红队Active Directory侦察利用工具

admin
admin
admin
137004
文章
112
评论
2025年3月25日10:12:17评论17 views字数 2285阅读7分37秒阅读模式
之前hvv行动搞域渗透的时候，碰到个头疼的事——LDAP协议但凡动一下，SOC那边就会弹十几次告警。尤其查个用户组关系或者改个ACL权限，蓝队兄弟分分钟就能溯源到跳板机。直到在某个凌晨三点半的加班复盘会上，看到隔壁红队老张在GitHub的commit记录里提到ADWS协议，突然想起SharpADWS这个工具，试了三天之后我直拍大腿：这才是绕过流量审计的「隐身衣」啊。
SharpADWS最狠的地方在于它不走寻常路。普通工具查域控都怼着LDAP的389端口薅羊毛，但人家直接切到TCP 9389的ADWS通道，把LDAP操作封装成SOAP报文。前两天我拿它查某个子域的DACL权限，蓝队的EDR全程静默——毕竟域控本地的127.0.0.1流量根本不会进网络层，日志里全是localhost发起的「合法」请求。这招尤其适合在防守方开了LDAP签名验证的环境下玩渗透，亲测连Microsoft ATA都没触发异常检测。
C:UsersMarcus>SharpADWS.exe acl -dn "CN=Users,DC=corp,DC=local" -scope Subtree -right Generic -rid 1000 Severity              : Critical ObjectDN              : CN=Bob,CN=Users,DC=corp,DC=local AccessControlType     : Allow ActiveDirectoryRights : ListChildren, ReadProperty, GenericWrite ObjectType            : All Trustee               : Marcus IsInherited           : False、
实战里让我印象最深的是DCSync后门功能。上次遇到个域管权限被回收的case，用SharpADWS的write模式给测试账号绑DS-Replication权限，直接在内存里改ACL不落地，防守方翻遍日志也只能看到域控自己发起的同步操作。还有那个RBCD模块，配合AddComputer加机器账户，十分钟就能给关键服务器挂上基于资源的约束委派，比传统mimikatz打黄金票据隐蔽三个段位。
红队Active Directory侦察利用工具
不过玩这工具得注意两点：一是必须先用Cache命令生成SID缓存表，否则查ACL时会疯狂触发账号枚举告警；二是Kerberoastable模块写SPN的时候，得挑那些本来就带服务账户属性的目标，突然给普通用户加HTTP/SPN反而容易露馅。上次给某OA系统管理员账号挂TERMSERV/前缀时，特意选在业务高峰期的LDAP合法流量里浑水摸鱼，防守方根本分不清是正常服务注册还是攻击流量。

想要获取工具的小伙伴可以直接拉至文章末尾

我们来提取并讨论上述工具描述中涉及的网络安全关键技术点：

1、协议隐蔽通信技术：
    • 在红蓝对抗场景中，攻击方常利用非常用协议或协议封装技术规避检测。例如，SharpADWS工具通过ADWS协议（TCP 9389端口）封装LDAP查询为SOAP消息，避免传统LDAP流量（389端口）被网络层监控工具捕获。这种技术本质上是利用协议层的“合法封装”，例如ADWS服务在域控本地解析请求，使日志中仅显示127.0.0.1的本地操作，大幅降低防守方通过流量特征溯源的可能性。类似思路也可见于DNS隧道、ICMP隐蔽信道等技术的应用。
2、动态权限控制与滥用检测：
    • 权限滥用是内网渗透的核心风险。例如，攻击者通过DCSync后门伪装域控同步行为，或利用ACL修改为低权限账户赋予关键资源访问权。防御需结合动态权限管理（如微软LAPS）和实时审计，例如通过零信任架构的持续验证机制，对非常规权限变更（如突然绑定DS-Replication权限）触发告警。同时，工具如BloodHound可自动化分析域内权限传递链，识别潜在滥用路径。
3、加密与身份认证强化：
    • 加密技术（如AES、RSA）和强身份认证（如双因素认证、生物识别）是防御凭证窃取的基础。但攻击者也在升级对抗手段：例如，Kerberoasting攻击通过请求服务票据离线破解弱加密的SPN账户密码。因此，企业需强制使用AES加密的Kerberos票据，并限制服务账户的权限6。此外，零信任架构中的微隔离技术可对高敏感服务（如ADWS）实施动态访问控制，减少暴露面。
4、入侵检测与日志隐匿对抗：
    • 传统IDS/IPS依赖规则匹配，难以应对协议封装和日志伪造。例如，SharpADWS的操作在域控本地生成日志，防守方需结合端点行为分析（如Sysmon监控进程调用链）而非单纯依赖网络流量。同时，攻击者可能清除或篡改日志，因此需部署集中式日志审计系统（如ELK Stack），并启用日志完整性校验（如Windows Event Forwarding的哈希验证）。
5、横向移动与边界防御：
    • 横向移动依赖漏洞利用（如永恒之蓝）、凭证传递（Pass-the-Hash）等。防御需多层级结合：在网络边界部署应用层防火墙深度解析协议（如拦截异常的ADWS请求）；在终端侧启用EDR监控异常进程行为（如lsass.exe 的非常规内存读取）；在身份层实施特权账户最小化原则，限制默认域管账户的滥用。红队常用的“living-off-the-land”技术（如利用合法工具PsExec）也要求防守方建立白名单机制和基线监控。

下载链接

https://github.com/wh0amitz/SharpADWS

红队Active Directory侦察利用工具

原文始发于微信公众号（白帽学子）：红队Active Directory侦察利用工具

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年3月25日10:12:17
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   红队Active Directory侦察利用工具https://cn-sec.com/archives/3881456.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息