Звучит как преувеличение, но именно столько времени может занять путь от учётки рядового пользователя до полного контроля над доменом. Не потому что кто-то поленился поставить патч. А потому что Active Directory изначально проектировалась для удобства администрирования, а не для противодействия атакующему с валидным доменным аккаунтом.
Один забытый SPN на сервисной учётке с паролем
Summer2024! — и ты уже делаешь Kerberoasting. Одна кривая ACL, выданная «на время миграции» три года назад — и BloodHound рисует прямую линию к KRBTGT. Это не экзотика. Это типичная корпоративная инфраструктура.🗺 Откуда берётся такой результат?
Всё начинается с разведки. Имея только учётку уровня
Domain Users, атакующий через стандартные LDAP-запросы получает доступ к колоссальному объёму данных:• Полный список пользователей и их атрибутов
• Все группы и вложенные членства
• Компьютеры с версиями ОС
• Объекты GPO и ACL на OU
• Доверительные отношения и FSMO-роли
Это не уязвимость — это штатное поведение LDAP в Active Directory. Microsoft так задумала. И именно поэтому атакующий с любым валидным аккаунтом чувствует себя в домене как дома.
🔍 Отдельная история — поле
description в атрибутах пользователей. Администраторы записывают туда пароли чаще, чем хотелось бы верить. А ещё в SYSVOL нередко лежат скрипты групповых политик с паролями в открытом виде. Буквально в открытом.После базовой разведки в дело идёт BloodHound. Он собирает сессии, членства в группах, ACL и делегирование — и строит граф атакующих путей. Типичная находка на реальных проектах: учётная запись мониторинговой службы состоит в группе
IT-Admins, у которой есть GenericAll на OU с доменными администраторами. Цепочка строилась годами, по кирпичику, «временно».⚡️ Дальше — быстрее, чем кажется
Kerberoasting → пароль сервисной учётки → lateral movement → Pass-the-Hash → DCSync → Golden Ticket. Каждый шаг логичен и предсказуем, если знать карту. А карта — это понимание того, как AD обрабатывает Kerberos-тикеты, как работают ACL-права вроде
WriteDACL или GenericWrite, и почему делегирование без ограничений — это фактически «ключ от всех дверей».Полный разбор каждого этапа — от первого LDAP-запроса до DCSync, Golden Ticket и атак на AD CS (ESC1–ESC13) — в статье.
https://codeby.net/threads/pentest-active-directory-polnyi-gaid-ot-razvedki-do-domain-admin-instrumenty-tekhniki-laboratornaya-sreda.92847/