linWinPwn - Active Directory 渗透测试的瑞士军刀（Linux 版）

描述

linWinPwn 是一个 bash 脚本，它封装了大量 Active Directory 工具，用于枚举（LDAP、RPC、ADCS、MSSQL、Kerberos、SCCM）、漏洞检查（noPac、ZeroLogon、MS17-010、MS14-068）、对象修改（密码更改、将用户添加到组、RBCD、影子凭据）和密码转储（secretsdump、lsassy、nanodump、DonPAPI）。该脚本简化了大量工具的使用：impacket、bloodhound、netexec、enum4linux-ng、ldapdomaindump、lsassy、smbmap、kerbrute、certipy、silenthound、bloodyAD、DonPAPI 等。

安装

使用 install.sh 脚本克隆仓库并安装依赖：

git clone https://github.com/lefayjey/linWinPwn
cd linWinPwn
chmod +x install.sh
./install.sh

或者，使用 Docker Hub 上的预构建 Docker 镜像：

docker pull lefayjey/linwinpwn:latest

# 将 linWinPwn_docker 添加到 PATH
echo -e "docker run --rm --init -it --net=host -v \$(pwd):/opt/lwp-output lefayjey/linwinpwn:latest \$@" | sudo tee "/usr/local/sbin/linWinPwn_docker"
sudo chmod 755 /usr/local/sbin/linWinPwn_docker
# 运行 linWinPwn_docker（输出到主机的当前目录）
linWinPwn_docker -t <DC_IP>
linWinPwn_docker -t <DC_IP> -d <domain> -u <user> -p <password> --auto

或者从源码构建：

docker build -t linwinpwn .
docker run --rm --init -it --net=host -v $(pwd):/opt/lwp-output linwinpwn -t <DC_IP>

用法

模式

linWinPwn 脚本可以以交互模式（默认）或自动模式（仅枚举）运行。

1. 交互模式（默认） - 打开交互菜单以单独运行检查

linWinPwn -t <Domain_Controller_IP> [-d <AD_domain> -u <AD_user> -p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]> -o <output_dir>]

2. 自动模式 - 使用 --auto 参数，运行枚举工具（不进行利用、修改或密码转储）

使用自动模式时，根据身份验证方法执行不同的检查。

未认证（未提供凭据）
- 使用 netexec、enum4linux-ng、ldapdomaindump、ldeep 进行匿名枚举
- 使用 netexec 进行 RID 暴力破解
- kerbrute 用户喷洒
- 对收集的计算机列表进行 Pre2k 身份验证检查
- 使用收集的用户列表进行 ASREPRoast（并使用 john-the-ripper 和 rockyou 密码字典破解哈希）
- 盲 Kerberoast
- CVE-2022-33679 利用
- 使用 krbjack 检查 DNS 不安全更新以滥用 AS-REQ
- 在识别出的服务器上匿名枚举 SMB 共享
- 在识别出的服务器上枚举 WebDav、dfscoerce、shadowcoerce 和 Spooler 服务
- 检查 ms17-010、zerologon、petitpotam、nopac、smb-signing、ntlmv1、runasppl 漏洞

linWinPwn -t <Domain_Controller_IP> --auto [-o <output_dir>]

已认证（使用密码、NTLM 哈希、Kerberos 票据、AES 密钥或 pfx 证书）
- 使用 netexec 提取 DNS
- BloodHound 数据收集
- 使用 netexec、enum4linux-ng、ldapdomaindump、bloodyAD、sccmhunter、rdwatool、sccmhunter、GPOParser 进行枚举
- 生成密码破解用的字典
- netexec 查找用户密码相同的账户
- 对域计算机进行 Pre2k 身份验证检查
- 使用 certipy 和 certi.py 提取 ADCS 信息
- kerbrute 查找用户密码相同的账户
- ASREPRoasting（并使用 john-the-ripper 和 rockyou 密码字典破解哈希）
- Kerberoasting（并使用 john-the-ripper 和 rockyou 密码字典破解哈希）
- 定向 Kerberoasting（并使用 john-the-ripper 和 rockyou 密码字典破解哈希）
- 使用 smbmap、FindUncommonShares 和 cme's spider_plus 枚举所有域服务器上的 SMB 共享
- 在所有域服务器上枚举 WebDav、dfscoerce、shadowcoerce 和 Spooler 服务（使用 cme、Coercer 和 RPC Dump）
- 检查 ms17-010、ms14-068、zerologon、petitpotam、nopac、smb-signing、ntlmv1、runasppl、certifried、ldapnightmare、badsuccessor 漏洞
- 检查 mssql 权限提升路径
- 检查 mssql 中继可能性

