手把手教你用NoPac打穿域控！这波操作我直呼内行！
嘿，各位老铁们！今天咱们来聊点硬核的玩意儿——NoPac！这名字听着是不是有点眼熟？没错，就是那个能让域控瞬间“跪地求饶”的神器！最近我在测试环境里捣鼓了一整天，总算把这玩意儿整明白了,赶紧来跟大伙儿分享分享！
说真的，第一次看到NoPac这个利用工具的时候，我整个人是懵的，啥玩意儿？不就是一个CVE-2021-42278和CVE-2021-42287的组合拳嘛！但真正用起来才发现,这里面的门道可太多了！
NoPac到底是啥？先别急，听我慢慢道来
咱们都知道，域控就是Windows域里的“大管家”，手里握着所有域用户的生杀大权，而NoPac这个工具，简直就是专门针对域控的“特工装备”，它利用了微软两个CVE漏洞的组合，能在不改动任何配置的情况下，直接模拟域管身份,拿到域控的最高权限！
我当时第一次用的时候，内心OS：这也太不讲武德了吧？但转念一想，咱是搞安全的，发现漏洞就是为了更好地防守,对吧？
前期准备：环境搭建可不能马虎
好啦好啦，我知道你们最想听的是实操环节！但是在动手之前,有几个必备条件咱得先准备好：
- 一台Windows Server（建议2016或2019版本）
- 一台普通的Windows 10/11工作站（作为攻击机）
- 域环境必须已经搭建好（这个不用我教了吧？）
- Python环境（建议3.8以上版本）
我当时搭建环境就花了大半天，中间还遇到各种坑，比如域控忘记开启LDAP签名啊，防火墙没关导致连接超时啊——哎，说多了都是泪！但咱这是为了一次性成功,这些准备工作真的不能马虎！
正式开整！NoPac利用全流程
第一步：下载工具包（先别急着撸代码）
哎呀，我知道你们急，但是得先把武器准备齐全嘛！首先咱们需要下载NoPac的利用脚本，我推荐用GitHub上的noPac项目，作者写得很清晰,还带详细的使用说明。
git clone https://github.com/Ridter/noPac.git cd noPac pip install -r requirements.txt
嘿，装依赖的时候记得用虚拟环境,不然把系统环境搞乱了又得哭唧唧地重装！
第二步：信息收集小试牛刀
老铁们注意了！在发起攻击之前，咱们得先摸清楚环境，这就跟打仗前得先侦察一样,对吧？
python3 scanner.py -h 192.168.1.10 -d yourdomain.com -u normal_user -p 'Password123!'
这条命令就是探测目标域控是否存在漏洞，我当时跑完看到“Vulnerable”字样的时候，那个激动啊,感觉就像发现了新大陆！
第三步：直接上手撸域管！
好啦，重头戏来了！确认漏洞存在后,咱们就可以利用NoPac直接获取域管权限：
python3 noPac.py -h 192.168.1.10 -d yourdomain.com -u normal_user -p 'Password123!' -dc-ip 192.168.1.10 -dump
这里我要特别提醒一下，-dump参数是直接导出域管哈希值的，如果你们只是想测试漏洞是否存在，建议用-exec参数配合net user命令来验证，别一次性把域管哈希全导出来了,不然那动静可太大了！
我当时第一次执行成功的时候，看到屏幕上刷出来的一排排哈希值，那心情啊，跟中了彩票似的！但冷静下来一想，这要是被坏人利用了,后果简直不堪设想！
排坑指南：这些坑我替你们踩过了
遇到问题别慌,我整理了几个最常见的坑：
- “KDC_ERR_PADATA_TYPE_NOSUPP”错误：这是因为域控补丁打得比较全，可以尝试用
-use-ldap参数走LDAP协议 - 执行超时：多半是DNS配置问题，记得把攻击机的DNS指向域控
- 权限不够：普通域用户就能利用这个漏洞，如果提示权限不足，检查下你用的账号是不是被安全策略限制了
安全防护提醒
最后唠两句（别嫌我啰嗦啊）：NoPac这个漏洞利用起来虽然爽，但咱们一定要用在合法的渗透测试中！如果是为了防御，记得赶紧给域控打上补丁（KB5008601及之后的安全更新），同时开启LDAP签名和通道绑定,把域控的防火墙配置得严实点。
我现在每次测试完，都会立刻帮客户把补丁打上，然后做个安全基线检查,防止被有心之人的反向利用。
写在最后
好啦，今天的NoPac实战教程就讲到这儿！你们要是觉得有用，记得收藏转发，有不懂得地方欢迎随时跟我讨论！老规矩，想学习网络安全技术的兄弟姐妹们，欢迎加QQ交流：1755609871（备注“公众号”更快通过）,咱们一起进步！
下期想学啥？留言告诉我，我给你们安排！拜拜喽！
