Relaying NTLM para ESC8 do ADCS

Aviso Legal: Esta habilidade destina-se apenas a testes de penetração autorizados, engajamentos de equipe vermelha e fins educacionais. Coagir autenticação e repassar credenciais contra sistemas que você não possui ou para os quais não tem autorização escrita explícita para testar é ilegal. Opere estritamente dentro de um "rules-of-engagement" assinado; a coerção ESC8 pode afetar controladores de domínio em produção.

Visão Geral

ESC8 é um dos caminhos de escalonamento dos Serviços de Certificado do Active Directory (AD CS) catalogados pela SpecterOps em "Certified Pre-Owned". Ele abusa do endpoint de inscrição web HTTP (/certsrv/) do AD CS, que por padrão suporta autenticação NTLM e, criticamente, não impõe channel binding HTTPS ou Proteção Estendida para Autenticação (EPA). Como o NTLM sobre HTTP nesse endpoint não é protegido, um atacante pode coagir uma conta de máquina privilegiada (tipicamente um controlador de domínio) a se autenticar em um host controlado pelo atacante, então repassar essa autenticação NTLM para a página de inscrição web da CA e solicitar um certificado como a máquina coagida.

Quando a vítima repassada é um controlador de domínio, o atacante obtém um certificado para a conta de máquina do DC (DC01$). Esse certificado pode então ser usado para Kerberos PKINIT para solicitar um TGT como o DC, recuperar o hash NT do DC e, finalmente, realizar DCSync — uma compromisso completo do domínio. Isso se mapeia para o MITRE ATT&CK T1557.001 (Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay), estendido aqui para repasse NTLM contra um serviço de inscrição HTTP.

A cadeia de ferramentas padrão é o ntlmrelayx.py da Impacket (o motor de repasse, com o modo --adcs), uma ferramenta de coerção (PetitPotam, Coercer, printerbug.py/dementor) e Certipy para enumeração e para transformar o certificado capturado em um TGT / hash NT.

Quando Usar

• Durante um teste de penetração interno de AD onde o AD CS com a função de Inscrição Web HTTP está presente e a EPA não é imposta.
• Quando você tem um ponto de acesso (mesmo uma posição de rede não autenticada com um vetor de coerção) e deseja um caminho para Domain Admin via personificação de certificado.
• Ao validar que a organização mitigou o ESC8 (EPA habilitado, inscrição HTTP desabilitada, coerção RPC/EFSRPC corrigida).
• Durante exercícios de purple-team para testar a detecção de coerção + repasse + inscrição anômala de certificados.

Pré-requisitos

• Uma posição de rede que possa alcançar o endpoint de inscrição web da CA e um vetor de coerção para o DC alvo.
• O nome do host da CA e um template que possa ser inscrito e que gere EKU de autenticação de cliente (por exemplo, DomainController, Machine).
• Ferramentas (instale dos repositórios oficiais):

# Impacket (provides ntlmrelayx.py / impacket-ntlmrelayx)
pipx install impacket

# Certipy (AD CS enumeration + abuse)
pipx install certipy-ad

# Coercion tools
git clone https://github.com/topotam/PetitPotam.git
pipx install coercer            # https://github.com/p0dalirius/Coercer
# printerbug.py ships with Impacket examples (MS-RPRN)

Objetivos

• Enumerar o AD CS para confirmar um endpoint de inscrição web vulnerável ao ESC8.
• Configurar o ntlmrelayx no modo --adcs visando a URL de inscrição da CA.
• Coagir um controlador de domínio a se autenticar no repasse (PetitPotam/Coercer/printerbug).
• Capturar o certificado base64 emitido para a conta de máquina do DC.
• Usar o Certipy para converter o certificado em um TGT e recuperar o hash NT do DC.
• Validar o compromisso do domínio (DCSync) e documentar as mitigações.

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

1. Enumerar AD CS para ESC8

Use o Certipy para encontrar templates habilitados e vulneráveis e confirmar um endpoint de inscrição web:

certipy find -u attacker@corp.local -p 'Password123!' -dc-ip 10.0.0.10 -vulnerable -enabled -stdout

…