攻击性 Active Directory

解决的问题

当红队或安全工程师要对一套 Active Directory 域环境做攻击性测试时，最容易出的问题是把「能打的载荷」和「能走通的路径」混在一起：随手跑一遍 Kerberoasting、提几个票据，最后却说不清自己到底拿到了什么、付出多少检测成本、有没有真的触达 Tier 0。这个技能解决的就是路径不清、证据缺失、动作不可复现这三件事，把一次域渗透拆成有先后、有校验、有记录的标准化流程。

核心能力与关键步骤

技能按五步工作流组织：

1. 离线侦察优先 —— 用 BloodHound、ADExplorer 快照分析域结构，尽量减少对生产环境的实时查询。
2. 凭据收集 —— 覆盖 LLMNR/NBT-NS/mDNS 投毒、NTLM Relay、Kerberoasting、ASREProasting、LSASS/SAM 导出，哈希用 hashcat mode 5600 解析，解不开就转中继。
3. 路径映射 —— 把攻击路径画到 Domain Admin / Enterprise Admin / Tier 0，而不是停在第一个拿到的账户。
4. 逐跳验证 —— 走检测成本最低的路径，每跳都确认落地，再继续推进。
5. 持久化与留痕 —— 建立持续控制点，并用带时间戳的方式记录每一个动作。

在此基础上，技能还给出了 GenericAll/WriteDacl/WriteOwner 等 ACL 滥用对照表、PetitPotam/PrinterBug/DFSCoerce 一类强制委派原语、ADCS ESC1–ESC15 的常见错误配置与利用方式、Golden/Silver/Diamond Ticket 与 DCSync/DCShadow 等持久化手段，以及 AdminSDHolder 的 SDProp 传播利用。针对混合环境，它列出了 AAD Connect、Seamless SSO、PTA、Golden SAML、Pass-the-PRT 六条从 Entra ID 回打内网的路径。

适用边界与注意点

这套材料本质是一份方法论清单，不是开箱即用的攻击工具包。引用的工具（如 Coercer、Mimikatz）需要自己准备环境，ESC 编号对应的前提（模板 ACL、CA 配置错误）必须在实际环境中先验证再使用，否则会出现「清单里有、环境里不存在」的误判。

它默认测试目标是允许的授权范围。对生产域执行凭据导出、委派强制或影子 DC 注册这类高噪声操作前，应先确认 MDI/Defender for Identity 的覆盖情况与告警基线；技能提供的规避对照表是检测视角的参考，不是用来绕过未授权监控的许可证。另外，AdminSDHolder 的 60 分钟传播窗口意味着持久化具备延迟性，验证时要留出时间差。