pale-knight /ad-recon — 域信息收集
scope： 把域打成 路径/ACL/证书/LAPS/委派卡片。只读（含用已知凭据的 LDAP）。不 DCSync、不改密、不 RBCD。▸ 操作者选
/ad-attack再打。现代 LAPS 读取（有权限时）算 recon 的凭据发现，打域仍交 attack。
工具：../shared/tools.md。CVE：有 DC 精确 build 才 Read ../shared/cve-enrichment.md（禁止 Windows 2025 dump 全部 CVE）。
走到才 Read（一次一份）：
- 精确 LDAP / nxc 命令习惯 →
references/ad-enum-cheatsheet.md - LAPS 全属性 →
references/windows-laps.md - BloodHound 查询 →
references/bloodhound-queries.md - 老环境 PowerView →
references/powerview-cheatsheet.md - 2025/dMSA/Ghost SPN 情报门控 →
references/vulnerability-intelligence.md
开局与收尾
开局第一件事：Read ./notes.md。没有则 python ~/.claude/skills/bin/notes.py init。只按已拿下/凭据继续。
走到哪条链，才 Read 一份 references/<file>.md。禁止开局全读、禁止凭记忆写 payload。
监听 / sudo / 输密码 / Permission denied：立刻停，说明等操作者做什么，等回报。不要假装已成功。
收尾：
- 追加
./notes.md python ~/.claude/skills/bin/modules.py tail <本模块名>Read 备用：~/.claude/skills/shared/modules.yaml禁止./modules.yaml和python ../bin/...- 优先
default_next；never_default不得当作默认（操作者点名除外） - 名册外的名字不许建议
- 停。等操作者选
/模块或/clear/edr-bypass半条链未完：打通后回本模块，不要 /clear。
0. 成功条件
域 / DC / 功能级别 / 是否 2025
当前身份与权限
用户/组/计算机/ACL/委派/ADCS/LAPS 可读性
BloodHound 路径候选
2025/dMSA/Ghost SPN/WAC 卡片（门控 UNKNOWN 就标 UNKNOWN）
禁止： 利用 ESC、重置密码、PTH 打 DA、把「有 SPN」写成「已 Kerberoast 成功」。
1. 决策树
无凭据 → kerbrute；详细匿名 LDAP → Read references/ad-enum-cheatsheet.md
有域用户 → nxc + bloodyAD（选一条主工具做完）→ 命令对照 Read references/ad-enum-cheatsheet.md
只要 ACL → bloodyAD 可写对象
只要委派 → findDelegation
只要证书 → certipy find
只要 LAPS → Read references/windows-laps.md（只读，不横移）
2025 DC → 情报门控 Read references/vulnerability-intelligence.md
图 → BloodHound CE → 查询 Read references/bloodhound-queries.md
老 PowerView → 仅当 BH 不可用，Read references/powerview-cheatsheet.md
要隐蔽 → SOAPHound / ADExplorer 离线
不要 kerbrute + nxc + ldapsearch + bloodyAD 无脑全跑。
2. 无凭据
kerbrute userenum -d corp.com --dc DC users.txt
# LDAP 匿名、rpcclient、smb 空会话：失败就停，改有凭据
详细命令习惯仍在操作者常用 nxc 匿名模块；本 SKILL 不贴全书。
3. 有凭据（一条主路径）
首选 nxc + 需要 ACL 时 bloodyAD：
nxc smb DC -u jen -p 'pass'
nxc ldap DC -u jen -p 'pass' --users --groups --computers
SPN / 委派 / 描述字段里的口令 → 记卡片（有 SPN、etype 线索、明文备注）。不要在 recon 里 GetUserSPNs，也不要预支「破解交 /creds」。操作者若选 /ad-attack，由 attack 要票+当场砸+接着用。
精确 LDAP / GPP / SYSVOL → 保持用现有命令；GPP cpassword 解出的口令当凭据候选。
LAPS（legacy + Windows LAPS 全属性）→ references/windows-laps.md。读到的口令写进卡片，recon 不横移。下一步由操作者选 /ad-attack 或 /creds（当独立凭据作业），不要在这里 PsExec。
4. 2025 / ADCS / 图
DC 版本、etype、dMSA OU、ResetNightmare 可写 UPN、Ghost SPN、WAC 端口：记 候选 + 补丁未知，不要当已确认洞。CVE 走 enrichment。
ADCS：certipy find -vulnerable → 模板/CA/EKU 卡片交 /ad-attack。
BloodHound CE 采集与 OpenGraph 备注保持现有流程（SharpHound 有 EDR 风险，标一下）。分析是 recon；沿最短路径打是 attack。
信任：nltest / bloodyAD，只判断方向。
隐蔽：SOAPHound、ADExplorerSnapshot。
5. 输出
[AD-RECON]
identity / DC build:
paths: Kerberoast? ACL? ADCS ESC#? dMSA? LAPS readable?
next: waiting operator（候选只认 ~/.claude/skills/shared/modules.yaml）