버그바운티 글이 "정찰 → 분석 → 리포트"라는 웹 중심 흐름이었다면, 내부망·AD(Active Directory) 침투는 완전히 다른 방법론을 따른다. 목표는 취약점 하나가 아니라 도메인 관리자(Domain Admin) 권한까지의 경로를 찾는 것이다.
1단계 — 초기 접근 이후의 정찰(Enumeration)
피싱이나 취약한 서비스로 내부망에 발판을 마련했다면, 그 다음은 도메인 구조를 파악하는 것부터 시작한다.
- BloodHound: AD의 사용자·그룹·권한·세션 관계를 그래프로 수집해서, "이 일반 계정에서 도메인 관리자까지 가는 가장 짧은 공격 경로"를 자동으로 계산해준다. 사람이 수백 개의 ACL을 손으로 분석하는 걸 대체하는 핵심 도구다.
net user /domain, net group "Domain Admins" /domain 같은 기본 명령으로도 초기 구조 파악이 가능하다.
2단계 — 권한 상승 경로 찾기
BloodHound가 찾아주는 흔한 경로 패턴들:
- Kerberoasting: 서비스 계정(SPN이 등록된 계정)의 서비스 티켓을 요청해서, 그 계정의 해시가 걸린 티켓을 오프라인으로 크랙한다 — 서비스 계정은 비밀번호 정책이 느슨한 경우가 많아 성공률이 높다
- AS-REP Roasting: "사전 인증이 필요없음" 옵션이 켜진 계정을 대상으로, 인증 시도 없이 바로 크랙 가능한 응답을 받아낸다
- 잘못 설정된 ACL: 일반 계정이 GenericAll/WriteDACL 같은 과도한 권한을 특정 그룹·계정에 갖고 있는 경우 (BloodHound가 이런 관계를 그래프로 바로 보여준다)
- Pass-the-Hash / Pass-the-Ticket: 앞서 다룬 기법으로 탈취한 자격 증명을 다른 시스템에 재사용하며 옆으로(lateral) 이동한다
3단계 — 도메인 관리자 확보 후
목표 달성으로 끝나는 게 아니라, 실제 진단·레드팀 프로젝트라면 여기서부터가 방어팀에게 가장 중요한 정보다.
- 어떤 경로로 여기까지 왔는지(공격 그래프)를 재구성해서 문서화한다
- 각 단계에서 어떤 탐지 기회가 있었는지(Kerberoasting은 비정상적인 서비스 티켓 요청 패턴으로 탐지 가능하다) 방어 관점에서 같이 정리한다
방법론이 웹 진단과 다른 이유
웹 진단은 "이 엔드포인트에 이 취약점이 있다"는 개별 발견이 단위지만, AD 침투는 "개별로는 별거 아닌 권한 설정 여러 개가 이어져서 만들어내는 하나의 공격 경로"가 핵심이다. 그래서 개별 취약점 스캐너보다 BloodHound 같은 관계 그래프 도구가 훨씬 중요한 역할을 한다.