Adfind域内查询工具指南

admin
admin
admin
136262
文章
111
评论
2025年3月19日21:04:19评论3 views字数 1655阅读5分31秒阅读模式
之前hvv又被甲方拉去救急了，他们域内权限乱得跟蜘蛛网似的，老管理员离职后连委派关系都理不清。半夜两点在机房蹲着敲命令的时候，突然想起来之前跟红队老哥偷学的那个小工具，顺手就翻出来用了——这玩意儿叫AdFind，搞Windows域控的兄弟真该备一个。
客户要求48小时内整理域内所有主机清单，手动翻ADSI Edit简直要命。用AdFind直接跑了个-b dc=corp,dc=com -f "objectcategory=computer" cn operatingSystem，直接导出带主机名和系统版本的CSV，配合-csv参数扔给Excel自动生成统计图，省下时间还能眯会儿觉。
Adfind域内查询工具指南
去年某次红蓝对抗吃过亏，现在排查非约束委派必查两条：
查主机委派：AdFind -b "dc=test,dc=local" -f "(&(samAccountType=805306369)(msds-allowedtodelegateto=*))" cn查服务账户：后面加个userAccountControl:1.2.840.113556.1.4.803:=524288过滤，基本能把定时炸弹都挖出来
上次域控被入侵后溯源，用-sc getacls参数把ACL改动记录翻了个底朝天。特别是带-sddlfilter筛特定用户权限变更，比图形界面快至少三倍，甲方爸爸盯着屏幕的时候手都不抖了。
这玩意最骚的是能查域信任关系的-f objectclass=trusteddomain，上次发现子公司域竟然跟外包商域有双向信任，吓得客户当场拔网线...
提醒下这工具杀伤力太大，千万别在生产环境乱试。上次实习生手滑跑了-sc u:Al1ex查全量用户属性，直接把监控系统警报刷爆了...

想要获取工具的小伙伴可以直接拉至文章末尾

我们来提取并讨论上述工具描述中涉及的网络安全关键技术点：

1、访问控制与权限管理：
    • 在护网行动或红蓝对抗中，权限混乱往往导致横向移动风险。例如用AdFind的-sc getacls参数快速导出全域ACL配置5，能定位到类似hackeAl1ex这类异常用户权限变更，结合SDDL语法过滤高危操作记录。这种基于LDAP协议的权限审计技术，可避免手动翻ADSI的低效，还能发现隐藏的域信任关系（如子公司域与外包商域的双向信任隐患）。
2、入侵检测与威胁响应：
    • 实战中对抗0day攻击时，需结合流量监测和日志分析。例如用AdFind的-sddlfilter参数追踪ACL篡改路径，类似无线网络的入侵检测系统通过异常行为模式识别攻击2。红队常用的非约束委派查询（如userAccountControl:1.2.840.113556.1.4.803:=524288过滤条件）本质上属于权限滥用检测技术，与无线网络的物理地址过滤原理相通。
3、资产发现与漏洞扫描：
    • 护网前期48小时资产清点压力下，AdFind的-f objectcategory=computer配合-csv导出，类似无线网络的安全扫描技术，通过自动化探测暴露面（如开放端口、弱密码设备）。这种基于协议特征（如LDAP/802.11）的资产测绘，比人工台账效率提升90%以上，且能联动漏洞库识别高风险节点。
4、数据加密与传输加固：
    • 尽管AdFind本身不涉及加密，但类似无线网络的WPA3加密、VPN隧道13，在域控通讯中需强制启用LDAPS替代明文传输。实战中曾遇见过通过抓取LDAP流量获取域凭据的案例，因此工具链需集成加密通信模块，避免工具自身成为攻击入口点。
5、安全审计与日志溯源：
    • 护网复盘阶段，用AdFind的createTimeStamp属性追踪账号创建时间轴，相当于无线网络的安全审计技术11。结合ELK日志系统，可构建从异常操作（如凌晨3点的ACL修改）到攻击链路的完整证据链，这类基于时间戳和操作日志的关联分析，在应急响应中能快速定位失陷节点。

下载链接

https://github.com/Al1ex/AdFind

Adfind域内查询工具指南
 

原文始发于微信公众号（白帽学子）：Adfind域内查询工具指南

 

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年3月19日21:04:19
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   Adfind域内查询工具指南https://cn-sec.com/archives/3858095.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息