🛡️ ESCepcion

Audit-Tool für Active Directory Certificate Services

ESCepcion ist ein Open-Source-Tool zur Auditierung und Bewertung von Schwachstellen in Active Directory Certificate Services (AD CS)-Infrastrukturen. Es wurde entwickelt, um die Erkennung von Privilege-Escalation-Pfaden (ESC) zu automatisieren, mit einem strikten Fokus auf die Reduzierung von Fehlalarmen in Unternehmens- und Hybridumgebungen.

Im Gegensatz zu anderen Tools exploitet, modifiziert oder schreibt ESCepcion keine Objekte in Active Directory. Alle Operationen basieren ausschließlich auf Nur-Lese-Abfragen über LDAP und optionalen Registrierungslesevorgängen über MS-RRP (durch Verwendung von --deep-scan).

🆚 ESCepcion vs. Certipy / Certify

In der Community gibt es hervorragende Referenztools wie Certipy und Certify, deren Hauptaugenmerk auf Red-Team-Operationen und der aktiven Ausnutzung liegt (Zertifikate anfordern, ausstellen, Authentifizierungen erzwingen usw.).

ESCepcion soll sie nicht ersetzen, sondern aus defensiver Perspektive ergänzen: Während Certipy/Certify dein Arsenal zum Ausnutzen und Demonstrieren der technischen Auswirkungen darstellen, konzentriert sich ESCepcion ausschließlich auf die passive Auditierung und die Validierung von Fehlalarmen. ESCepcion gleicht automatisiert LDAP-Konfigurationsdaten, ACL-Berechtigungen und Registrierungsvalidierungen ab, um priorisierte, remediationsbereite Berichte zu erstellen.

🎯 Hauptfunktionen

• Umfassende Erkennung: Abdeckung der kritischsten Schwachstellen (ESC1 - ESC16, CVE-2022-26923, CVE-2024-49019, etc.).
• Shadow Credentials (CBA): Robuste Erkennung unsicherer Delegierungen in msDS-KeyCredentialLink, mit Unterscheidung zwischen echten Risiken und legitimen Konfigurationen (Windows Hello for Business, FIDO2).
• Anti-Fehlalarm: Deterministische Zustände. Alle Befunde werden strikt in EXPLOITABLE, NEAR_MISS, POTENTIAL, NOT_SCANNED oder SAFE kategorisiert, wodurch Mehrdeutigkeit vermieden wird.
• Angriffsketten (Combo Chains): Automatische Identifizierung zusammengesetzter Vektoren (DDCC), bei denen mehrere Schwachstellen kombiniert werden, um die Domäne zu kompromittieren.

🧠 Risikomodell (DDCC und L1–L5)

ESCepcion verwendet ein proprietäres Risikomodell, das über die klassischen Schweregradbewertungen hinausgeht:

• L1–L5: Ordnet jeden Befund dem tatsächlichen Gewinn des Angreifers zu (z. B. privilegierte Identitätsübernahme, Zertifikats-Minting), nicht nur nach Art der technischen Schwachstelle.
• DDCC (Dynamic Domain Compromise Chains): Bestimmt, ob die verketteten Befunde einen gangbaren Pfad zur vollständigen Domänenkompromittierung von einem Standardbenutzerkonto aus bilden.

Die vollständige Dokumentation unseres Risikomodells findest du unter: 🔗 hackwarts12.github.io/ESCepcion/risk-model

⚙️ Voraussetzungen

• Python 3.8+
• Python-Abhängigkeiten, die in requirements.txt aufgeführt sind (enthält Bibliotheken wie impacket, ldap3 u. a.).

🚀 Installation

Klonne das Repository und installiere die erforderlichen Python-Abhängigkeiten:

git clone https://github.com/TU-USUARIO/ESCepcion.git
cd ESCepcion
pip install -r requirements.txt

(Optional) Falls eine bestimmte PowerShell-Umgebung vorhanden ist, kannst du install.ps1 ausführen.

💻 Verwendung

Um einen einfachen authentifizierten Scan gegen einen Domänencontroller auszuführen:

python main.py -d midominio.local -dc-ip 192.168.1.100 -u usuario -p 'contraseña'

Tiefenscan (Empfohlen)

Füge den Parameter --deep-scan hinzu, um zusätzliche Prüfungen über MS-RRP (Remote-Registrierung) durchzuführen und ein höheres Vertrauensniveau bei der Abdeckung bestimmter ESCs zu erhalten:

python main.py -d midominio.local -dc-ip 192.168.1.100 -u usuario -p 'contraseña' --deep-scan

Andere Authentifizierungsmethoden

Authentifizierung mithilfe des NTLM-Hashes (Pass-the-Hash):

python main.py -d midominio.local -dc-ip 192.168.1.100 -u usuario -H 'LMHASH:NTHASH'

📊 Berichte (Output)

ESCepcion erzeugt nach jedem Scan zwei Dateien:

1. HTML-Dashboard: Ein interaktiver Bericht, der Folgendes enthält:

   • Security-Posture-Score (0–100).
   • Visualisierung der Attack Chain und Korrelation von Combo Chains.
   • Individuelle Remediation-Playbooks für jeden Befund mit den genauen Befehlen zur Behebung.
   • Abdeckungskarte, die zeigt, welche ESCs bewertet wurden und welche einen --deep-scan erfordern.

2. JSON-Datei: Eine strukturierte Ausgabe, ideal für:

   • Direkte Integration in SIEM-Tools.
   • Remediation-Tracking auf Basis historischer Diffs.
   • PKI-Daten, die mit BloodHound-Graphen kompatibel sind.

📁 Projektstruktur

ESCepcion/
├── main.py                # CLI principal de la herramienta
├── auth/                  # Módulos de conexión (LDAP, RPC, etc.)
├── modules/               # Módulos de chequeo (ESC1-16, Shadow Credentials, etc.)
├── utils/                 # Utilidades (Generador de reportes, Parseo de ACLs)
├── output/                # Directorio donde se generan los reportes JSON/HTML
│
# Archivos de Frontend (Landing Page / Documentación)
├── index.html             # Página principal Web
├── styles.css             # Estilos corporativos de la web
└── risk-model.html        # Documentación interactiva del modelo de riesgos

🎓 Forschungs-Credits

Die deduktive und Erkennungslogik von ESCepcion baut stark auf der außergewöhnlichen Forschungsarbeit der Cybersicherheits-Community auf:

• Will Schroeder & Lee Christensen (SpecterOps) — Certified Pre-Owned (2021), grundlegende Forschung zu ESC1–ESC8-Vektoren.
• Oliver Lyak — Ersteller von Certipy, Forschung zu den Vektoren ESC9, ESC10 und ESC16.
• Jonas Bülow Knudsen — Forschung zu ESC13 und ESC14 (2024).
• Justin Bollinger (TrustedSec) — Forschung zu ESC15, EKUwu und CVE-2024-49019 (2024).

📜 Rechtliches und Lizenz

Nur für autorisierte Sicherheitstests. Die Verwendung von ESCepcion darf ausschließlich auf Infrastrukturen erfolgen, für die eine ausdrückliche und schriftliche Genehmigung zur Auditierung vorliegt.

Das Projekt wird unter der MIT-Lizenz vertrieben. Weitere Details findest du in der Datei LICENSE.