Formation - Sécurité offensive de l'Active Directory

1 - Mécanismes fondamentaux d’administration et d’authentification

• Analyse des mécanismes d’administration distants : RPC, SMB, WMI, services exposés et vecteurs de risque
• Gestion des identités et des accès : fonctionnement interne de NTLM et Kerberos, dérivations clés, stratégies d’affaiblissement, usages détournés

2 - Reconnaissance (OSINT et activités sur le réseau)

• Techniques et outils OSINT : extraction d’informations depuis images, emails, identifiants, métadonnées, sites web, fuites diverses
• Reconnaissance depuis un accès anonyme : cartographie des services, découverte des endpoints, enumeration minimale
• Reconnaissance depuis un accès authentifié : expansion de la visibilité, collecte avancée d’informations AD, topologie réseau
• Exploration des techniques avancées de reconnaissance et d’exploitation réseau : scan passif/actif, découverte de services AD, analyse du trafic

3 - Techniques de pivot et d’abus des services AD

• Empoisonnement ADIDNS pour interception et redirection
• Abus de WinRM, exploitation des restrictions ou contournements JEA
• Extraction et exploitation des secrets LAPS, gMSA/sMSA

4 - Exploitation des relations et des protocoles

• Abus de liens de confiance MS-SQL pour exécution distante
• NTLM relaying et techniques modernes de coercition d’authentification
• Kerberos relay, limites et scénarios d’exploitation.

5 - Pivots inter-domaines / inter-forêts / cloud hybride

• Pivots inter-forêts AD : attaques sur trusts, délégations, SIDHistory
• Pivots vers Azure : exploitation PHS, PTA, ADFS
• Pivots depuis Azure : exploitation des configurations Intune, transition vers les ressources AD internes.

6 - Élévation locale Manipulation d’a

• Manipulation d’access tokens, mécanismes d’impersonation
• Analyse des vulnérabilités Potato et dérivés
• Contournement des restrictions logicielles : bypass AppLocker, environnements restreints (Citrix / RDS / shells limités)

7 - Élévation sur le domaine

• Étude et abus des ACL : Object ACL, DACL, ACE mal configurées
• Exploitation avancée de la délégation Kerberos (constrained, unconstrained, resource-based)
• Compromission et détournement de ADCS : attaques sur les templates, ESC1–ESC13
• Abus des groupes privilégiés, chemins d’accès privilégiés et erreurs d’architecture
• Exploitation des vulnérabilités publiques pertinentes via rejeu d’authentification, attaques Kerberoasting, manipulation des chemins de contrôle BloodHound

8 - Extraction et manipulation des secrets critiques

• Techniques d’accès à LSASS : credential dumping, manipulation mémoire
• Exploitation de DPAPI pour extraction de secrets utilisateurs et machine
• Kerberoasting avancé : récupération et cracking de TGS, analyse des erreurs de configuration

9 - Techniques de persistance sur AD

• Attaques via ADCS : émission frauduleuse de certificats, persistences basées sur les clés
• Manipulation des tickets Kerberos : golden, diamond, sapphire tickets
• Abus du mode DSRM, création de golden gMSA, réactivation silencieuse d’objets sensibles
• Abus AdminSDHolder, modification des ACL protégées
• Création de skeleton key, contournement des mécanismes d’authentification
• Empoisonnement de GPO : détournement de configuration à grande échelle
• Délégation Kerberos détournée pour persistance longue durée

10 - Extension de la compromission

• Analyse et exploitation des relations de confiance inter-domaines et inter-forêts
• Abus approfondi de la délégation Kerberos pour étendre la compromission au-delà du domaine initial