Track Windows / Teoría
AD-1 AD · Mapear el dominio
AD: enumeración del dominio
En AD, enumerar ES el ataque. Cuanto mejor mapees el dominio (usuarios, grupos, permisos, relaciones), más caminos a Domain Admin aparecen. La herramienta estrella es BloodHound: literalmente te dibuja el camino más corto. Pero hay que saber alimentarla y complementarla.
🐾BloodHound / SharpHound: el mapa del dominio
SharpHound recoge datos del dominio (usuarios, grupos, sesiones, ACLs, GPOs) y BloodHound los dibuja como un grafo y te marca el camino más corto a Domain Admin.
1
Recoge
SharpHound.exe -c All (o bloodhound-python desde Kali con credenciales).2
Importa
arrastra el .zip a BloodHound.
3
Pregunta
usa las queries: 'Shortest paths to Domain Admins', 'Kerberoastable users', 'AS-REP roastable', ACLs peligrosas (GenericAll, WriteDACL...).
Recoge con VARIAS credenciales según las consigas: cada nueva cuenta destapa más grafo.
🔎Enumeración sin/con credenciales
| Sin credenciales | null sessions SMB (enum4linux-ng, crackmapexec smb), RID cycling, usuarios por Kerberos (kerbrute). |
| crackmapexec / netexec | con una credencial: usuarios, políticas de contraseña, shares, y QUÉ credencial vale en QUÉ equipo (spidering). |
| ldapsearch / rpcclient | consultas LDAP: usuarios, grupos, DESCRIPCIONES (¡a veces hay contraseñas en la descripción!), SPNs. |
| PowerView | desde un equipo del dominio: Get-NetUser, Get-NetGroup, Find-LocalAdminAccess, Get-NetGPO, ACLs. |
| Snaffler / shares | rastrea los shares (incl. SYSVOL) buscando secretos, scripts y configs. |
🎯Qué buscar (la lista de oro)
- Usuarios con SPN (kerberoasteables) y sin preauth (AS-REP roasteables).
- Descripciones de usuario con contraseñas (clásico).
- ACLs peligrosas: quién tiene GenericAll/WriteDACL/WriteOwner/ForceChangePassword sobre quién.
- Credenciales en SYSVOL (GPP cPassword, scripts de login).
- Sesiones: dónde hay admins logueados (para robar sus credenciales).
- Equipos con delegación (unconstrained/constrained/RBCD).
"BloodHound no me marca ningún camino"
Recoge MÁS datos: SharpHound -c All y con todas las credenciales que tengas. Pocos datos = pocos caminos. También marca a tu usuario como 'owned' para que calcule desde ahí.
"No tengo credenciales para empezar"
Prueba null sessions, AS-REP roasting (no necesita credenciales previas) y kerbrute para validar usuarios. Un solo usuario válido ya abre la puerta.
🔎 No memorices comandos. Ten el Arsenal abierto en otra pestaña y busca ahí el comando exacto cuando lo necesites. Entiende el POR QUÉ aquí; el COMANDO lo copias del Arsenal.
Abrir Arsenal