eni-redteam-ad-detail-pack

name	eni-redteam-ad-detail-pack
description	[DOCUMENTATION ONLY] [仅文档] 授权范围内 Active Directory 红队测试的领域路由与边界手册，覆盖 Kerberos 攻击、域内提权、横向移动与 GPO 滥用。当任务落入 AD 测试领域、需要明确范围、证据、转向或退出标准时加载。

Active Directory 域渗透纵深手册

文档性质：本手册属于纯文档资源（DOCUMENTATION ONLY / 仅文档），提供方法框架与检查清单，不捆绑任何可执行脚本。

一、手册职责与领域声明

当前任务归类于 Active Directory 域渗透 领域，测试范围限定在 AD 环境攻击面：Kerberos 协议滥用、域内权限提升、横向移动、组策略滥用等。

本手册只为代理解决三件事：划清测试边界、受阻时给出转向选项、收尾时卡住证据质量。它不教授固定攻击步骤，不替代用户授权范围，不把任何推测当作结论。

若 scope、target 或授权边界未明确，任务直接进入 blocked 或 plan-only 状态，不进行真实执行。

二、攻击面地形

AD 域的攻击面由目录服务、认证协议与信任关系构成。目录服务暴露在 LDAP(389/636)；认证面落在 Kerberos(88)、NTLM/SMB(445)、WinRM(5985/5986)；提权与横向的原材料则分散在 ACL 继承、SPN 配置、委派设置、GPO 链接与证书服务(AD CS)之中。任何一处配置松动都可能被串成攻击链。

入口	典型载体	观察方式
Kerberos 服务票据	SPN 账户、服务账户	TGS 票据离线破解
AS 认证流程	未开启预认证的账户	AS-REP 报文可离线枚举
目录复制权限	具备 Replicating Directory Changes 的账户	DCSync 模拟域控拉取凭据
组策略对象	GPO 链接、SYSVOL 权限	策略下发路径与权限继承
认证中继面	SMB/LDAP/HTTP 无签名端点	NTLM 中继到可签名目标

三、变体速览

变体	触发条件	高价值场景
Kerberoasting	SPN 账户口令弱	服务账户明文口令恢复，横向起点
AS-REP Roasting	账户未设预认证	直接离线破解口令 hash
DCSync	高权限复制凭据	全域口令哈希提取
Golden/Silver Ticket	持有 krbtgt 或服务账户 hash	域级持久化与票据伪造
GPO 滥用	策略文件可写或继承错配	批量部署后门与提权
NTLM Relay	中继目标未强制签名	认证转发到高价值主机
Unconstrained Delegation	委派主机可达	捕获经过主机的任意票据

四、执行纪律与禁区

• 只围绕用户明确提供或授权的目标工作，不超出目标域名、IP、应用或系统边界。
• 不得对生产域控执行不可恢复的破坏性操作。
• 证据纪律：不伪造、不夸大、不补写不存在的证据；不在缺少证据时声明任务完成。
• 不把候选风险、公开 CVE 或组件指纹直接等同于可利用漏洞——指纹只是线索，验证才是结论。
• 若 scope、target 或授权边界不明确，进入 blocked 或 plan-only，不进行真实执行。

五、受阻转向

• 域控不可达 → 检查网络分段，尝试认证中继，或寻找域内可达跳板主机。
• Kerberos 票据获取失败 → 转向 AS-REP Roasting、低速密码喷射或 NTLM 降级路径。
• 提权路径不通 → 枚举 ACL/GPO 权限继承，排查 Unconstrained Delegation 主机。
• 横向移动被阻 → 换 WMI/DCOM/WinRM 等替代协议，改用 PTH/PTT 凭据复用。
• 所有路径均失败 → 记录已尝试路径与失败原因，回退到上级知识库重新选择攻击面。

六、收尾与证据标准

正向退出（有发现）

• 关键结论至少具备 supported 级证据；漏洞成立、影响判断或最终报告必须有 verified 级证据。
• 交付 reproduction 证据包，须包含：完整攻击链命令序列；域环境信息（域名、DC 版本、当前权限）；攻击成功标志（获取票据/hash/shell）；影响简述（提权路径、横向范围）。
• 每份 artifact 能说明来源、目标、时间、观察结果和判断依据。

负向退出（未发现）

• 最少尝试次数：3。
• 记录已测试攻击路径与失败原因，提交 negative report 后回退上级。
• 措辞纪律：只输出"当前证据下未发现"，不输出"确认不存在"。