Detectar en qué máquinas del dominio el usuario actual es administrador local y acceder a ellas por WinRM o PowerShell Remoting.

Recolectar relaciones del dominio con SharpHound y analizarlas en BloodHound para encontrar rutas de ataque.

Comprobar el permiso Force-Change-Password sobre una cuenta y restablecer su contraseña.

Abusar de constrained delegation (S4U) para suplantar a un administrador contra el servicio delegado, con Rubeus o Kekeo.

Abusar de un equipo con unconstrained delegation para capturar el TGT del DC vía Printer Bug y reutilizarlo.

Desactivar controles de Windows Defender desde una sesión con privilegios, una vez obtenido el acceso administrativo.

Localizar en qué máquinas del dominio tiene sesión activa un Domain Admin, para luego robar sus credenciales.

Forjar un TGT modificando uno legítimo obtenido con las claves de krbtgt, para una persistencia más sigilosa que el golden ticket.

Abusar de la cuenta de recuperación DSRM del controlador de dominio para persistencia vía Pass-the-Hash.

Ejecutar comandos en un host remoto del dominio por WinRM o PowerShell Remoting.

Obtener el contexto inicial de la sesión — usuario, host, dominio y grupos — antes de mapear el dominio.

Localizar cuentas y equipos con delegación sin restricciones o restringida habilitada, candidatos a escalación.

Detectar qué controles están activos en un host remoto — AppLocker, Constrained Language Mode y Windows Defender — antes de operar sobre él.

Mapear los dominios del bosque y sus relaciones de confianza, desde PowerView o el módulo ActiveDirectory.

Mapear usuarios, grupos, equipos, controladores, OUs, GPOs y ACLs del dominio, desde PowerView o el módulo ActiveDirectory.

Descubrir instancias de MSSQL registradas en el dominio y validar el acceso con PowerUpSQL.

Buscar vectores de escalación local con PowerUp y abusar de un servicio mal configurado.

Comprobar puertos abiertos en un host del dominio desde PowerShell, sin herramientas externas.

Abusar de permisos en el dominio para concederse DCSync o modificar Security Descriptors del DC con RACE.

Abusar de plantillas de certificado mal configuradas (ESC1, ESC3) en AD CS para obtener un TGT como administrador.

Escalar de un dominio hijo al dominio padre forjando un ticket inter-realm con el SID History del grupo Enterprise Admins.

Obtener ejecución de código en un servidor Jenkins expuesto abusando de los Build Steps para lanzar una reverse shell.

Ejecutar consultas y comandos del SO a través de una instancia MSSQL accesible, incluyendo database links y reverse shell.

Forjar un TGT firmado con el hash de krbtgt para suplantar a cualquier usuario del dominio y mantener persistencia.

Comprobar y habilitar las conexiones RDP en un host remoto modificando fDenyTSConnections.

Solicitar tickets de servicio de cuentas con SPN y crackear offline su hash para obtener la contraseña en texto claro.

Usar el hash NTLM/AES de un Domain Admin para pedir un ticket Kerberos y acceder a los recursos del dominio como ese usuario.

Abusar de un permiso GenericWrite sobre un equipo para configurar RBCD y suplantar a un administrador contra él.

Identificar cuentas vulnerables a AS-REP Roasting (sin pre-autenticación) y a Kerberoasting (con SPN).

Forjar un TGS para un servicio concreto usando el hash de la cuenta de servicio, sin tocar krbtgt.

Extraer credenciales con Mimikatz/SafetyKatz — contraseñas en memoria, SAM, claves Kerberos, vault, LSA y DCSync.