performing-active-directory-forest-trust-attack

name	performing-active-directory-forest-trust-attack
description	使用 impacket 枚举和审计 Active Directory 林信任关系，进行 SID 过滤分析、信任密钥提取、跨林 SID 历史滥用检测和跨域 Kerberos 票据评估。
domain	cybersecurity
subdomain	red-team
tags	["active-directory","forest-trust","impacket","SID-filtering","kerberos","red-team","trust-enumeration"]
version	1.0
author	mahipal
license	Apache-2.0

执行 Active Directory 林信任攻击

概述

Active Directory 林信任关系支持跨组织边界的身份认证，但如果配置不当会引入攻击面。本技能使用 impacket 枚举信任关系、分析 SID 过滤配置、检测 SID 历史滥用向量、通过 LSA/LSAT RPC 调用执行跨林 SID 查找，以及评估跨域 Kerberos 票据配置以发现信任票据伪造风险。

前置条件

• Python 3.9+ 及 impacket、ldap3
• 具有 AD 信任对象读取权限的域凭据
• 到域控制器的网络访问（端口 389、445、88）
• 授权的渗透测试项目或实验室环境

步骤

1. 通过 LDAP 受信任域对象枚举林信任关系
2. 查询每个信任的信任属性和 SID 过滤状态
3. 使用 LsarLookupNames3 跨信任边界执行 SID 查找
4. 枚举受信任域中的外部安全主体
5. 检查跨林账户上的 SID 历史
6. 评估信任方向和传递性以发现横向移动路径
7. 生成含风险发现的信任安全审计报告

预期输出

• JSON 报告，列出所有信任关系、SID 过滤状态、外部主体、信任方向/传递性和风险评估
• 带修复建议的跨林攻击路径分析