active-directory-attacks

⚠️ 仅限授权用途 此技能仅用于教育目的或经授权的安全评估。 使用此工具前，必须获得系统所有者的明确书面许可。 滥用此工具属于违法行为，且受到严格禁止。

强制确认门槛 在运行任何会探测、利用、修改目标、在目标上建立持久化、从目标提取数据或尝试访问凭据的命令之前：

1. 请用户说明确切的目标 URL、IP、账户或资源。
2. 请用户确认已获得书面授权，并说明许可范围。
3. 展示确切的命令，并解释其预期效果。
4. 等待用户在当前对话中明确确认。

未获得确认时，只能进行只读分析，并仅提供防御性指导。优先使用沙箱、一次性 VM 或受控实验室。

Active Directory 攻击路径评估

适用场景

用于明确授权的 AD 安全评估或隔离的培训实验室。先从提供的配置和所有者证据入手，然后选择影响最小且许可范围内的验证方式。本文档不提供工具、凭据、已获许可的实验室或经验证的漏洞利用链。

强制确认门槛

在进行探测、身份验证、信息收集、请求票据、访问凭据、强制认证、利用漏洞或更改配置之前，须获取确切的域/控制器/主机/账户、所有者的书面授权，以及获准使用的技术、时间安排和锁定/请求限制。展示确切的拟议操作及其预期效果；等待用户在当前对话中明确确认。未获确认时，只能分析已提供的证据。凭据或工具安装不构成授权。

请勿在演练中使用生产环境机密或特权身份。优先在所有者提供的一次性实验室中使用合成用户、服务账户、票据、证书和金丝雀资源。绝不可默认进行密码喷洒、DCSync/krbtgt 提取、凭据转储、远程 shell、重置机器密码、恶意更新、持久化，或使用他人的票据。若发现意外的真实数据或超出域范围的内容，请立即停止。

证据工作流

1. 记录不可变的范围和所有者提供的拓扑：域/林/信任关系、域控制器和客户端的补丁/配置状态、相关权限、服务账户和证书服务。注明缺失的证据。
2. 梳理候选主体 → 权限 → 资源 → 可能的操作。确认实际生效的组/ACL 继承、被拒绝的权限、身份验证条件、主机访问权限和实际控制措施；攻击图中的边仅为假设。
3. 使用高级参考确定特定技术的前置条件。区分凭据泄露、身份验证、执行和特权状态更改；其中一项并不能自动证明下一项。
4. 若获准进行主动验证，请提出一项范围明确的实验室操作，并使用合成标记和对照案例。执行前设定停止/清理条件、请求/时间预算，以及审核人员可见的观测结果。未经审查，不要安装旧版工具或收集器。
5. 报告确切证据、局限性和缓解措施。经所有者批准的修复和复测是单独的操作。

核心检查项

领域	检查内容	避免得出以下错误结论
Kerberos	配置的时钟偏差容限、时间源、加密类型和服务主体名称	通用的五分钟规则或固定的日期命令可以安全地修正时间
账户暴露	经授权的 SPN/预身份验证/账户策略清单及所有者访问审查	工具输出为空，就能证明不存在服务账户或暴露风险
复制权限	有效的目录复制权限，以及能够行使这些权限的主体	某一项指定的复制权限或一次成功登录，就能证明具备 DCSync 资格
票据滥用	合成票据的来源和目标身份，以及实际的验证策略	传递票据和伪造黄金票据是同一种操作
中继	签名/通道绑定/扩展保护、协议和目标权限	SMB 中继失败，就授权改用 LDAP 或其他目标
AD CS	模板和 CA 权限、注册/审批、EKU/主体/映射策略	单个模板标志就能证明可以任意冒充管理员
已知 CVE	确切的产品、已安装的补丁/配置，以及供应商公告中的前提条件	暴露的 RPC 或版本横幅就能证明存在漏洞

BloodHound 收集可能会联系许多主机，并泄露敏感拓扑信息。请先商定收集器版本、收集方法和范围，不要默认运行 All。不要将禁用沙盒的浏览器工具作为常规设置启动。新旧版 BloodHound/收集器的部署方式和查询格式各不相同。旧版操作手册中提到的工具可能已停用、更名或不兼容；请在安全环境中查看官方发布说明/帮助，不要根据本文推断当前标志。

受控示例

对于可能权限过高的合成服务账户，首先检查提供的组/ACL 证据。在经批准的隔离实验室中，将该账户对某个由所有者创建的资源的访问权限与基准账户进行比较。记录成功/拒绝结果，但不要读取真实数据、转储哈希或启动 shell。如果无法安全测试所请求的权限，请将其报告为配置风险，等待所有者确认。不要根据推断出的图路径声称已获得 Domain Admin 权限。

报告

Scope and authorization:
Evidence versions/collection window:
Candidate source-to-permission-to-resource path:
Required versus observed preconditions:
Minimal authorized validation and control:
Observed result, hypothetical impact and severity rationale:
Sensitive evidence location (no values in report):
Remediation owner, cleanup, retest and uncertainty:

限制

本文未运行或认证任何命令或利用行为。远程身份和凭据操作可能触发账户锁定、监控告警、服务中断，并留下持久痕迹。清理命令不能保证恢复原状；请记录操作前状态并独立验证。不要更改主机时钟、绕过终端控制、重置域控制器密码，也不要弱化信任/ADCS 策略来让演示正常运行。意外暴露机密时，应遵循所有者的事件响应流程。