Von Null auf Domain Admin: Neue YouTube-Serie zu Active Directory Hacking mit Kali Linux und GOAD

Active Directory ist der Kern jedes Unternehmens-IT-Betriebs im deutschsprachigen Raum. Und trotzdem ist AD-Hacking oft eine Spezialisierung, mit der man nichts zu tun haben will.

Aber so kompliziert ist es ja gar nicht.

In dieser Serie arbeiten wir uns durch Game of Active Directory (GOAD)-  das derzeit anspruchsvollste öffentliche AD-Lab - und zeigen nicht nur die Angriffe, sondern die Denkweise. Was passiert unter der Haube? Warum funktioniert dieser Angriff hier und nicht in der nächsten Umgebung? Was übersieht ein Junior-Pentester, und was macht ein Senior-Operator anders?

Das ist kein OSCP-Cheatsheet-Content. Das ist der Kurs, den ich mir selbst vor zehn Jahren gewünscht hätte.

Was ist GOAD

Game of Active Directory ist ein Open-Source-Lab, das eine Game of Thrones-themed Multi-Domain-Windows-Umgebung nachbaut: mehrere Domain Controller, Member Server, MSSQL-Instanzen, ADCS-Certificate-Services, Cross-Domain-Trusts, Kerberos-Delegation-Konfigurationen: alles was du in einer echten Corporate-Umgebung findest, verpackt in eine Vagrant-basierte Infrastruktur, die auf deinem eigenen Rechner läuft.

Der Clou: GOAD ist absichtlich verwundbar auf realistische Weise. Keine CTF-Tricks. Keine künstlichen Backdoors. Nur die Misskonfigurationen, die auch in echten Kundenumgebungen existieren — LLMNR aktiv, Passwörter im Description-Feld, Constrained Delegation auf privilegierte Konten, Kerberoastable Service Accounts. Wer GOAD durcharbeitet, versteht den echten Angriffsalltag im internen Pentesting sehr viel besser.

Was dich in Staffel 1 erwartet

Wir starten mit dem Sub-Domain `north.sevenkingdoms.local` — der Nordwelt aus Game of Thrones nachempfunden, mit Winterfell als Domain Controller und Castle Black als MSSQL-Member-Server. Über die Staffel arbeiten wir uns systematisch durch den gesamten Kill Chain:

- Recon ohne Credentials - was verrät dir eine Windows-Domain, bevor du überhaupt authentifiziert bist?
- LLMNR-Poisoning mit Responder - die immer noch produktivste Initial-Access-Technik in internen Netzen
- AS-REP Roasting und Kerberoasting - Offline-Cracking von Kerberos-Tickets, sauber erklärt
- SYSVOL Credential Hunting - der Ort, an dem alte Admin-Skripte für immer ruhen
- SAM- und LSA-Dump - was steht da wirklich drin, und welcher dieser Werte ist Gold wert
- Constrained Delegation Abuse - die S4U2self/S4U2proxy-Kombination, die stille Domain Admins produziert
- Silver und Golden Tickets -  Kerberos-Ticket-Forgery als Persistenz-Layer
- Cross-Domain-Pivoting - von der Sub-Domain zur Forest-Root

Jede Episode ist so gebaut, dass sie eigenständig funktioniert — aber die Serie ergibt einen zusammenhängenden Angriffspfad, wenn du sie in Reihenfolge schaust.

Wir sprechen über mehrere Pfade zum selben Ziel

Castle Black lässt sich in unserer Serie über **drei komplett unabhängige Angriffspfade** kompromittieren: über Jeor Mormonts nested-group-Membership, über die MSSQL-Instanz per `sql_svc`-Credentials, und über Silver-Ticket-Forgery mit dem Machine-Account-Hash.

Die Frage ist nicht „welcher Pfad ist der richtige" — sondern „welcher Pfad ist für dein aktuelles Engagement der richtige". Stealth versus Geschwindigkeit versus Persistenz. Diese Entscheidung ist das, was du als Operator dem Kunden verkaufst.

Wir bauen die Verteidiger-Sicht immer mit ein

Jede Angriffs-Episode endet mit einem Defender Lens - was hätte diese Attacke verhindert, welche Detection-Möglichkeiten gibt es, und was macht der Angriff für ein Blue Team so schwer zu erkennen. Denn ein Pentester, der die Verteidigerseite nicht versteht, schreibt schlechte Berichte.

Für wen ist diese Serie

Diese Serie ist für dich, wenn du:

- Grundlagen in Linux und Netzwerken hast, aber Windows-AD-Angriffe bisher nur oberflächlich kennst
- Dich auf OSCP, CRTP, CRTO oder ähnliche Zertifizierungen vorbereitest und den Sprung von Einzelübungen zu vollständigen Angriffspfaden schaffen willst
- Bereits als Junior-Pentester arbeitest und deinen Sprung ins interne AD-Pentesting machst
- Als Sysadmin oder Blue-Teamer verstehen willst, wie deine Umgebung angegriffen wird

Diese Serie ist **nicht** für dich, wenn du erwartest, per Copy-Paste in 20 Minuten Domain Admin zu werden. Wenn das dein Ziel ist, gibt es genug andere Kanäle. Hier lernst du das Handwerk, nicht die Tricks.

Was du technisch brauchst

Minimales Setup, sauber dokumentiert:

- Ein Rechner mit mindestens 32 GB RAM (GOAD läuft auf VMware oder VirtualBox — die Windows-VMs brauchen Platz)
- Kali Linux als Angreifer-Maschine (bevorzugt als VM parallel zum Lab)
- Vagrant und Ansible für das GOAD-Deployment
- Die grundlegenden Tools der Serie: `netexec` (früher CrackMapExec), `impacket`, `bloodhound`, `responder`, `hashcat`

Wo du die Serie findest

Neue Episoden erscheinen fortlaufend auf unserem YouTube-Kanal. Die komplette Playlist findest du hier:

YouTube

Wir sehen uns in Episode 1!