👻 CVE-2026-54121 - 最佳 CertiGhost AD CS 多漏洞利用框架 | 高级工具包，具备恶意 DC/LDAP 服务器、证书滥用、PKINIT 哈希提取功能。特性：安全检测检查，完整多线程利用。🛡️ CVSS 8.8 高危 - 请合乎道德地使用，保持合法。🔒
漏洞利用框架与审计工具包
仅限授权安全测试使用。
本工具仅供教育和授权渗透测试目的使用。 作者和贡献者不对因本软件造成的任何误用或损害负责。用户须自行确保在测试前已获得目标所有者的明确书面许可。未经授权访问计算机系统在适用的联邦、州和国际网络犯罪法律下均属违法。 使用本软件即表示您同意：
CVE-2026-54121（代号 “Certighost”）是 Microsoft Active Directory 证书服务（AD CS）中的一个**权限提升（EoP）**漏洞。它允许低权限域用户冒充域控制器机器账户，并通过证书伪造实现完整的域管理员接管。
CWE-285）。DCSync 操作。| 属性 | 值 |
|---|---|
| [+] 发现 / 修补 | 2026 年 7 月（Microsoft 补丁星期二） |
| [+] CVSS 评分 | 8.8（高危） |
| [+] 代号 | Certighost |
| [+] 受影响产品 | Microsoft Active Directory 证书服务 |
| [+] 修复版本 | 2026 年 7 月安全更新 |
| [+] 身份验证 | 低权限域账户 |
| [+] 影响 | 完整的 Active Directory 域沦陷 |
detect_ip，并禁用日志记录和输出。此版本请使用 “stealthcert.py”。| 功能 | exploit.py（完整框架） | stealthcert.py（精简版） |
|---|---|---|
| 目标输入 | 单个 / 文件 / Shodan | 仅单个 |
| 批量扫描 | [+] 是（多线程） | [-] 否 |
| 线程池 | [+] 可配置（-t） | [-] 单线程 |
| 线程池上限 | [+] min(threads, total) | [-] 不适用 |
| Shodan 集成 | [+] 是（--shodan） | [-] 否 |
| 流式 JSONL 输出 | [+] 是 | [-] 否 |
| JSON 报告 | [+] 是 | [-] 否 |
| CSV 报告 | [+] 是 | [-] 否 |
| JSONL 流式输出 | [+] 是 | [-] 否 |
| 日志文件（轮转） | [+] certighost.log（幂等处理器） | [-] 无日志文件 |
| 日志输出到 stderr/stdout 分离 | [+] 是（_log_info / _warn / _err） | [+] 是（sys.stderr） |
| 进度条 | [+] 实时（Vuln、Pwned、速率） | [-] 否 |
| 扫描摘要 | [+] 是 | [-] 否 |
| 信号处理（SIGINT） | [+] 优雅取消 | [-] 否 |
| 安全检测模式 | [+] --detect （默认） | [-] 始终利用 |
| 完整利用模式 | [+] --exploit （需主动启用） | [+] 始终开启 |
| 恶意 LDAP 服务器 | [+] 是 | [+] 是 |
| 恶意 LSA/SMB 服务器 | [+] 是 | [+] 是 |
| Netlogon 预言机 | [+] 是 | [+] 是 |
| Netlogon E-bit（DC 托管 CA） | [+] 0x800 | 0x20 | [+] 0x800 | 0x20 |
| 证书请求（ICPR） | [+] 是 | [+] 是 |
| PKINIT AS-REQ | [+] 是 | [+] 是 |
| PKINIT 哈希提取 | [+] 是 | [+] 是 |
| DCSync（krbtgt） | [+] 是（自动，shutil.which PATH 检查） | [-] 否 |
| 自动创建计算机账户 | [+] 是 | [+] 是 |
| 自定义计算机账户 | [+] 是 | [+] 是 |
| 自定义目标账户 | [+] 是 | [+] 是 |
| 自动 DC 发现 | [+] 是（通过 LDAP） | [+] 是（通过 LDAP） |
| 自定义模板 | [+] 是（--template） | [+] 是（--template） |
| LDAP / LDAPS | [+] 切换（--use-ldap） | [+] 切换（--use-ldap） |
| 基于 TCP 的攻击者 IP 检测 | [+] 优先 TCP，UDP 回退 | [+] 优先 TCP，UDP 回退 |
| 自定义监听 IP | [+] 是（--listener） | [+] 是（--listener） |
| 密码认证 | [+] 是 | [+] 是 |
| 从文件读取密码 | [+] --password-file | [-] 否 |
| 从环境变量读取密码 | [+] CERTIGHOST_PASSWORD | [-] 否 |
| NTLM 哈希认证 | [+] 是 | [+] 是 |
| 从文件读取哈希 | [+] --hashes-file | [-] 否 |
| 从环境变量读取哈希 | [+] CERTIGHOST_HASHES | [-] 否 |
| 从文件读取计算机密码/哈希 | [+] --computer-pass-file、--computer-hash-file | [-] 否 |
| 凭据 argv 清理 | [+] _sanitize_argv() | [-] 否 |
| 严格哈希解析（3+ 部分 → 错误） | [+] 是 | [+] 是 |
