Certify

O Certify é uma ferramenta em C# para enumerar e abusar de configurações incorretas no Active Directory Certificate Services (AD CS).

@harmj0y e @tifkin_ são os autores principais do Certify e da pesquisa associada sobre AD CS (blog e whitepaper).

Table of Contents

• Certify
• Uso
• Considerações Defensivas
• Instruções de Compilação
• Nota: Executando o Certify via PowerShell
• Nota Nota: Executando o Certify via PSRemoting
• Reflexões
• Agradecimentos

Usage

Uma visão geral dos comandos e detalhes abrangentes de uso podem ser encontrados na wiki.

Defensive Considerations

O Certify foi lançado na Black Hat 2021 com nossa palestra "Certified Pre-Owned: Abusing Active Directory Certificate Services".

Consulte nosso whitepaper para orientações sobre prevenção e detecção.

Compile Instructions

Não planejamos lançar binários para o Certify, então você terá que compilar você mesmo :)

Certify foi construído para .NET 4.7.2 e é compatível com Visual Studio 2022 Community Edition. Basta abrir o arquivo .sln do projeto, escolher "Release" e compilar.

Sidenote: Running Certify Through PowerShell

Se você quiser executar o Certify na memória através de um wrapper PowerShell, primeiro compile o Certify e codifique em base64 o assembly resultante:

[Convert]::ToBase64String([IO.File]::ReadAllBytes("C:\Temp\Certify.exe")) | Out-File -Encoding ASCII C:\Temp\Certify.txt

O Certify pode então ser carregado em um script PowerShell com o seguinte (onde "aa..." é substituído pela string do assembly Certify codificada em base64):

$CertifyAssembly = [System.Reflection.Assembly]::Load([Convert]::FromBase64String("aa..."))

O método Main() e quaisquer argumentos podem então ser invocados da seguinte forma:

[Certify.Program]::Main("enum-templates --filter-enabled --filter-vulnerable".Split())

Sidenote Sidenote: Running Certify Over PSRemoting

Devido à forma como o PSRemoting lida com a saída, precisamos redirecionar o stdout para uma string e retorná-la. Felizmente, o Certify possui uma função para ajudar com isso.

Se você seguir as instruções em Nota: Executando o Certify via PowerShell para criar um Certify.ps1, anexe algo como o seguinte ao script:

[Certify.Program]::MainString("enum-templates --filter-enabled --filter-vulnerable")

Você deve então conseguir executar o Certify via PSRemoting com algo como o seguinte:

$s = New-PSSession dc.theshire.local
Invoke-Command -Session $s -FilePath C:\Temp\Certify.ps1

Alternativamente, o argumento /outfile:C:\FILE.txt do Certify redirecionará todos os fluxos de saída para o arquivo especificado.

Reflections

Sobre o tema da divulgação pública, nós auto-embargamos o lançamento de nossas ferramentas ofensivas (Certify e ForgeCert) por aproximadamente 45 dias após a publicação do nosso whitepaper, a fim de dar às organizações uma chance de lidar com as questões relacionadas ao Active Directory Certificate Services. Também lançamos preventivamente algumas regras Yara/IOCs para ambos os projetos e o projeto PowerShell PSPKIAudit focado em defesa junto com o whitepaper. No entanto, descobrimos que organizações e fornecedores historicamente não corrigem problemas ou criam detecções para ataques "teóricos" até que alguém prove que algo é possível com uma prova de conceito.

Acknowledgments

O Certify usou alguns recursos encontrados online como referência e inspiração:

• Este post sobre solicitação de certificados a partir de C#.
• Este gist para especificação de SAN.
• Este post do StackOverflow sobre exportação de chaves privadas.
• Este post do PKISolutions sobre conversão de pkiExpirationPeriod.
• Esta seção do MS-CSRA descrevendo DACLs de segurança do agente de registro.

O trabalho sobre AD CS foi construído sobre o trabalho de várias outras pessoas. O whitepaper fornece um tratamento completo, mas para resumir: