AD AutoPwn

Без аутентификации до Domain Admin — автоматизированная цепочка атак на Active Directory

Полностью автоматизированный инструмент для тестирования на проникновение, который объединяет более 25 техник атак для компрометации сред Active Directory. Разработан для авторизованных оценок безопасности.

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ Zero-Auth to Domain Admin — Attack Chain
    Discover | Sniff | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roast
    BloodHound | Reflect | Loot | RBCD+KCD | DCSync | DPAPI

Возможности

Обнаружение пользователей и учётных данных до аутентификации (ноль учётных данных)

• kerbrute — перечисление пользователей KRB-AS-REQ (без риска блокировки)
• CLDAP NetLogon ping — перечисление имён пользователей (без риска блокировки)
• AS-REP roast всех кандидатов (бесплатные хэши для учётных записей с DONT_REQ_PREAUTH)
• pre2k автотест (машины с режимом совместимости Windows 2000 и паролями по умолчанию)
• Спрей одним паролем (с учётом блокировки, опционально через --spray-password)

Атаки уровня Layer-2 / пассивные атаки без аутентификации

• Пассивный перехват сетевого трафика — обнаружение WPAD, WSUS, PXE, LLMNR, DHCPv6, TFTP, SCCM ProxyDHCP
• ARP-спуфинг + NTLM relay — перехват и взлом NTLMv2-хэшей
• WPAD-отравление — перехват DNS через IPv6 mitm6 / Responder
• WSUS relay — перехват NTLM-аутентификации Windows Update (порт 8530/8531)
• Кража учётных данных PXE-загрузки — извлечение учётных данных из загрузочных образов через TFTP/WIM
• Сброс файлов для кражи NTLM — файлы .library-ms / .theme / .url на доступных для записи ресурсах
• WebDAV-принуждение — WebClient HTTP → LDAP relay (обход подписи SMB)
• DHCP-принуждение — relay учётной записи машины DHCP-сервера

Обход через отражение аутентификации (Synacktiv 2026)

• CVE-2025-58726 ghost-SPN — отражение Kerberos AP-REQ (автоматически срабатывает через авто-действие BloodHound)
• CVE-2026-24294 LPE — отражение SMB на произвольном TCP-порту (Win11 24H2 / Server 2025 до марта 2026)
• CVE-2026-26128 LPE — Kerberos loopback через Unicode-SPN
• Unicode-SPN fallback, когда путь CVE-2025-33073 закрыт патчем

Сбор учётных данных (после аутентификации)

• Kerberoasting — извлечение и автовзлом SPN-хэшей (режим hashcat 13100/19700)
• AS-REP Roasting — взлом учётных записей без предварительной аутентификации (режим hashcat 18200)
• Timeroast — SNTP-MS хэши с любой машины, входящей в домен (режим hashcat 31300)
• Восстановление паролей LAPS + атрибут userPassword в LDAP + пароли, утёкшие в description (добываются батареей обогащения nxc)
• Кража SCCM NAA — извлечение учётных данных Network Access Account через sccmhunter

Графовые цепочки атак (BloodHound)

• bloodhound-python -c All — сбор данных + анализ ZIP
• Находки высокой ценности — Domain/Enterprise/Schema Admins, Kerberoastable, AS-REP roastable, неограниченная делегация, входящий RBCD, LAPS, AdminCount
• Анализ применимых рёбер — замыкание контролируемых субъектов (вы + транзитивные членства в группах) → рёбра ACE, где вы являетесь субъектом: WriteSPN, AddKeyCredentialLink, GenericAll/Write, WriteDacl/Owner, WriteAccountRestrictions, AddAllowedToAct, ForceChangePassword
• Цепочка авто-действий — автоматически запускает подходящие примитивы:
  • WriteSPN → апгрейд до ghost-SPN (CVE-2025-58726)
  • AddKeyCredentialLink → shadow credentials → PKINIT → NT-хэш
  • GenericAll / WriteAccountRestrictions на компьютере → цепочка RBCD → административный TGS

Примитивы повышения привилегий

• Эксплуатация AD CS — ESC1-ESC16 через certipy (автоперечисление + эксплуатация)
  • ESC8 (relay на web-enrollment)
  • ESC9/ESC10 UPN-swap (обход CVE-2022-26923)
  • ESC4 изменение шаблона + эксплуатация + восстановление (cwd-safe)
  • Перечисление Certihound с запасным вариантом certipy (аутентификация по NT-хэшу)
• Shadow Credentials — msDS-KeyCredentialLink через ntlmrelayx или pywhisker
• RBCD abuse — Resource-Based Constrained Delegation (addcomputer + S4U2Self + S4U2Proxy)
• Оркестратор цепочки RBCD+KCD — полный WriteSPN → ghost-SPN → RBCD → S4U2Proxy → переписывание -altservice за одну фазу
• Переписывание TGS sname (обход ограничения протокола KCD в стиле tgssub) — отдельно или встроенно через -altservice
• Dollar Ticket — автоматический повтор KDC с суффиксом $ при поиске субъекта → TGT для Linux-пользователя через автоматически создаваемую учётную запись машины <user>$ → GSSAPI SSH
• Злоупотребление GPO — pyGPOAbuse запланированная задача от имени SYSTEM

Компрометация домена

• DCSync — полный дамп хэшей домена через impacket-secretsdump
• DPAPI backup key — извлечение доменного DPAPI-ключа для офлайн-расшифровки учётных данных
• Обход AppLocker — LOLBins (mshta, certutil, regsvr32, и т.д.) + доставка подписанных обновлений WSUS
• WSUS update injection — внедрение вредоносных обновлений Windows через wsuks

Добыча после эксплуатации

• Сбор командной строки процессов — Get-CimInstance Win32_Process через nxc -x; regex-поиск паролей в mysql/sqlcmd/runas/KeePass/флагах в стиле --password
• Обнаружение и взлом хранилищ KeePass — поиск *.kdbx в C:\Users, скачивание через smbclient, keepass2john | hashcat -m 13400

Использование

# Fully automated — zero-cred chain (auto-discovers everything)
sudo ./ad-autopwn.py

# With credentials — full chain
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# AWS / VPC labs (Layer 2 attacks blocked) — auto-discovery still works
sudo ./ad-autopwn.py --no-arp --no-wpad

# Pre-auth credential discovery (lockout-safe)
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# BloodHound graph collection + automatic high-value analysis
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# Dollar Ticket — TGT for 'root' via auto-created root$ machine acct
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# RBCD+KCD chain — full ghost-SPN + RBCD + altservice rewrite, one shot
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# AppLocker bypass
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# Dry run (print every command, run nothing — even background processes)
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

Доступные фазы