mcpField
A
active-directory-attack-paths

active-directory-attack-paths

github.com/securityskillsセキュリティ0389 回インストール9 週間前に更新
リポジトリ

active-directory-attack-paths について

許可された内部評価で、Active Directory の設定不備と権限昇格経路を特定するスキルです。列挙、認証情報攻撃、委任や ACL の悪用に加え、証拠の記録と後片付けも扱います。

主な機能

  1. 01信頼関係、グループ、アカウント設定の列挙
  2. 02Kerberoasting と AS-REP Roasting の評価
  3. 03委任と ACL による昇格経路の確認
  4. 04コマンド、出力、影響を受けたアカウントの記録
  5. 05評価後の変更とツールの除去

活用シーン

  1. 01許可された内部ネットワークの侵入状態を評価
  2. 02Domain Admin への経路を追跡
  3. 03委任や ACL のリスクを検証

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/securityskills/skills --skill active-directory-attack-paths

インストール後、Claude Code で/active-directory-attack-pathsを入力して読み込まれたか確認します。

詳細

Active Directory 攻撃経路

許可された内部評価において、Active Directory の設定ミスを特定し、実証します。

使用する場面

  • 許可された内部ネットワーク内に足掛かり（または認証情報）がある場合
  • Domain Admin または Enterprise Admin への権限昇格経路をマッピングする必要がある場合

方法論

1. 初期列挙
  • whoami /all、ドメイン信頼、ネストされたグループ
  • BloodHound / SharpHound による収集（まずは小規模な収集から。ステルス性が重要な場合は --collectionmethod All --exclude-dc）
  • 次の項目を確認します：Kerberoast の対象となる SPN、AS-REP Roasting の対象となるアカウント（事前認証なし）、無制約の委任、DCSync 権限、GPO の悪用
2. 認証情報への攻撃
  • Kerberoasting：SPN アカウントの TGS を要求し、オフラインでクラックします（hashcat -m 13100）
  • AS-REP Roasting：DONT_REQ_PREAUTH が設定されたアカウントをオフラインでクラックします（hashcat -m 18200）
  • パスワードスプレーは RoE の範囲内でのみ実施し、アカウントロックアウトポリシーを遵守します
3. 委任の悪用
  • 無制約の委任：Rubeus を使用し、プリンターバグ（SpoolSample）経由で TGT を取得します
  • 制約付き委任：S4U2Proxy を悪用してユーザーになりすまします
  • リソースベースの制約付き委任（RBCD）：msDS-AllowedToActOnBehalfOfOtherIdentity に対する書き込み権限が必要です
4. ACL 攻撃
  • ユーザー、グループ、または GPO に対する GenericAll / GenericWrite / WriteDacl / WriteOwner
  • パスワードのリセットまたは ACL の変更を強制し、新しい経路を確認するために再度収集を実行します
5. ドメインの支配
  • DCSync（mimikatz lsadump::dcsync または secretsdump.py）— 明示的な許可がある場合に限ります
  • AD CS の悪用：ESC1–ESC8 テンプレート（Certipy）、Golden/Silver 証明書

証拠の記録

各手順について、実行したコマンド、権限昇格を示す出力、影響を受けたアカウントを記録します。

クリーンアップ

作成したアカウント、変更した ACL、配置したツールを削除し、すべての変更をクリーンアップログに記録します。

コメント

Markdown 対応