AD AutoPwn

从零认证到域管理员 — 自动化Active Directory攻击链

一个完全自动化的渗透测试工具，串连25+种攻击技术以入侵Active Directory环境。专为授权的安全评估而设计。

       _   ___      _       _       ___
      /_\ |   \    /_\ _  _| |_ ___| _ \__ __ ___ _
     / _ \| |) |  / _ \ || |  _/ _ \  _/\ V  V / ' \
    /_/ \_\___/  /_/ \_\_,_|\__\___/_|   \_/\_/|_||_|

    ⚡ Zero-Auth to Domain Admin — Attack Chain
    Discover | Sniff | ARP | WPAD | WSUS | PXE | AD CS | SCCM | Roast
    BloodHound | Reflect | Loot | RBCD+KCD | DCSync | DPAPI

功能

预认证用户名和凭证发现（零凭证）

• kerbrute KRB-AS-REQ 用户枚举（防锁定）
• CLDAP NetLogon ping 用户名枚举（防锁定）
• AS-REP roast 所有候选账户（针对设置了 DONT_REQ_PREAUTH 的账户获取免费哈希）
• pre2k 自动测试（Windows 2000 兼容性默认密码机器）
• 单密码喷射（防锁定感知，通过 --spray-password 选择启用）

二层/被动零认证攻击

• 被动网络嗅探 — 检测 WPAD、WSUS、PXE、LLMNR、DHCPv6、TFTP、SCCM ProxyDHCP
• ARP 欺骗 + NTLM 中继 — 捕获并破解 NTLMv2 哈希
• WPAD 投毒 — mitm6 / Responder IPv6 DNS 劫持
• WSUS 中继 — 拦截 Windows Update NTLM 认证（端口 8530/8531）
• PXE 启动凭证窃取 — 通过 TFTP/WIM 从启动镜像中提取凭证
• NTLM 窃取文件投放 — 在可写共享上放置 .library-ms / .theme / .url 文件
• WebDAV 胁迫 — WebClient HTTP → LDAP 中继（绕过 SMB 签名）
• DHCP 胁迫 — DHCP 服务器机器账户中继

认证反射绕过（Synacktiv 2026）

• CVE-2025-58726 ghost-SPN Kerberos AP-REQ 反射（由 BloodHound 自动动作自动触发）
• CVE-2026-24294 LPE — SMB-on-arbitrary-tcpport 反射（Win11 24H2 / Server 2025 在 2026年3月之前）
• CVE-2026-26128 LPE — 通过 Unicode SPN 的 Kerberos 回环
• Unicode-SPN 后备（当 CVE-2025-33073 路径被修补时）

凭据收割（认证后）

• Kerberoasting — 提取并自动破解 SPN 哈希（hashcat 模式 13100/19700）
• AS-REP Roasting — 破解无需预认证的账户（hashcat 模式 18200）
• Timeroast — 从任何加入域的机器获取 SNTP-MS 哈希（hashcat 模式 31300）
• LAPS 密码恢复 + userPassword LDAP 属性 + 描述中泄露的密码（从 nxc 增强模块中挖掘）
• SCCM NAA 窃取 — 通过 sccmhunter 提取网络访问账户凭证

图驱动攻击链（BloodHound）

• bloodhound-python -c All 收集 + ZIP 分析
• 高价值发现 — 域/企业/架构管理员、可 Kerberoast、可 AS-REP Roast、无约束委派、入站 RBCD、LAPS、AdminCount
• 可操作边分析 — 控制主体闭包（你 + 传递组成员资格）→ ACE 边，其中你是主体：WriteSPN、AddKeyCredentialLink、GenericAll/Write、WriteDacl/Owner、WriteAccountRestrictions、AddAllowedToAct、ForceChangePassword
• 自动动作链 — 自动触发匹配的原语：
  • WriteSPN → ghost-SPN 升级（CVE-2025-58726）
  • AddKeyCredentialLink → 影子凭证 → PKINIT → NT 哈希
  • GenericAll / WriteAccountRestrictions on Computer → RBCD 链 → 管理员 TGS

权限提升原语

• AD CS 利用 — 通过 certipy 实现 ESC1-ESC16（自动枚举+利用）
  • ESC8（Web 注册中继）
  • ESC9/ESC10 UPN 交换（CVE-2022-26923 绕过）
  • ESC4 模板修改+利用+恢复（目录安全）
  • Certihound 枚举并回退至 certipy（NT 哈希认证）
• 影子凭证 — 通过 ntlmrelayx 或 pywhisker 操纵 msDS-KeyCredentialLink
• RBCD 滥用 — 基于资源的约束委派（addcomputer + S4U2Self + S4U2Proxy）
• RBCD+KCD 链编排器 — 完整 WriteSPN → ghost-SPN → RBCD → S4U2Proxy → -altservice 重写，单阶段完成
• TGS sname 重写（tgssub 风格的 KCD 协议转换绕过）— 独立使用或通过 -altservice 内联
• Dollar Ticket — KDC 在主体查找失败时自动尝试 $ 后缀，从而为 Linux 用户通过自动创建的 <user>$ 机器账户获取 TGT → GSSAPI SSH
• GPO 滥用 — pyGPOAbuse 计划任务以 SYSTEM 权限执行

域沦陷

• DCSync — 通过 impacket-secretsdump 完整域哈希转储
• DPAPI 备份密钥 — 提取域 DPAPI 密钥用于离线凭证解密
• AppLocker 绕过 — LOLBins（mshta、certutil、regsvr32 等）+ WSUS 签名投递
• WSUS 更新注入 — 通过 wsuks 推送恶意 Windows 更新

