ADWSDomainDump

Инструмент для сбора информации об Active Directory через ADWS (Active Directory Web Services).

Установка

Рекомендуемый способ установки:

pipx install git+https://github.com/mverschu/adwsdomaindump
# или
pipx install .

Использование

adwsdomaindump -u 'corp.local\jsmith' -p 'password' -n 10.0.0.1 dc01.corp.local
[*] Connecting to ADWS host...
[+] ADWS port 9389 is reachable
[*] Binding to ADWS host
[+] Bind OK
[*] Starting domain dump
[+] Domain dump finished

Используйте --force, чтобы пропустить проверку доступности порта ADWS.

Сбор данных

Все запросы выполняются через ADWS (порт 9389), а не через LDAP.

* AD CS требует --bloodhound. --all автоматически включает --adcs.

Не собирается (только данные ADWS/каталога — в отличие от SharpHound): сеансы входа, членство в локальных группах, AdminTo, RDP/PSRemote, флаги реестра ЦС (ESC6/11/16) или проверки HTTP-регистрации (ESC8).

Форматы вывода

Отключите форматы по умолчанию с помощью --no-html, --no-json или --no-grep. Используйте --all для GPO, OU, контейнеров, AD CS (с --bloodhound) и разбора DACL. Используйте --acl без --all для сбора только ACL на наборе объектов по умолчанию.

Пример с BloodHound (ACL + AD CS, всё через ADWS):

adwsdomaindump -u 'corp.local\Administrator' -p 'password' dc01.corp.local \
  --all --bloodhound -o ./out

Пример Markdown с ACL (без BloodHound):

adwsdomaindump -u 'corp.local\Administrator' -p 'password' dc01.corp.local \
  --markdown --all -o ./out

Подробнее (флаги, список файлов, BloodHound/AD CS): wiki.

Полные номера сборок ОС (--full-build)

Active Directory хранит только мажорную сборку в operatingSystemVersion (например, 10.0 (14393)). Используйте --full-build, чтобы обогатить каждый компьютер полным номером сборки кумулятивного обновления (например, 14393.8246) путём запроса к Remote Registry через SMB.

adwsdomaindump -u 'corp.local\jsmith' -p 'password' dc01.corp.local --full-build

Столбец operatingSystemBuildNumber (с подписью OS Build в HTML/Markdown) затем будет показывать значения, например:

Права администратора не требуются — HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion предоставляет доступ на чтение всем аутентифицированным пользователям по умолчанию. Любая стандартная учётная запись доменного пользователя может выполнить этот запрос.

Требования:

• Служба RemoteRegistry должна быть запущена на каждой целевой машине (по умолчанию на Windows Server; часто отключена на рабочих станциях)
• Порт SMB 445 должен быть доступен с хоста сканирования
• Включается в HTML, JSON, greppable и Markdown вывод — не в экспорт BloodHound

Хосты, на которых запрос не удался (недоступен, RemoteRegistry остановлена), молча пропускаются; для них столбец operatingSystemBuildNumber просто отсутствует.

Обход обнаружений

Протестировано на:

Благодарности

Этот проект является форком/адаптацией ldapdomaindump от Dirk-jan Mollema, переработанного для использования ADWS вместо LDAP.

Оригинальная работа: Copyright (c) 2017 Dirk-jan Mollema

Лицензия

MIT