CVE-2026-54121 - AD CS "Certighost" 权限提升框架工具包

Active Directory 证书服务 — Certighost → 域接管

漏洞利用框架与审计工具包
仅供授权安全测试使用。

⚖️ 法律免责声明与责任使用

本工具仅用于教育和授权渗透测试目的。 作者和贡献者不对因使用本软件而导致的任何滥用或损害负责。用户全权负责确保在测试前已获得目标所有者明确的书面许可。根据适用的联邦、州及国际网络犯罪法律，未经授权访问计算机系统属于违法行为。 使用本软件即表示您同意：

• 仅将本工具用于您拥有或已获得明确测试许可的系统。
• 遵守所有适用的地方、州和联邦法律。
• 不得将其用于任何恶意、破坏性或非法活动。

⚠️ 警告： Active Directory 权限提升漏洞对企业基础设施构成高风险。严禁未经授权的测试。

[+!] 漏洞概述

CVE-2026-54121（被称为 "Certighost"）是 Microsoft Active Directory 证书服务 (AD CS) 中的一个权限提升 (EoP) 漏洞。该漏洞允许低权限域用户冒充域控制器机器账户，并通过证书伪造实现完整的域管理员接管。

工作原理：

1. 目标验证绕过： 该漏洞源于 AD CS 在处理证书请求目标参数时未正确执行授权检查（CWE-285）。
2. 恶意服务器重定向： 证书颁发机构 (CA) 接受客户端提供的服务器重定向目标，而不验证该目标是否为经过授权的域控制器。
3. 域控制器冒充： CA 会查询攻击者控制的服务器，并颁发以特权域控制器身份签名的有效计算机证书。
4. 域接管 (DCSync)： 攻击者使用伪造的 DC 证书通过 Kerberos/PKINIT 进行身份验证，从而获得域控制器权限并执行 DCSync 操作。

关键信息：

警告！🌬️

该代码以用户友好为设计理念，功能完整，优先考虑安全性、隐私性和最小化日志记录。建议您完全移除 Shodan 集成及其库，使用单线程而非线程池，移除端口扫描和 detect_ip，并禁用日志记录和输出。请对此版本使用 “stealthcert.py”。

CVE-2026-54121 CertiGhost - 参数参考

📋 完整参数列表

Python 漏洞利用参数

stealthcare.py（安全利用）

PowerShell 包装器参数

🚀 使用示例

git clone https://tc4dy/CVE-2026-54121-PoC-Exploit
#install requirements

示例 ❄️

# Auto-discovers CA via LDAP, creates temp computer, spawns rogue servers, requests certificate with cdc redirect, extracts DC's NT hash via PKINIT, enables DCSync for domain takeover
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10

# Impersonates a specific Domain Controller (DC01$). Useful when you know exactly which DC to target. Bypasses auto-discovery
python3 certighost.py -d corp.local -u user -p Passw0rd --dc-ip 10.0.0.1 --target-san DC01$

# Uses NTLM hash instead of password. Works when password is unknown but hash is obtained. ':' before hash = empty LM hash
python3 certighost.py -d domain.local -u admin --hashes :8846f7eaee8fb117ad06bdd830b7586c --dc-ip 192.168.1.10

# Bypasses LDAP CA discovery. Uses explicitly provided CA IP and name. Useful when LDAP is restricted or CA is on different subnet
python3 certighost.py -d playground.local -u lowpriv -p Password123 --dc-ip 192.168.1.10 --ca-ip 192.168.1.20 --ca "PLAYGROUND-CA"

PowerShell（检测）

# Native LDAP query to check if AD CS is present. Returns CA name and DNS. Read-only, safe for production. No exploitation performed
.\CertiGhost.ps1 -d playground.local --dc-ip 192.168.1.10 --username lowpriv -p Password123 --detect

Python 后端漏洞利用

# Runs native AD CS detection then calls Python certighost.py with all parameters. Requires certighost.py in same directory. Prints NT hash and ccache file
.\CertiGhost.ps1 -d corp.local --dc-ip 10.0.0.1 --username attacker -p P@ssw0rd --exploit --target-account DC01$

保存 JSON，检测模式

#Detection only mode. Saves results in JSON format. Useful for automation, reporting, and integration with other security tools
.\CertiGhost.ps1 -d domain.local --dc-ip 192.168.1.10 --username user -p pass --detect -o results.json

🧠 技术深度解析

1. AD CS 目标验证绕过（Certighost）

该漏洞源于 Active Directory 证书服务 (AD CS) 在证书注册过程中未正确执行授权和验证检查（CWE-285）。拥有低权限域凭据的攻击者可以操纵目标重定向参数，诱使证书颁发机构 (CA) 针对恶意端点验证身份断言。

易受攻击的端点 / 请求上下文：

POST /certsrv/mscep/mscep.dll HTTP/1.1
Host: ca-server.domain.local
Content-Type: application/x-www-form-urlencoded

... (Certificate Request payload with manipulated target/cdc parameters)

2. 攻击向量

• Chase 目标操纵： 攻击者修改证书请求中的目标重定向参数（如 cdc / chase target），强制证书颁发机构 (CA) 将验证流量路由到指定端点。

• 恶意服务器重定向： 证书颁发机构 (CA) 会向客户端提供的目标发起 LDAP 或 SMB 连接，而不会验证该目标是否为合法且经过授权的域控制器。

• DC 身份伪造与证书颁发： 攻击者控制的恶意服务器会代表目标域控制器账户响应 CA 发出的验证查询。CA 依据该响应颁发带有域控制器身份的有效签名证书。

3. 利用后阶段

获取票据授予票据 (TGT)

使用获取的域控制器证书，通过 PKINIT（公钥加密初始身份验证）执行 Kerberos 身份验证，以检索高权限 TGT。

DCSync 攻击

利用具有域控制器权限的 Kerberos 票据，通过 DCSync 技术提取 Active Directory 数据库中所有账户的密码哈希（例如 krbtgt、Administrator）。

持久化

• 黄金票据创建： 使用提取的 krbtgt 账户密码哈希按需伪造 TGT。
• 影子凭据： 将未经授权的证书密钥追加到目标账户的 msDS-KeyCredentialLink 属性中，以实现持久访问。
• 证书模板篡改： 修改 AD CS 模板权限，以保留允许未来权限提升的后门配置。

横向移动

• 域统治： 在域内的所有服务器和工作站上建立完全特权（SYSTEM / 域管理员）会话。
• 跨林横向渗透： 利用 SID History 或 TGT 委派技术穿越到受信任的域（林信任）。

📚 参考资料

• NVD - CVE-2026-54121
• Microsoft Security Update Guide - CVE-2026-54121
• CERT/CC Vulnerability Note
• MITRE ATT&CK - T1649: Steal or Forge Authentication Certificates

🔗 其他漏洞利用

• CVE-2026-15409/15410 - SonicWall SMA1000 Multi-Exploit Framework
• CVE-2026-6875 - ServiceNow Pre-Auth RCE Exploit Framework
• CVE-2026-41091 - SolarFlare (RedSun) Microsoft Defender LPE
• CVE-2026-57821 - Apache Fineract SQL Injection Toolkit
• CVE-2026-41940 - cPanel/WHM Authentication Bypass