performing-active-directory-vulnerability-assessment

# 执行 Active Directory 漏洞评估（Performing Active Directory Vulnerability Assessment）

## 概述

Active Directory（AD）是大多数企业环境中的主要身份和访问管理系统（Identity and Access Management），也是关键的攻击目标。本技能涵盖使用 PingCastle 进行健康检查、BloodHound 进行攻击路径分析、Purple Knight 进行安全态势评分的全面 AD 安全评估。这些工具可识别错误配置、过度权限、Kerberos 弱点和横向移动机会。

## 前置条件

- 已加入域的工作站或具有域管理员访问权限以执行扫描
- PingCastle（https://github.com/netwrix/pingcastle）
- 带 SharpHound 采集器的 BloodHound 社区版（Community Edition）
- Semperis 出品的 Purple Knight（免费社区工具）
- Python 3.9+（用于分析脚本）
- .NET Framework 4.7+（Windows 上运行 PingCastle 所需）

## 工具 1：PingCastle 健康检查

### 安装与执行
```powershell
# 下载 PingCastle
Invoke-WebRequest -Uri "https://github.com/netwrix/pingcastle/releases/latest/download/PingCastle.zip" `
  -OutFile "PingCastle.zip"
Expand-Archive PingCastle.zip -DestinationPath C:\Tools\PingCastle

# 对当前域执行健康检查
cd C:\Tools\PingCastle
.\PingCastle.exe --healthcheck

# 对指定域执行健康检查
.\PingCastle.exe --healthcheck --server dc01.corp.local --user CORP\scanner_account --password P@ssw0rd

# 以扫描器模式运行，用于多个域
.\PingCastle.exe --scanner --scannerlp

# 生成综合报告
.\PingCastle.exe --healthcheck --level Full
```

### PingCastle 评分分类

| 分类 | 描述 | 风险领域 |
|----------|------------|------------|
| **StaleObjects（陈旧对象）** | 不活跃账户、旧密码、已淘汰操作系统 | 幽灵账户、已过期凭据 |
| **PrivilegiedGroup（特权账户）** | 过多管理员权限、嵌套组 | Domain Admin 泛滥、SID 历史记录 |
| **Trust（信任关系）** | 林和域信任配置 | 可传递信任滥用、SID 过滤 |
| **Anomaly（异常）** | 安全设置偏差 | GPO 错误配置、架构问题 |

### PingCastle 关键检查项
```
# PingCastle 报告中需重点审查的关键项目：
- 具有"密码永不过期"标志的账户
- 禁用 Kerberos 预身份验证的账户（AS-REP 可烘焙账户）
- 具有 Kerberos 委派的账户（非约束/约束委派）
- 运行不受支持操作系统版本的域控制器
- AdminSDHolder 权限修改
- 特权组中的账户（Domain Admins、Enterprise Admins、Schema Admins）
- 禁用 SID 过滤的信任关系
- 允许权限提升的 GPO 漏洞
```

## 工具 2：BloodHound 攻击路径分析

### SharpHound 数据采集
```powershell
# 下载 SharpHound 采集器
# https://github.com/SpecterOps/BloodHound/tree/main/packages/csharp/SharpHound

# 运行 SharpHound 采集（所有方法）
.\SharpHound.exe --collectionmethods All --domain corp.local --zipfilename bloodhound_data.zip

# 隐蔽采集（最小噪音）
.\SharpHound.exe --collectionmethods Session,LoggedOn --domain corp.local --stealth

# 使用指定域控制器进行采集
.\SharpHound.exe --collectionmethods All --domain corp.local --domaincontroller dc01.corp.local

# 通过 PowerShell 运行
Import-Module .\SharpHound.ps1
Invoke-BloodHound -CollectionMethod All -Domain corp.local -OutputDirectory C:\BH_Data
```

### BloodHound CE 部署
```bash
# 使用 Docker 部署 BloodHound 社区版
curl -L https://ghst.ly/getbhce -o docker-compose.yml
docker compose up -d

# 在 http://localhost:8080 访问 BloodHound CE
# 默认凭据显示在 docker compose 日志中

# 通过 Web UI 或 API 上传 SharpHound 数据
curl -X POST "http://localhost:8080/api/v2/file-upload/start" \
  -H "Authorization: Bearer $BH_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"fileName": "bloodhound_data.zip"}'
```

