Performing Active Directory Vulnerability Assessment

执行 Active Directory 漏洞评估（Performing Active Directory Vulnerability Assessment）

概述

Active Directory（AD）是大多数企业环境中的主要身份和访问管理系统（Identity and Access Management），也是关键的攻击目标。本技能涵盖使用 PingCastle 进行健康检查、BloodHound 进行攻击路径分析、Purple Knight 进行安全态势评分的全面 AD 安全评估。这些工具可识别错误配置、过度权限、Kerberos 弱点和横向移动机会。

前置条件

• 已加入域的工作站或具有域管理员访问权限以执行扫描
• PingCastle（https://github.com/netwrix/pingcastle）
• 带 SharpHound 采集器的 BloodHound 社区版（Community Edition）
• Semperis 出品的 Purple Knight（免费社区工具）
• Python 3.9+（用于分析脚本）
• .NET Framework 4.7+（Windows 上运行 PingCastle 所需）

工具 1：PingCastle 健康检查

安装与执行

# 下载 PingCastle
Invoke-WebRequest -Uri "https://github.com/netwrix/pingcastle/releases/latest/download/PingCastle.zip" `
  -OutFile "PingCastle.zip"
Expand-Archive PingCastle.zip -DestinationPath C:\Tools\PingCastle

# 对当前域执行健康检查
cd C:\Tools\PingCastle
.\PingCastle.exe --healthcheck

# 对指定域执行健康检查
.\PingCastle.exe --healthcheck --server dc01.corp.local --user CORP\scanner_account --password P@ssw0rd

# 以扫描器模式运行，用于多个域
.\PingCastle.exe --scanner --scannerlp

# 生成综合报告
.\PingCastle.exe --healthcheck --level Full

PingCastle 评分分类

PingCastle 关键检查项

# PingCastle 报告中需重点审查的关键项目：
- 具有"密码永不过期"标志的账户
- 禁用 Kerberos 预身份验证的账户（AS-REP 可烘焙账户）
- 具有 Kerberos 委派的账户（非约束/约束委派）
- 运行不受支持操作系统版本的域控制器
- AdminSDHolder 权限修改
- 特权组中的账户（Domain Admins、Enterprise Admins、Schema Admins）
- 禁用 SID 过滤的信任关系
- 允许权限提升的 GPO 漏洞

工具 2：BloodHound 攻击路径分析

SharpHound 数据采集

# 下载 SharpHound 采集器
# https://github.com/SpecterOps/BloodHound/tree/main/packages/csharp/SharpHound

# 运行 SharpHound 采集（所有方法）
.\SharpHound.exe --collectionmethods All --domain corp.local --zipfilename bloodhound_data.zip

# 隐蔽采集（最小噪音）
.\SharpHound.exe --collectionmethods Session,LoggedOn --domain corp.local --stealth

# 使用指定域控制器进行采集
.\SharpHound.exe --collectionmethods All --domain corp.local --domaincontroller dc01.corp.local

# 通过 PowerShell 运行
Import-Module .\SharpHound.ps1
Invoke-BloodHound -CollectionMethod All -Domain corp.local -OutputDirectory C:\BH_Data

BloodHound CE 部署

# 使用 Docker 部署 BloodHound 社区版
curl -L https://ghst.ly/getbhce -o docker-compose.yml
docker compose up -d

# 在 http://localhost:8080 访问 BloodHound CE
# 默认凭据显示在 docker compose 日志中

# 通过 Web UI 或 API 上传 SharpHound 数据
curl -X POST "http://localhost:8080/api/v2/file-upload/start" \
  -H "Authorization: Bearer $BH_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"fileName": "bloodhound_data.zip"}'

BloodHound 关键 Cypher 查询

# 查找到 Domain Admin 的最短路径
MATCH p=shortestPath((u:User)-[*1..]->(g:Group {name:"DOMAIN ADMINS@CORP.LOCAL"}))
WHERE u.name <> "ADMINISTRATOR@CORP.LOCAL"
RETURN p

# 查找具有管理员权限的 Kerberoastable 账户
MATCH (u:User {hasspn:true})-[:MemberOf*1..]->(g:Group)
WHERE g.name CONTAINS "ADMIN"
RETURN u.name, u.serviceprincipalnames

# 查找 Domain Admin 已登录的计算机
MATCH (c:Computer)-[:HasSession]->(u:User)-[:MemberOf*1..]->(g:Group {name:"DOMAIN ADMINS@CORP.LOCAL"})
RETURN c.name, u.name

# 查找 AS-REP 可烘焙账户
MATCH (u:User {dontreqpreauth:true})
RETURN u.name, u.description

# 查找非约束委派主机
MATCH (c:Computer {unconstraineddelegation:true})
WHERE NOT c.name CONTAINS "DC"
RETURN c.name

# 查找 GPO 滥用路径
MATCH p=(u:User)-[:GenericAll|GenericWrite|WriteOwner|WriteDacl]->(g:GPO)
RETURN p

工具 3：Purple Knight 评估

# 从 https://www.purple-knight.com/ 下载 Purple Knight
# 以域管理员或具有适当读取权限的账户运行

.\PurpleKnight.exe

# Purple Knight 跨以下类别检查 130+ 个安全指标：
# - 账户安全（密码策略、特权账户）
# - AD 基础设施（复制、DNS、LDAP 签名）
# - 组策略（GPO 权限、安全设置）
# - Kerberos 安全（委派、加密类型、SPN）
# - AD 委派（AdminSDHolder、OU 权限）

Purple Knight 评分等级

常见 AD 漏洞

1. Kerberoasting 暴露

# 查找分配给用户账户的 SPN（Kerberoasting 目标）
Get-ADUser -Filter {ServicePrincipalName -ne "$null"} -Properties ServicePrincipalName |
  Select-Object Name, ServicePrincipalName, PasswordLastSet, Enabled

2. AS-REP Roasting 暴露

# 查找禁用预身份验证的账户
Get-ADUser -Filter {DoesNotRequirePreAuth -eq $true} -Properties DoesNotRequirePreAuth |
  Select-Object Name, DoesNotRequirePreAuth, Enabled

3. LLMNR/NBT-NS 中毒风险

# 检查是否通过 GPO 禁用了 LLMNR
Get-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" -Name EnableMulticast -ErrorAction SilentlyContinue

4. 过度特权组成员关系

# 统计关键组中的成员数量
$groups = @("Domain Admins", "Enterprise Admins", "Schema Admins", "Account Operators", "Backup Operators")
foreach ($group in $groups) {
    $count = (Get-ADGroupMember -Identity $group -Recursive).Count
    Write-Output "$group : $count members"
}

修复优先级

参考资料

• PingCastle GitHub
• BloodHound CE
• Purple Knight
• MITRE ATT&CK - Active Directory
• Microsoft AD 安全最佳实践