Adalanche - مصور أسطر الهجوم على قوائم التحكم في Active Directory
Adalanche هي أداة مفتوحة المصدر قائمة على Go تجمع كائنات Active Directory والأذونات (ACLs) وعضويات المجموعات، ثم ترسم فوراً أسطر الهجوم — من يمكنه السيطرة على من، وكيف. تجيب على السؤال “ما هي الأذونات التي يملكها المستخدمون في AD، ومن يمكنه الهجوم على من؟” بدون الحاجة إلى قاعدة بيانات خارجية أو مكدس البيانات: تفرغ AD، وتحلل تصعيد الامتيازات المستندة على ACL، وتقدم رسم بياني تفاعلي في متصفحك. إنها بديل سريع وذاتي الاكتفاء / مكمل لـ BloodHound لتقييمات أمان AD المرخصة.
فقط للتقييمات المرخصة لـ Active Directory. جمع وتحليل بيانات الدليل يتطلب إذن من صاحب النطاق.
التثبيت
| الطريقة | الطريقة |
|---|
| ملف ثنائي | قم بالتنزيل لـ Windows/Linux/macOS من GitHub Releases |
| من المصدر | go install github.com/lkarlslund/adalanche@latest |
| ملف ثنائي واحد | بدون متطلبات؛ المجمع + المحلل + واجهة الويب في واحد |
| التحقق | adalanche version |
مرحلتان
| المرحلة | الأمر |
|---|
| جمع | فرغ بيانات AD إلى ملف محلي |
| تحليل | قم بتحميل البيانات وقدم واجهة الرسم البياني |
جمع البيانات
# جمع من نطاق (LDAP)، موثق
adalanche collect activedirectory \
--domain example.local \
--username analyst --password '***' \
--server dc01.example.local
| العلم | الغرض |
|---|
--domain | نطاق AD المستهدف (FQDN) |
--server | وحدة تحكم المجال للاستعلام |
--username / --password | بيانات الاعتماد (أو Kerberos) |
--authmode | طريقة المصادقة (ntlm, kerberos, …) |
--tlsmode | خيارات TLS/LDAPS |
| المجمعات | activedirectory، بالإضافة إلى مجمعات الآلة المحلية |
يتم حفظ البيانات في دليل data/ محلي كأشياء مضغوطة.
التحليل / تقديم الرسم البياني
# قم بتحميل البيانات المجمعة وفتح واجهة الويب
adalanche analyze
# → استعرض إلى http://localhost:8080
| العلم | الغرض |
|---|
--datapath | حيث تعيش البيانات المجمعة |
--bind | عنوان/منفذ واجهة الويب |
| مربع الاستعلام | أدخل استعلامات بأسلوب LDAP / مدمجة |
| التحليلات المعرفة مسبقاً | ”من يمكنه الوصول إلى مسؤولي النطاق”، إلخ. |
ما الذي يرسمه (حواف الهجوم)
| الحافة/التقنية | المعنى |
|---|
WriteDACL / WriteOwner | يمكن إعادة كتابة أذونات الكائن |
GenericAll / GenericWrite | سيطرة كاملة/جزئية على الكائن |
ForceChangePassword | إعادة تعيين كلمة مرور الهدف |
AddMember | إضافة نفسك إلى مجموعة مميزة |
AllExtendedRights | DCSync والحقوق الحساسة الأخرى |
| تفويض Kerberos | إساءة استخدام التفويض المقيد/غير المقيد |
| روابط GPO | السيطرة عبر Group Policy المرتبطة |
الاستعلام
| الاستعلام | البحث عن |
|---|
| استهداف مسؤولي النطاق | كل شيء يمكنه الوصول إلى مجموعة DA |
| اختر مستخدماً → “الوصول” | ما الذي يمكن للمبدأ في النهاية السيطرة عليه |
| تصفية حسب نوع الحافة | فقط WriteDACL، فقط التفويض، إلخ. |
| أقصر سطر | حد أدنى من السلسلة من A إلى هدف ذو قيمة عالية |
تسلط الواجهة الضوء على أقصر مسار تصعيد امتيازات من أي مبدأ إلى هدف حساس، وهو الناتج الأساسي للتقييم.
سير العمل العام
# التقييم الكامل: جمع ثم تحليل
adalanche collect activedirectory --domain corp.local \
--username audit --password '***' --server dc.corp.local
adalanche analyze # فتح المتصفح، استهدف "مسؤولي النطاق"
# التحليل دون الاتصال: شارك مجلد data/، حلل في أي مكان
adalanche analyze --datapath ./data
Adalanche مقابل BloodHound
| الجانب | Adalanche | BloodHound (CE) |
|---|
| الواجهة الخلفية | لا شيء (ملف ثنائي واحد) | Neo4j / API + المجمعات |
| التركيز | أسطر هجوم ACL/الأذونات | أسطر هجوم AD/Azure الواسعة |
| الإعداد | بسيط | مكدس أثقل |
| المجمعات | AD مدمج + محلي | SharpHound / AzureHound / NetExec |
| الأفضل لـ | تحليل ACL سريع بدون قاعدة بيانات | رسم مسارات شامل |
يكمل BloodHound والمجمعات مثل NetExec؛ استخدم Adalanche للتحليل السريع والخالي من قاعدة البيانات على أساس ACL.
الموارد
