ADWSDomainDump

Ferramenta de extração de informações do Active Directory via ADWS (Active Directory Web Services).

Instalação

Instalação recomendada:

pipx install git+https://github.com/mverschu/adwsdomaindump
# or
pipx install .

Uso

adwsdomaindump -u 'corp.local\jsmith' -p 'password' -n 10.0.0.1 dc01.corp.local
[*] Connecting to ADWS host...
[+] ADWS port 9389 is reachable
[*] Binding to ADWS host
[+] Bind OK
[*] Starting domain dump
[+] Domain dump finished

Use --force para pular a verificação de conectividade da porta ADWS.

Coleta

Tudo é consultado via ADWS (porta 9389), não LDAP.

• AD CS requer --bloodhound. --all ativa --adcs automaticamente.

Não coletado (apenas dados ADWS / diretório — ao contrário do SharpHound): sessões de logon, associações a grupos locais, AdminTo, RDP/PSRemote, flags de registro de CA (ESC6/11/16) ou verificações de matrícula HTTP (ESC8).

Formatos de saída

Desabilite os padrões com --no-html, --no-json ou --no-grep. Use --all para GPOs, UOs, contêineres, AD CS (com --bloodhound) e análise DACL. Use --acl sem --all para coleta apenas de ACLs no conjunto de objetos padrão.

Exemplo com BloodHound (ACLs + AD CS, tudo via ADWS):

adwsdomaindump -u 'corp.local\Administrator' -p 'password' dc01.corp.local \
  --all --bloodhound -o ./out

Exemplo com Markdown ACL (sem BloodHound):

adwsdomaindump -u 'corp.local\Administrator' -p 'password' dc01.corp.local \
  --markdown --all -o ./out

Mais detalhes (flags, lista de arquivos, BloodHound/AD CS): wiki.

Números de compilação completa do SO (--full-build)

O Active Directory armazena apenas a compilação principal em operatingSystemVersion (ex.: 10.0 (14393)). Use --full-build para enriquecer cada computador com o número de compilação completa de atualização cumulativa (ex.: 14393.8246) consultando o Registro Remoto via SMB.

adwsdomaindump -u 'corp.local\jsmith' -p 'password' dc01.corp.local --full-build

A coluna operatingSystemBuildNumber (rotulada como OS Build em HTML/Markdown) mostrará então valores como:

Nenhum admin necessário — HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion concede acesso de leitura a todos os Usuários Autenticados por padrão. Qualquer conta de usuário de domínio padrão pode realizar essa consulta.

Requisitos:

• O serviço RemoteRegistry deve estar em execução em cada destino (padrão no Windows Server; geralmente desabilitado em estações de trabalho)
• Porta SMB 445 acessível a partir do host de varredura
• Incluído na saída HTML, JSON, greppable e Markdown — não na exportação do BloodHound

Hosts onde a consulta falha (inacessível, RemoteRegistry parado) são ignorados silenciosamente; a coluna operatingSystemBuildNumber simplesmente estará ausente para essas entradas.

Evasão

Atualmente testado contra:

Créditos

Este projeto é um fork/adaptação de ldapdomaindump por Dirk-jan Mollema, convertido para usar ADWS em vez de LDAP.

Trabalho original: Copyright (c) 2017 Dirk-jan Mollema

Licença

MIT