linWinPwn -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] --auto

参数

自动配置 - 与目标 DC 同步 NTP 并在运行模块之前添加条目到 /etc/hosts

linWinPwn -t <Domain_Controller_IP> --auto-config

LDAPS - 使用 LDAPS 代替 LDAP（端口 636）

linWinPwn -t <Domain_Controller_IP> --ldaps

强制 Kerberos 身份验证 - 强制使用 Kerberos 身份验证代替 NTLM（在可能的情况下）

linWinPwn -t <Domain_Controller_IP> --force-kerb

详细 - 启用所有详细和调试输出

linWinPwn -t <Domain_Controller_IP> --verbose

接口 - 选择攻击者的网络接口

linWinPwn -t <Domain_Controller_IP> -I tun0
linWinPwn -t <Domain_Controller_IP> --interface eth0

目标 - 选择要扫描的目标（DC、All、IP=IP_or_hostname、File=./path_to_file）

linWinPwn -t <Domain_Controller_IP> --targets All
linWinPwn -t <Domain_Controller_IP> --targets DC
linWinPwn -t <Domain_Controller_IP> -T IP=192.168.0.1
linWinPwn -t <Domain_Controller_IP> -T File=./list_servers.txt

自定义字典 - 选择自定义用户名和密码字典

linWinPwn -t <Domain_Controller_IP> -U /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt
linWinPwn -t <Domain_Controller_IP> -P /usr/share/seclists/Passwords/xato-net-10-million-passwords.txt

隧道

当你只有有限时间访问 Active Directory 环境，并希望更高效地进行枚举和收集证据时，linWinPwn 特别有用。此外，linWinPwn 可以替代 Windows 上的枚举工具，以减少创建的工件数量（例如 PowerShell 命令、Windows 事件、磁盘上的文件），并绕过某些防病毒或 EDR。这可以通过从 Windows 主机（例如 VDI 机器或工作站或笔记本电脑）创建 SSH 隧道到远程 Linux 机器（例如渗透测试笔记本电脑或 VPS），并使用 proxychains 运行 linWinPwn 来实现。

在 Windows 主机上，使用 PowerShell 运行：

ssh.exe kali@<linux_machine> -R 1080 -NCqf

在 Linux 机器上，首先更新 /etc/proxychains4.conf 包含 socks5 127.0.0.1 1080，然后运行：

linWinPwn_proxychains -t <Domain_Controller_IP>  -d <AD_domain> -u <AD_user> [-p <AD_password> -H <hash[LM:NT]> -K <kerbticket[./krb5cc_ticket]> -A <AES_key> -C <cert[./cert.pfx]>] [-o <output_dir>] [--auto]

当前支持的身份验证

LDAP 通道绑定支持

ldap3: netexec、ldapdomaindump (NTLM)、Certipy、pre2k、bloodhound、ldeep、GroupPolicyBackdoor、relayking

msldap: bloodyAD

LDAP 自定义端口支持

netexec、ldapdomaindump、ldeep、windapsearch、godap、pre2k、ldapnomnom

演示

HackTheBox Forest

交互模式：

自动模式：

TryHackme AttacktiveDirectory

待办事项

添加更多枚举和利用工具...

致谢

灵感来源：S3cur3Th1sSh1t - WinPwn
工具：
- fortra - impacket
- NeffIsBack, Marshall-Hallenbeck, zblurx, mpgn, byt3bl33d3r 及所有贡献者 - crackmapexec/netexec
- Fox-IT - bloodhound-python
- dirkjanm - ldapdomaindump, privexchange
- zer1t0 - certi.py
- ly4k - Certipy
- ShawnDEvans - smbmap
- ropnop - windapsearch, kerbrute
- login-securite - DonPAPI
- Processus-Thief - HEKATOMB
- layer8secure - SilentHound
- ShutdownRepo - TargetedKerberoast
- franc-pentest - ldeep
- garrettfoster13 - pre2k, aced, sccmhunter
- zblurx - certsync
- p0dalirius - Coercer, FindUncommonShares, ExtractBitlockerKeys, LDAPWordlistHarvester, ldapconsole, pyLDAPmonitor, RDWAtool, smbclient-ng, FindUnusualSessions, ShareHound
- blacklanternsecurity - MANSPIDER
- CravateRouge - bloodyAD
- shellster - LDAPPER
- TrustedSec - orpheus
- lkarlslund - Adalanche

