Explorando o AD CS com Certipy

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. Ataques ao Active Directory Certificate Services (AD CS) podem resultar em comprometimento total do domínio. Execute estas técnicas apenas contra sistemas que você possui ou tem autorização explícita por escrito para testar. O uso não autorizado é ilegal sob as leis de fraude de computador.

Visão Geral

O Active Directory Certificate Services (AD CS) é a função de infraestrutura de chave pública da Microsoft usada para emitir certificados para autenticação, criptografia e assinatura dentro de um domínio Windows. Os pesquisadores da SpecterOps, Will Schroeder e Lee Christensen, documentaram uma família de primitivas de escalonamento de privilégios em seu whitepaper de 2021 Certified Pre-Owned, nomeando-as de ESC1 a ESC8. A comunidade desde então estendeu o catálogo através da ESC16. Como um certificado que mapeia para um principal privilegiado pode ser usado para autenticação Kerberos PKINIT, um atacante que obtém tal certificado pode se autenticar como um Administrador de Domínio ou Controlador de Domínio sem nunca saber a senha — e o certificado permanece válido mesmo após uma redefinição de senha.

Certipy (pacote certipy-ad, mantido por Oliver Lyak / ly4k) é o kit de ferramentas ofensivo de fato para AD CS. É uma ferramenta puramente em Python que enumera autoridades e modelos de certificado via LDAP/RPC, solicita e falsifica certificados, realiza autenticação PKINIT/Schannel, executa ataques de Shadow Credentials e retransmite autenticação NTLM coagida para os endpoints de registro HTTP e RPC do AD CS. O Certipy suporta detecção e exploração em toda a faixa ESC1-ESC16, tornando-o a ferramenta principal para avaliação de AD CS. Fonte: ly4k/Certipy e SpecterOps "Certified Pre-Owned".

Quando Usar

• Durante testes de penetração internos e engajamentos de equipe vermelha onde o AD CS está no escopo
• Quando um ponto de acesso de domínio de baixo privilégio precisa de um caminho para Administrador de Domínio / Controlador de Domínio
• Para validar que os ACLs de modelos de certificado e a configuração da CA estão endurecidos
• Ao testar a cobertura de detecção para escalonamento de privilégios baseado em certificado
• Durante exercícios de equipe roxa para gerar telemetria ESC1/ESC8 para ajuste da equipe azul

Pré-requisitos

• Escopo de engajamento autorizado que inclua explicitamente a exploração de AD CS
• Um ponto de acesso: credenciais de domínio válidas (senha, hash NT ou ticket Kerberos) para qualquer usuário de baixo privilégio
• Conectividade de rede a um Controlador de Domínio (LDAP/389, LDAPS/636) e ao host da CA
• Python 3.10+ (Certipy 5.x requer Python 3.12+) e um host de ataque Linux
• Instalar Certipy:

  # Recommended isolated install
  pipx install certipy-ad
  # Or with pip
  pip install certipy-ad
  # Verify
  certipy --version
  

• Para retransmissão ESC8, você também precisa de uma ferramenta de coerção (Coercer/PetitPotam) e contas de máquina de vítima alcançáveis

Objetivos

• Enumerar todas as CAs, modelos e endpoints de registro na floresta
• Identificar quais configurações incorretas ESC1-ESC16 são exploráveis a partir do principal atual
• Solicitar um certificado que impersonifique um alvo privilegiado (abuso de SAN ESC1)
• Retransmitir autenticação coagida para o registro web do AD CS para obter um certificado de DC (ESC8)
• Autenticar com um certificado forjado/emitido para recuperar um TGT e hash NT
• Documentar cada descoberta com evidências e orientação de remediação

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

Etapa 1: Enumerar AD CS com certipy find

Coletar configuração de CA e modelos e sinalizar modelos vulneráveis. find executa consultas LDAP e RPC e produz JSON, um ZIP compatível com BloodHound e um relatório de texto legível.

# Full enumeration, only enabled templates, hide built-in admin ACEs
certipy find \
    -u 'attacker@corp.local' -p 'Passw0rd!' \
    -dc-ip 10.0.0.100 -text -enabled -hide-admins

# Output only templates Certipy considers vulnerable
certipy find \
    -u 'attacker@corp.local' -p 'Passw0rd!' \
    -dc-ip 10.0.0.100 -vulnerable -stdout

# Authenticate with an NT hash instead of a password
certipy find -u 'attacker@corp.local' -hashes ':fc525c9683e8fe067095ba2ddc971889' \
    -dc-ip 10.0.0.100 -vulnerable -stdout

…