后利用战利品

• 进程命令行收割 — 通过 nxc -x 执行 Get-CimInstance Win32_Process；正则匹配密码（mysql/sqlcmd/runas/KeePass/--password 类型标志）
• KeePass 保险库发现与破解 — 在 C:\Users 中查找 *.kdbx，通过 smbclient 下载，keepass2john | hashcat -m 13400

用法

# 完全自动化 — 零凭证链（自动发现一切）
sudo ./ad-autopwn.py

# 有凭证 — 完整链
./ad-autopwn.py -u jsmith -p 'P@ss123' -d corp.local --dc-ip 10.0.0.1

# AWS / VPC 实验室（二层攻击被阻断）— 自动发现仍有效
sudo ./ad-autopwn.py --no-arp --no-wpad

# 预认证凭证发现（防锁定）
sudo ./ad-autopwn.py --phase discover --no-arp --no-wpad

# BloodHound 图收集 + 自动高价值分析
./ad-autopwn.py --phase bloodhound -u user -p pass -d corp.local \
                --dc-ip 10.0.0.1 --dc-fqdn dc01.corp.local

# Dollar Ticket — 通过自动创建的 root$ 机器账户为 'root' 获取 TGT
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase dollar-ticket --target-user root

# RBCD+KCD 链 — 完整 ghost-SPN + RBCD + altservice 重写，单次完成
./ad-autopwn.py -u user -p pass -d corp.local --dc-ip 10.0.0.1 \
                --phase rbcd-kcd -T VHAGAR$ --alt-spn HTTP/vhagar.corp.local

# AppLocker 绕过
./ad-autopwn.py -u user -p pass --applocker --lolbin mshta --custom-cmd "whoami"

# 试运行（打印每条命令，不执行——包括后台进程）
./ad-autopwn.py --dry-run -u user -p pass -d corp.local --dc-ip 10.0.0.1

可用阶段

阶段	认证	描述
full	可选	完整自动化链（有或没有凭证均自动检测）
sniff	无	被动 L2 流量发现
discover	无	kerbrute + CLDAP + AS-REP + pre2k + （可选）喷射
arp	无	ARP 欺骗 + NTLM 捕获
wpad	无	WPAD/LLMNR 投毒（mitm6 / Responder）
wsus	无	WSUS NTLM 中继
pxe	无	PXE 启动凭证窃取
enum	是	目标枚举（中继目标、无约束委派、WebClient 主机）
enrich	是	nxc 13 模块电池（LAPS、timeroast、MAQ、nopac、zerologon 等）+ 自动消费者
bloodhound	是	bloodhound-python -c All + 分析 + 自动动作链
roast	是	Kerberoast + AS-REP Roast
adcs	是	AD CS 利用（ESC1-ESC16）
sccm	是	SCCM NAA 凭证窃取
exploit	是	针对特定目标的 NTLM 反射/胁迫利用
dcsync	是 (DA)	域哈希转储
loot	是	进程命令行收割 + KeePass 发现/破解
tgs-rewrite	无	离线 ccache sname 重写（tgssub 风格 KCD 绕过）
dollar-ticket	是	KDC $ 后缀重试攻击（Linux GSSAPI 目标）
rbcd-kcd	是	完整 RBCD+KCD 链编排器（WriteSPN → ghost → RBCD → S4U+altservice）
reflect-tcpport	是	CVE-2026-24294 LPE 原语（SMB-on-tcpport）
reflect-loopback	是	CVE-2026-26128 LPE 原语（通过 Unicode SPN 的 Kerberos 回环）
kerb-reflect	是	CVE-2025-58726 ghost-SPN AP-REQ 反射

依赖

APT（Kali Linux）

apt install python3 impacket-scripts netexec nmap hashcat tcpdump \
  responder dsniff arp-scan certipy-ad bloodyad bloodhound.py \
  smbclient atftp wimtools john seclists

Git 仓库（克隆到 /opt/tools/）

git clone https://github.com/mverschu/CVE-2025-33073        /opt/tools/CVE-2025-33073
git clone https://github.com/dirkjanm/krbrelayx              /opt/tools/krbrelayx
git clone https://github.com/Wh04m1001/DFSCoerce             /opt/tools/DFSCoerce
git clone https://github.com/ShutdownRepo/ShadowCoerce       /opt/tools/ShadowCoerce
git clone https://github.com/ShutdownRepo/pywhisker          /opt/tools/pywhisker
git clone https://github.com/dirkjanm/PKINITtools            /opt/tools/PKINITtools
git clone https://github.com/csandker/pxethiefy              /opt/tools/pxethiefy
git clone https://github.com/garrettfoster13/sccmhunter      /opt/tools/sccmhunter
git clone https://github.com/dirkjanm/mitm6                  /opt/tools/mitm6
git clone https://github.com/Hackndo/pyGPOAbuse              /opt/tools/pyGPOAbuse
git clone https://github.com/Hackndo/WebclientServiceScanner /opt/tools/WebclientServiceScanner
git clone https://github.com/almandin/Certihound             /opt/tools/Certihound

Pipx 包

pipx install coercer
pipx install wsuks --system-site-packages

其他二进制文件

• kerbrute — 从 https://github.com/ropnop/kerbrute/releases 获取最新二进制文件 — 安装到 /usr/local/bin/
• userenum-cldap — 配套的 CLDAP NetLogon-ping 枚举器（位于本仓库的 userenum-cldap.py；安装到 /usr/local/bin/userenum-cldap）
• asn1tools — pip install asn1tools（CLDAP 枚举运行时依赖）

快速安装（Kali 上的所有依赖）

# APT packages
sudo apt install python3 impacket-scripts netexec nmap hashcat tcpdump \
  responder dsniff arp-scan certipy-ad bloodyad bloodhound.py \
  smbclient atftp wimtools john seclists