github.com/Hackndo/pyGPOAbuse              /opt/tools/pyGPOAbuse
git clone https://github.com/Hackndo/WebclientServiceScanner /opt/tools/WebclientServiceScanner
git clone https://github.com/almandin/Certihound             /opt/tools/Certihound

Pipx 패키지

pipx install coercer
pipx install wsuks --system-site-packages

기타 바이너리

• kerbrute — 최신 바이너리를 https://github.com/ropnop/kerbrute/releases 에서 받아 /usr/local/bin/에 설치
• userenum-cldap — 동반 CLDAP NetLogon-핑 열거기 (이 저장소에 userenum-cldap.py로 포함됨; /usr/local/bin/userenum-cldap에 설치)
• asn1tools — pip install asn1tools (CLDAP 열거 런타임 종속성)

빠른 설치 (Kali에서 모든 종속성)

# APT 패키지
sudo apt install python3 impacket-scripts netexec nmap hashcat tcpdump \
  responder dsniff arp-scan certipy-ad bloodyad bloodhound.py \
  smbclient atftp wimtools john seclists