Windows / Active Directory

Windows と Active Directory の仕組みや調査手順を、目的別にまとめています。認証方式を調べたいときは「認証」、取得した値やパスワード候補を扱うときは「資格情報と解析」から読み始めてください。

これらのコマンドには、認証情報の取得、リレー、リモート実行、永続化など、対象システムへ大きな影響を与える機能があります。検証環境または明示的な許可を得た環境だけで使用してください。

調査の入口

• NetExec と WinRM による列挙：初期資格情報を得てから WinRM 接続後まで、何を確認するかを順に追います。
• Windows ローカル特権昇格の見取り図：ローカル環境で確認する項目を俯瞰します。

認証

• 認証方式とその周辺：Kerberos、NTLM、Negotiate・SSPI・SPNEGO、CredSSP
• チケットと委任：PAC と Silver / Golden Ticket、Kerberos 委任と SPN の悪用
• 認証経路の悪用：NTLM 中継と認証の強制
• 鍵と証明書：証明書とスマートカードによる認証、Windows Hello for Business
• 似た名前の仕組み：Netlogon Secure Channel と Schannel

資格情報と解析

認証方式そのものと、認証に使う値は分けて説明しています。

• NTHash と HMAC-MD5：NTLM の応答に使われる値と計算を確認します。
• パスワード解析のルール：候補語を変形するルールを扱います。
• Windows ローカル資格情報の調査：DPAPI、資格情報マネージャー、ファイルやレジストリに残る情報を探します。

Active Directory の構造と運用

• アカウント：アカウント設計、サービスアカウントの設計と運用、computer account と gMSA の活用
• 権限と変更：AD のアクセス制御と BloodHound の関係、LDAP の変更操作
• 基盤の運用：Domain Controller の運用設計、Active Directory Recycle Bin

Windows ローカル特権昇格

見取り図から始め、調査対象に応じて読み進めます。

1. システム情報とインストーラー、防御機能と検知設定
2. ユーザー・プロセス・サービス、アプリケーション・DLL・ネットワーク
3. 資格情報、権限昇格の経路

アクセストークンの操作とJuicyPotatoは個別の仕組みを掘り下げています。関連ツールは調査ツールと参考資料にまとめました。

演習での事例

Pirate で学ぶ Windows / AD の仕組みでは、個別の Writeup を手がかりに、NTLM 中継、RBCD、SPN の変更を読み解きます。