### BloodHound 关键 Cypher 查询
```cypher
# 查找到 Domain Admin 的最短路径
MATCH p=shortestPath((u:User)-[*1..]->(g:Group {name:"DOMAIN ADMINS@CORP.LOCAL"}))
WHERE u.name <> "ADMINISTRATOR@CORP.LOCAL"
RETURN p

# 查找具有管理员权限的 Kerberoastable 账户
MATCH (u:User {hasspn:true})-[:MemberOf*1..]->(g:Group)
WHERE g.name CONTAINS "ADMIN"
RETURN u.name, u.serviceprincipalnames

# 查找 Domain Admin 已登录的计算机
MATCH (c:Computer)-[:HasSession]->(u:User)-[:MemberOf*1..]->(g:Group {name:"DOMAIN ADMINS@CORP.LOCAL"})
RETURN c.name, u.name

# 查找 AS-REP 可烘焙账户
MATCH (u:User {dontreqpreauth:true})
RETURN u.name, u.description

# 查找非约束委派主机
MATCH (c:Computer {unconstraineddelegation:true})
WHERE NOT c.name CONTAINS "DC"
RETURN c.name

# 查找 GPO 滥用路径
MATCH p=(u:User)-[:GenericAll|GenericWrite|WriteOwner|WriteDacl]->(g:GPO)
RETURN p
```

## 工具 3：Purple Knight 评估

```powershell
# 从 https://www.purple-knight.com/ 下载 Purple Knight
# 以域管理员或具有适当读取权限的账户运行

.\PurpleKnight.exe

# Purple Knight 跨以下类别检查 130+ 个安全指标：
# - 账户安全（密码策略、特权账户）
# - AD 基础设施（复制、DNS、LDAP 签名）
# - 组策略（GPO 权限、安全设置）
# - Kerberos 安全（委派、加密类型、SPN）
# - AD 委派（AdminSDHolder、OU 权限）
```

### Purple Knight 评分等级
| 评分范围 | 等级 | 所需行动 |
|------------|--------|----------------|
| 90-100 | 优秀 | 维持当前安全态势 |
| 75-89 | 良好 | 处理高风险发现 |
| 60-74 | 一般 | 制定修复优先级计划 |
| 40-59 | 较差 | 立即修复所需 |
| 0-39 | 严重 | 需要紧急响应 |

## 常见 AD 漏洞

### 1. Kerberoasting 暴露
```powershell
# 查找分配给用户账户的 SPN（Kerberoasting 目标）
Get-ADUser -Filter {ServicePrincipalName -ne "$null"} -Properties ServicePrincipalName |
  Select-Object Name, ServicePrincipalName, PasswordLastSet, Enabled
```

### 2. AS-REP Roasting 暴露
```powershell
# 查找禁用预身份验证的账户
Get-ADUser -Filter {DoesNotRequirePreAuth -eq $true} -Properties DoesNotRequirePreAuth |
  Select-Object Name, DoesNotRequirePreAuth, Enabled
```

### 3. LLMNR/NBT-NS 中毒风险
```powershell
# 检查是否通过 GPO 禁用了 LLMNR
Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" -Name EnableMulticast -ErrorAction SilentlyContinue
```

### 4. 过度特权组成员关系
```powershell
# 统计关键组中的成员数量
$groups = @("Domain Admins", "Enterprise Admins", "Schema Admins", "Account Operators", "Backup Operators")
foreach ($group in $groups) {
    $count = (Get-ADGroupMember -Identity $group -Recursive).Count
    Write-Output "$group : $count members"
}
```

## 修复优先级

| 发现项 | 风险 | 修复措施 |
|---------|------|-------------|
| Kerberoastable 管理员账户 | 严重 | 移除 SPN 或使用 MSA/gMSA |
| 非域控制器上的非约束委派 | 严重 | 切换为约束委派/RBCD |
| 管理员账户密码永不过期 | 高 | 启用密码轮换策略 |
| AS-REP 可烘焙账户 | 高 | 启用 Kerberos 预身份验证 |
| AdminSDHolder 修改 | 高 | 审计并恢复默认 ACL |
| 陈旧计算机账户（超过 90 天） | 中 | 禁用并移至隔离 OU |
| 未强制执行 LDAP 签名 | 中 | 通过 GPO 在所有 DC 上启用 |

## 参考资料

- [PingCastle GitHub](https://github.com/netwrix/pingcastle)
- [BloodHound CE](https://github.com/SpecterOps/BloodHound)
- [Purple Knight](https://www.purple-knight.com/)
- [MITRE ATT&CK - Active Directory](https://attack.mitre.org/techniques/T1484/)
- [Microsoft AD 安全最佳实践](https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory)