技能使用指南

windows-ad（Windows与ActiveDirectory安全）Skill 是什么？如何下载？

windows-ad（Windows与ActiveDirectory安全）Skill 是面向已授权场景的域安全专项技能，覆盖 Kerberos、AD CS 证书攻击、BloodHound 路径与 NTLM 中继，内置授权校验与证据留痕流程。本文讲清它的功能、安装思路、使用步骤、竞品对比与常见问题，帮你快速判断是否适合自己。

Windows与ActiveDirectory安全Skillwindows-ad
12 个章节 约 15 分钟阅读 AI 智能生成

Windows与ActiveDirectory安全Skill：把域内身份攻防的「先图后枪、步步留证」固化成可复用流程

核心结论（先看这 5 条）

  • 它是什么：windows-ad 是一个面向 已授权 场景的 Windows / Active Directory 安全专项技能，覆盖 Kerberos、AD CS 证书攻击、BloodHound 攻击路径、NTLM 中继与域权限提升研究。
  • 它最大的不同：不是“工具说明书”，而是一套带前置授权校验的工作流——先读前序经验、先写清测试范围与禁止动作，再进入枚举与攻击路径分析。
  • 它的核心方法论：先有图、再有枪。从身份枚举与 BloodHound 图谱出发，而不是一上来就上破坏性利用。
  • 它的适用人群：内网渗透测试工程师、红队成员、企业安全评估与蓝队验证人员、AD 安全教学与实验环境使用者。
  • 重要提醒：本技能面向已获得书面授权的测试范围。所有涉及凭证导出、票据伪造、DCSync 等高风险动作，详情中均明确要求“仅在授权红队范围”“高危需用户确认”，无授权的生产域环境严禁使用。

1. 该技能叫什么？如何下载安装 AI 技能提升开发效率？

1.1 技能基本信息

项目 内容
技能中文名 Windows与ActiveDirectory安全Skill
技能英文名 windows-ad
技能ID 2120311782948634626
技能定位 Active Directory / Windows 身份维度专项攻防研究技能
上游关系 多阶段外网到域控场景由 attack-chain/ 主导，本技能作为 AD 专项被调用
下游关系 结论输出至报告生成模块 docs-generator；需 EDR 研究时衔接 edr-bypass-re

1.2 它到底解决什么问题

域渗透的门槛从来不是“工具不够多”，而是三件事：

  1. 顺序错了——在没有身份枚举和图谱的情况下直接打漏洞，既容易暴露，也容易把测试环境打崩；
  2. 边界糊了——授权范围没写清楚，测试人员不知道能不能对域控投毒、能不能做 NTLM 中继；
  3. 证据丢了——命令跑完就忘，最后写报告时无法复现、无法脱敏、无法交付。

windows-ad 把这个过程拆成「授权确认 → 初始化 → 工具索引 → 身份枚举 → 路径分析 → 凭证与横向 → 证据留痕 → 自检清单」的固定节拍，让每一次域测试都可复现、可交付、可追溯。这正是“一键调用 AI 技能提升效率”的真实含义：把专家脑子里的检查表和顺序感，固化成一个随叫随到的流程。

1.3 下载与安装思路（以官方说明为准）

AI 技能的安装方式取决于你使用的技能平台或客户端，本技能详情中未提供具体的安装命令、下载链接或价格信息，因此请以官方说明为准。通用思路如下：

  1. 确认前提条件：你需要在支持技能（Skill）机制的 AI 客户端或平台上使用；同时确认本次测试已获得书面授权，并明确授权范围（是否包含域控、是否允许投毒/中继等）。
  2. 找到技能入口：在平台的技能市场或技能管理界面中，使用技能英文名 windows-ad 或技能ID 2120311782948634626 检索。
  3. 执行安装或启用：按平台提供的“添加 / 安装 / 启用”入口操作，具体按钮名称与流程以官方说明为准。
  4. 补齐依赖工具：本技能依赖的工具链（BloodHound / SharpHound、Certipy、Impacket / NetExec、Rubeus / Mimikatz、Coercer / Responder 等）在技能详情中标注为通常需要手动准备，请在实验或授权环境中预先安装并确认版本可用。

1.4 如何验证技能是否已生效

技能加载成功后，按详情中「必需操作」的定义，它应当立刻给出以下反馈，可作为验证依据：

  • 提示读取前序经验文件 ../field-journal/precedent-pentest.md；
  • 主动要求你明确授权范围（包括域控是否在范围内、是否允许投毒/中继）；
  • 执行初始化（case-init），要求写清 network_profile 与禁止动作；
  • 进入工具索引（tool-index）阶段，并提示从身份枚举与 BloodHound 图开始，而非先行破坏性利用。

如果它对你说“直接开始爆破域控”，说明当前上下文未正确加载本技能——本技能的默认行为是先校验授权、再做枚举。

2. 该技能的主要功能和特点

  • Kerberos 攻击面研究：覆盖 Kerberoasting（SPN 服务票据离线破解）、AS-REP roasting 等经典身份攻击路径的识别与分析。
  • AD CS 证书攻击（ESC1–ESC8）：围绕企业证书服务模板配置错误展开分析，配套 Certipy 使用思路，是当前域内提权的高价值方向。
  • BloodHound / SharpHound 攻击路径图谱：强调用图谱表达“从当前身份到域管理员”的可行路径，而不是凭感觉找目标。
  • 委派与 ACL 滥用分析：覆盖非约束委派、约束委派、基于资源的约束委派，以及 GenericAll / WriteDacl 等 ACL 滥用路径。
  • NTLM 中继与强制认证：LLMNR / NBT-NS 投毒配合中继，以及 Coercer 强制认证思路（必须先确认授权）。
  • 过度权限与横向移动分析：secretsdump / lsassy / mimikatz 等凭证获取，PtH、PtT、黄金票等票据技术，均限定在授权红队范围。
  • 本地提权到域路径的衔接：把 Potato 类本地提权作为跳板，串起“本地管理员 → 域内身份”的链路。
  • 强制流程约束（差异化核心）：内置“先图后枪”“每步写 Evidence（证据）”“高危动作需用户确认”“记录可复现命令并脱敏”等硬性自检项。
  • 明确的越界红线：详情中直接标注禁止项——无授权的 DCSync、黄金票攻击生产环境。

和普通工具相比强在哪？普通工具回答“这条命令怎么写”，本技能回答的是“现在该做什么、不该做什么、做完怎么留证”。它是流程层与判断层的产物，而非命令层。

3. 如何使用该技能？

以下是基于技能详情「必需操作」与「工作流」整理的典型使用步骤。

步骤 1：确认授权并声明范围（不可跳过） 在发起任何操作前，先向技能说明：目标域、域名、域控是否在授权范围内、是否允许投毒或中继、哪些动作被禁止。这是技能的第一道闸门。

步骤 2：读取前序经验 技能会先读取 ../field-journal/precedent-pentest.md，复用既往案例中的判断经验，避免重复踩坑。

步骤 3：初始化案例（case-init） 写清 network_profile（网络画像）与禁止动作清单。这一步决定了后续所有建议是否落在安全边界内。

步骤 4：建立工具索引（tool-index） 确认 impacket、certipy、bloodhound 等工具的可用状态。详情明确提示：这些工具通常需要手动准备，技能负责编排而非替你安装。

步骤 5：身份枚举与建图（核心阶段） 示例命令（来自技能详情，需具备凭据与授权）：

# SMB 范围枚举
nxc smb <range> -u user -p pass

# BloodHound 数据采集
bloodhound-python -d domain.local -u user -p pass -c All -ns <DC>

输出说明：前者给出存活主机与基础信息，后者产出可供 BloodHound 分析的身份与权限关系数据。

步骤 6：按清单逐项核对可行路径 技能提供了一份“先图后枪”的核对清单：

  • Kerberoast / AS-REP → 离线破解
  • ACL 滥用（GenericAll / WriteDacl）
  • 委派（非约束 / 约束 / 基于资源）
  • AD CS 模板错误 → Certipy
  • 中继：LLMNR / NBT-NS + ntlmrelayx（确认授权后）

步骤 7：凭证与横向（严格授权 + 清理） secretsdump / lsassy / mimikatz 等操作必须严格授权并做好清理；PtH、PtT、黄金票仅限授权红队范围；每一步都要写 Evidence，高危动作等待用户确认。

步骤 8：执行完成自检 交付前回答四个问题：是否先有图/枚举再有利用？是否记录了可复现命令并脱敏？是否遵守 scope 禁止项？Checklist 是否逐项完成？

步骤 9：下游交付 结论交由 docs-generator 生成报告；若涉及免杀或 EDR 对抗研究，转交 edr-bypass-re。

4. 同类型竞品对比分析

方案名称 定位 核心功能 安装/使用门槛 适用场景 优势与不足
windows-ad Skill（本技能） AD 身份维度专项攻防工作流 Kerberos、AD CS、BloodHound 路径、NTLM 中继、域权限提升研究，含授权校验与证据留痕 需支持技能机制的 AI 平台；底层工具链通常手动准备；需明确授权 授权渗透测试、内网安全评估、AD 安全教学 优势：流程与边界内建、可复现、输出可交付；不足：不替代具体工具的安装与执行，破坏性动作仍由人确认
手工组合 Impacket + BloodHound + Certipy 工具集合式方案 枚举、建图、证书攻击各自独立 门槛较高，需自行串联命令与顺序 有经验的渗透测试人员 优势：灵活、可控粒度细；不足：无流程约束，容易漏掉授权声明与证据留存
通用 AI 对话助手 通用问答 可解释概念、生成命令片段 门槛最低 学习概念、查命令写法 优势：上手快；不足：缺乏领域专用检查表，不会主动要求授权范围与禁止动作，易给出脱离上下文的建议
商业 AD 攻击面管理/评估平台 产品化评估 自动化发现域内配置风险并出报告 需采购部署，成本较高（以官方说明为准） 企业常态化安全治理 优势：可视化、可周期性复测；不足：偏防守视角评估，攻击路径推演深度与红队实操衔接有限