| 输入验证（域/用户/哈希/IP） | [+] _validate_inputs() | [-] 否 |
| Python 版本要求 | [+] 3.9+ | [-] 未检查 |
| 保留产物 | [-] 始终保留 | [+] --keep-files（默认：删除） |
| 清理 .pfx/.ccache | [~] 部分（仅 DCSync 后） | [+] 是（除非 --keep-files） |
| 失败时清理 | [~] 部分 | [+] 完整（try/finally） |
| 代理支持 | [-] 已移除 | [-] 否 |
| Tor 支持 | [-] 已移除 | [-] 否 |
| SSL 验证切换 | [-] 已移除 | [-] 否 |
| 重试逻辑 | [-] 已移除 | [-] 否 |
| 速率限制 | [-] 已移除 | [-] 否 |
| 超时控制 | [-] 已移除 | [-] 否 |
| 详细模式 | [+] 是（-v） | [-] 否 |
| 静默模式 | [+] 是（-q） | [-] 否 |
| 横幅 | [+] 全彩横幅 | [-] 无横幅 |
| 彩色输出 | [+] 是 | [-] 否 |
| 隐蔽 / 最小化日志 | [-] 记录到文件 | [+] 无文件日志 |
| 持久化产物 | [+] 保存 .ccache + .pfx | [+] 默认删除 |
| 推荐用途 | 红队行动 | 单次操作 |
| 磁盘痕迹 | 较大（日志、报告、产物） | 最小（仅产物） |
| 取证痕迹 | 日志文件、JSON 报告、.ccache、.pfx（凭据不在 argv 中） | 最小（仅瞬态） |
| 设置复杂度 | 中等（已移除无用标志） | 低（所需标志少） |
| 依赖项 | impacket、cryptography、asn1crypto、pyasn1、pycryptodome、dnspython、shodan（可选） | impacket、cryptography、asn1crypto、pyasn1、pycryptodome |
| 需要 Root | [+] 是（端口 445 + 389） | [+] 是（端口 445 + 389） |
| 输出格式 | 结构化（JSON/CSV/JSONL） | 单行（user:lm:nt） |
| 主要用例 | 带报告的批量利用 | 隐蔽单目标利用 |
| 参数 | 描述 | 示例 |
|---|---|---|
-d, --domain | 目标域 DNS 名称（必需） | -d playground.local |
-u, --username | 低权限域用户（必需） | -u lowpriv |
-p, --password | 用户密码 | -p Password123 |
--password-file | 从文件读取用户密码 | --password-file pass.txt |
-H, --hashes | NTLM 哈希 [LM:]NT | -H :8846f7eaee8fb117ad06bdd830b7586c |
--hashes-file | 从文件读取 NTLM 哈希 | --hashes-file hash.txt |
--dc-ip | 域控制器 IP（必需） | --dc-ip 192.168.1.10 |
--ca-ip | 证书颁发机构 IP（可选） | --ca-ip 192.168.1.20 |
--ca | CA 名称（未设置时自动发现） | --ca "PLAYGROUND-CA" |
--listener | 恶意服务器使用的攻击者 IP | --listener 192.168.1.100 |
--target-account | 要冒充的账户（例如 DC01$） | --target-account DC01$ |
--template | 证书模板（默认：Machine） | --template Machine |
--computer-name | 现有计算机账户名称（带 $） | --computer-name GHOSTABCD$ |
--computer-pass | 现有计算机密码 | --computer-pass CGabc123... |
--computer-pass-file | 从文件读取现有计算机密码 | --computer-pass-file comp_pass.txt |
--computer-hash | 现有计算机 NT 哈希 | --computer-hash 8846f7ea... |
--computer-hash-file | 从文件读取现有计算机哈希 | --computer-hash-file comp_hash.txt |
--use-ldap | 使用 LDAP（389）而非 LDAPS（636） | --use-ldap |
--exploit | 执行漏洞利用（需主动启用） | --exploit |
--detect | 仅检测（默认） | --detect |
-t, --threads | 批量扫描的最大线程数（1-500） | -t 10 |
-o, --output | 输出文件（.json、.csv、.jsonl） | -o results.json |
-v, --verbose | 详细输出 | -v |
-q, --quiet | 静默模式 | -q |
-h, --help | 显示帮助 | -h |
已移除的参数（不再支持）： --timeout、--retry、--delay、--proxy、--no-verify、--tor。
环境变量： CERTIGHOST_PASSWORD、CERTIGHOST_HASHES。