Active Directory: fundamentos
Active Directory es la columna vertebral de casi toda empresa, y lo que más pesa y más gente suspende en el OSCP. Pero es muy metódico. Antes de atacar hay que entender las piezas: dominio, DC, usuarios, grupos, GPO y, sobre todo, Kerberos. Este módulo es el mapa mental del dominio.
🏰Las piezas de un dominio
| Dominio | un conjunto de equipos, usuarios y recursos que comparten una base de datos de identidad. |
| Controlador de dominio (DC) | el servidor que manda: guarda la base (NTDS.dit), autentica y aplica políticas. El objetivo final. |
| Bosque (forest) | uno o varios dominios con relaciones de confianza; el límite de seguridad real. |
| OU (Unidad Organizativa) | 'carpetas' para organizar usuarios/equipos y aplicarles GPOs. |
| GPO (Group Policy) | políticas que se empujan a equipos/usuarios: configuran, y a veces exponen, credenciales. |
| SYSVOL | recurso compartido del DC con scripts y políticas; léelo siempre (a veces hay contraseñas). |
👥Usuarios, grupos y el camino a Domain Admin
En el dominio hay usuarios y grupos. El grupo rey es Domain Admins (control total del dominio). El ataque consiste en partir de un usuario cualquiera y llegar a Domain Admin encadenando permisos y credenciales. Grupos que importan: Domain Admins, Enterprise Admins, Account Operators, Server Operators, DnsAdmins, y cualquier grupo con permisos delegados raros (eso lo caza BloodHound).
🎫Kerberos: el protocolo que hay que entender
AD autentica sobre todo con Kerberos. El flujo (simplificado):
| KDC | el servicio del DC que emite tickets. |
| TGT | ticket maestro, cifrado con la clave de la cuenta krbtgt. |
| TGS | ticket de servicio; su parte está cifrada con el hash de la cuenta del servicio (base de Kerberoasting). |
| SPN | Service Principal Name: identifica un servicio (ej. MSSQL/host). Las cuentas con SPN son kerberoasteables. |
| krbtgt | la cuenta cuyo hash firma TODOS los TGT. Si lo tienes -> Golden Ticket -> dios del dominio. |
Casi todos los ataques de AD abusan de un detalle de este flujo. Entenderlo = entenderlos todos.
🔐NTLM vs Kerberos, y por qué Pass-the-Hash funciona
AD también acepta NTLM (más antiguo). Por eso el hash NT de un usuario sirve para autenticarte como él sin su contraseña (Pass-the-Hash). Kerberos tiene su equivalente: Pass-the-Ticket y Overpass-the-Hash (del hash a un TGT). Lo verás en AD-2 y AD-3.