结论：如果你要的是**“一条命令怎么敲”，工具和通用助手更直接；如果你要的是“一次授权内的域测试该怎么有序做完并交付”**，本技能的流程约束才是它的价值所在。

5. 该技能的典型应用场景与实际体验情况

场景一：红队成员的域内阶段推进 角色：红队渗透测试工程师。痛点：进入内网后信息爆炸，容易在无图谱的情况下乱打。使用方式：用 BloodHound 建图后，按技能清单逐项核对 Kerberoast、ACL、委派、AD CS 四类路径，选择最短且暴露面最小的路径推进。体验：上手难度中等（需要熟悉 AD 基础概念），效果体现在“不再漏项”，注意事项是工具需提前装好，技能不代劳。

场景二：企业内网的授权安全评估 角色：甲方安全工程师或外部评估方。痛点：评估报告写完无法复现，复测时对不上。使用方式：用 case-init 固定 network_profile 与禁止动作，全程记录 Evidence 并脱敏。体验：交付质量提升明显，注意事项是必须先有书面授权，否则第一道校验就会拦住你。

场景三：AD CS 证书体系专项审计 角色：负责 PKI 的安全研究员。痛点：证书模板的 ESC 类错误隐蔽，靠人工翻配置效率低。使用方式：聚焦 AD CS 模板错误方向，配合 Certipy 做验证，参考技能内的 ESC1 案例种子。体验：方向感强，能快速把注意力收敛到高价值配置项；注意证书服务在生产域中往往敏感，任何操作需先确认影响面。

场景四：安全教学与实验环境演练 角色：讲师或学员。痛点：教学缺一套“正确的操作顺序”。使用方式：在实验域中完整跑一遍“授权声明 → 枚举 → 建图 → 路径分析 → 证据记录”的闭环。体验：最容易上手的是流程本身，最容易被忽略的是自检清单——而恰恰是清单决定了这次演练能不能写成一份像样的报告。

6. 该技能能为用户带来的价值

  • 效率提升：把“想起要确认授权、想起要建图、想起要留证”这些靠经验维持的动作，变成固定节拍，减少来回返工。对于一次完整的域评估，前期规划与后期整理往往占据大量时间，流程化能显著压缩这部分消耗。
  • 门槛降低：新手最容易犯的错是“顺序错”和“越界”，技能用前置校验和清单把这两类错误挡在前面，让经验不足的人也能按专家路径推进。
  • 风险可控：明确的禁止项（无授权 DCSync、黄金票打生产）与“高危等用户确认”机制，把不可逆操作的决策权交回给人。
  • 可交付性提升：命令脱敏、Evidence 留存、自检清单，让最终报告不再依赖记忆重建。
  • 长期价值：每一次测试的经验都可以沉淀到 field-journal 与 seed 案例中，形成团队自己的 AD 攻防知识资产，越用越顺手。

7. 常见问题 FAQ

Q1：这个技能怎么安装？需要付费吗？ A：在支持技能机制的 AI 平台中，用技能英文名 windows-ad 或技能ID 2120311782948634626 检索并按平台入口启用即可，具体安装命令与是否收费以官方说明为准。需要提前准备的是底层工具链（BloodHound、Certipy、Impacket 等），技能详情中标注这些通常需要手动安装。

Q2：没有授权能用吗？ A：不建议也不能正当使用。技能的第一步就是要求明确授权范围（含域控、是否允许投毒/中继），并写入禁止动作；详情中直接标注“无授权 DCSync / 黄金票打生产”为禁止项。请在自有实验环境或取得书面授权的范围内使用。

Q3：它和 BloodHound 是什么关系？是不是重复了？ A：不重复。BloodHound 负责“画图”，本技能负责“什么时候画图、画完看什么、看到之后按什么顺序验证、每一步怎么留证”。它是编排层与判断层，BloodHound 是它调用的工具之一。

Q4：适合谁用？新手能上手吗？ A：适合内网渗透测试人员、红队成员、企业安全评估人员和 AD 安全教学者。新手可以借它建立正确的操作顺序与边界意识，但需要先补足 AD 基础概念（Kerberos、委派、ACL、证书服务），否则清单上的条目看不懂也用不上。

Q5：会不会误伤生产环境？ A：技能本身通过“明确 scope 禁止项 + 高危动作需用户确认 + 每步写 Evidence”来降低风险，但最终执行权在人。建议先在实验域验证流程，生产环境严格按授权范围与变更窗口执行，并对凭证类操作做好清理。