面向开发者

工具集成器

lwp_tool_integrator.py 自动完成新工具的集成。它一次性修补 linWinPwn.sh、install.sh 和 README.md：

添加工具变量定义和包装函数
用适当的标志修补 authenticate()
将工具添加到交互菜单
更新 install.sh 以自动安装
在 README.md 中添加引用和身份验证表行

用法：

python3 lwp_tool_integrator.py <tool_config.json>

配置示例请参阅 lwp_tool_template.json。

法律免责声明

在未事先获得双方同意的情况下使用 linWinPwn 攻击目标是违法的。最终用户有责任遵守所有适用的地方、州和联邦法律。开发者不承担任何责任，也不对因使用本程序造成的任何滥用或损害负责。仅用于教育目的。

`netexec`	✅	✅	✅	✅	✅	✅
`Impacket`	✅	✅	✅	✅	✅	❌
`bloodhound-python`	❌	✅	✅	✅	✅	❌
`ldapdomaindump`	✅	✅	✅	❌	❌	❌
`enum4linux-ng`	✅	✅	✅	✅	❌	❌
`bloodyAD`	❌	✅	✅	✅	❌	✅
`SilentHound`	✅	✅	✅	❌	❌	❌
`ldeep`	✅	✅	✅	✅	❌	✅
`windapsearch`	✅	✅	✅	❌	❌	❌
`LDAPWordlistHarvester`	❌	✅	✅	✅	✅	❌
`LDAPConsole`	❌	✅	✅	✅	✅	❌
`pyLDAPmonitor`	❌	✅	✅	✅	✅	❌
`sccmhunter`	❌	✅	✅	✅	✅	❌
`ldapper`	❌	✅	✅	❌	❌	❌
`Adalanche`	❌	✅	✅	✅	❌	❌
`GPOwned`	❌	✅	✅	✅	✅	❌
`ACED`	❌	✅	✅	✅	✅	❌
`breads`	✅	✅	✅	❌	❌	❌
`godap`	✅	✅	✅	✅	❌	❌
`adcheck`	❌	✅	✅	❌	❌	❌
`certi.py`	❌	✅	✅	✅	✅	✅
`Certipy`	❌	✅	✅	✅	✅	✅
`certsync`	❌	✅	✅	✅	✅	❌
`pre2k`	❌	✅	✅	✅	✅	❌
`orpheus`	❌	✅	✅	✅	✅	❌
`smbmap`	✅	✅	✅	❌	❌	❌
`FindUncommonShares`	❌	✅	✅	✅	✅	❌
`smbclient-ng`	❌	✅	✅	✅	✅	❌
`manspider`	✅	✅	✅	❌	❌	❌
`coercer`	✅	✅	✅	❌	❌	❌
`privexchange`	✅	✅	✅	❌	❌	❌
`RunFinger.py`	✅	✅	✅	✅	✅	❌
`mssqlrelay`	❌	✅	✅	✅	✅	❌
`targetedKerberoast`	❌	✅	✅	✅	✅	❌
`pygpoabuse`	❌	✅	✅	✅	❌	❌
`DonPAPI`	❌	✅	✅	✅	✅	❌
`hekatomb`	❌	✅	✅	❌	❌	❌
`ExtractBitlockerKeys`	❌	✅	✅	✅	✅	❌
`evilwinrm`	❌	✅	✅	✅	✅	✅
`mssqlpwner`	❌	✅	✅	✅	✅	❌
`SoaPy`	❌	✅	✅	❌	❌	❌
`SCCMSecrets`	✅	✅	✅	❌	❌	❌
`Soaphound`	❌	✅	✅	❌	❌	❌
`gpoParser`	❌	✅	✅	❌	❌	❌
`spearspray`	❌	✅	❌	❌	❌	❌
`GroupPolicyBackdoor`	✅	✅	✅	✅	❌	❌
`NetworkHound`	❌	✅	✅	✅	❌	❌
`ShareHound`	✅	✅	✅	❌	❌	❌
`DACLSearch`	❌	✅	✅	✅	✅	❌
`ScriptScout`	❌	✅	❌	❌	❌	❌
`relayking`	✅	✅	✅	✅	✅	❌
`ADWS Domain Dump`	❌	✅	✅	❌	❌	❌
`PyADRecon`	❌	✅	❌	✅	❌	❌
`PyADRecon-ADWS`	❌	✅	❌	✅	❌	❌
`ADPulse`	❌	✅	✅	❌	❌	❌
`PowerView.py`	✅	✅	✅	✅	✅	✅
`evil-winrm-py`	❌	✅	✅	❌	❌	✅

linWinPwn

最受欢迎