1. 项目概述为什么我们需要关注AD CS与Certipy如果你是一名负责企业内网安全、红队评估或渗透测试的安全工程师那么Active Directory证书服务AD CS绝对是你不能忽视的一个攻击面。过去几年围绕AD CS的漏洞和攻击手法层出不穷从ESC1到ESC8这些漏洞让攻击者能够轻松地从一个普通域用户权限提升到域管理员甚至直接接管整个域森林。然而很多安全团队对AD CS的认知还停留在“一个发数字证书的服务”上对其内部错综复杂的配置、权限和潜在风险知之甚少。这就是Certipy工具的价值所在。它不是一个简单的漏洞扫描器而是一个专门为审计和攻击AD CS环境而生的“瑞士军刀”。想象一下你拿到一个域普通用户的权限面对一个庞大的、配置未知的AD CS环境如何快速摸清它的“家底”哪些证书模板配置不当哪些权限设置过于宽松哪些漏洞点可以直接利用手动去翻找ADSI编辑器或者PowerShell命令效率低下且容易遗漏关键信息。Certipy的出现就是为了将这个过程自动化、可视化让你能像查看地图一样清晰地掌握整个AD CS的攻击路径。本教程的目标就是带你从零开始使用Certipy完成一次对AD CS证书颁发机构的完整枚举和信息收集。我们不会止步于运行几个命令而是会深入每个输出结果背后解释它们代表的安全含义并分享在实际攻防演练和内部审计中如何将这些信息转化为 actionable 的发现。无论你是想加固自己的AD CS环境还是作为攻击方需要快速定位突破口这篇实战指南都将提供清晰的路径。2. 环境准备与Certipy基础部署在开始挥舞Certipy这把“利剑”之前我们需要先打造一个合适的“练功房”。这里的环境准备分为两部分一是攻击机即我们运行Certipy的机器的环境搭建二是目标AD CS环境的理解。2.1 攻击机环境搭建Certipy是一个Python工具因此Python环境是首要条件。我强烈建议使用Python 3.7或更高版本并在Linux或Windows Subsystem for Linux (WSL 2) 环境下运行这样可以避免很多Windows上特有的依赖库问题。第一步是安装Certipy。最推荐的方式是通过pip从GitHub直接安装最新开发版因为AD CS相关的攻击技术迭代很快工具也在持续更新。pip install githttps://github.com/ly4k/Certipy安装完成后在终端输入certipy --help你应该能看到完整的命令列表和帮助信息。如果遇到类似“impacket”模块缺失的错误不用担心这是因为Certipy依赖了著名的impacket库来进行网络通信和协议交互。通常上述安装命令会自动解决依赖如果失败可以手动安装pip install impacket。注意在实际的攻防演练或授权测试中请确保你的攻击机能够与目标域控制器DC和证书颁发机构CA服务器进行网络通信。通常需要TCP 135RPC、445SMB、389/636LDAP/LDAPS以及CA服务器特定的RPC端口如TCP 49152-65535之间的动态端口可达。网络策略有时会阻止这些通信提前确认连通性可以避免很多“卡壳”时刻。2.2 理解目标AD CS基础架构速览在运行任何命令之前我们需要对目标有个基本画像。AD CS并不是一个单一的服务器角色它包含多个组件证书颁发机构CA核心服务器负责颁发和管理证书。一台域内服务器上安装了“AD CS”角色后它就成为了CA。证书模板定义了证书的用途、有效期、加密算法、以及最关键的——谁可以申请、谁可以批准、证书可以给谁用。漏洞往往就藏在模板的配置里。注册服务处理证书申请请求的Web页面或策略模块。证书存储在AD和本地数据库中存放已颁发和已吊销的证书。我们的枚举工作就是要摸清这些组件及其相互关系。你需要准备的最基本信息是一个有效的域账户凭证至少需要有一个域普通用户的用户名和密码或NTLM哈希。这是与AD和CA服务进行认证交互的“门票”。目标域名Domain例如corp.local。目标CA服务器名如果你不知道具体的CA服务器名Certipy也可以帮你发现。但知道的话会更快例如ca-server.corp.local。有了这些我们就可以开始真正的探索了。3. 核心枚举操作一步步摸清AD CS的底细Certipy的枚举功能非常强大我们将按照从宏观到微观、从基础设施到具体配置的顺序进行。3.1 第一步发现与识别证书颁发机构CA很多时候我们可能只知道一个域名而不清楚内部有哪些CA。Certipy的find命令可以帮我们进行服务发现。certipy find -u usercorp.local -p Password123! -dc-ip 192.168.1.10-u指定域用户格式可以是用户名域名或域名\用户名。-p指定该用户的密码。-dc-ip指定域控制器的IP地址。这对于工具定位域服务至关重要。运行这个命令后Certipy会通过LDAP查询域内所有安装了AD CS角色的服务器。你会得到一个类似下面的输出摘要[*] Finding certificate authorities [*] Found 2 CAs CA Name: CORP-CA DNS Name: ca-server.corp.local Certificate Subject: CNCORP-CA, DCcorp, DClocal [...] CA Name: CORP-SUBCA DNS Name: subca-server.corp.local [...]这个列表就是你所有潜在的攻击目标。请记录下CA Name如CORP-CA这在后续所有针对特定CA的操作中都会用到。一个域内存在多个CA根CA和下属CA是很常见的架构。3.2 第二步深度剖析CA配置与证书模板找到CA之后我们需要对其进行“体检”。certipy ca命令用于与特定CA交互。首先我们可以获取CA的基本信息certipy ca -ca corp-CA -u usercorp.local -p Password123! -dc-ip 192.168.1.10 info-ca参数就是我们上一步找到的CA名称。这个命令会输出大量信息包括CA的证书、支持的加密算法、生效的证书模板列表等。其中最关键的是证书模板列表它直接决定了哪些类型的证书可以被颁发。但仅仅知道模板名称还不够我们需要深入每个模板的“内脏”。这就是certipy find命令的另一个强大功能枚举并分析所有证书模板的安全配置。certipy find -u usercorp.local -p Password123! -dc-ip 192.168.1.10 -vulnerable注意这里的-vulnerable参数。这是Certipy的精华所在。它不仅仅列出模板还会根据已知的ESCAD CS提权漏洞模式自动分析每个模板的配置并标记出可能存在风险的模板。运行后你会得到一个结构化的表格输出我强烈建议你将其导出为文本文件仔细分析。输出会包含每个模板的以下关键信息Template Name模板名称。Enabled是否启用。Client Authentication是否允许用于客户端身份验证这是很多攻击链的前提。Enrollment Rights谁有权申请此证书。这里会列出具体的用户或组如Domain Users,Authenticated Users。Object Control Rights谁可以修改此模板的ACL访问控制列表。如果一个低权限用户可以修改高权限模板那就是ESC2漏洞。VulnerabilitiesCertipy会根据配置判断出的潜在漏洞类型如ESC1,ESC3,ESC6等。实操心得第一次看到这个输出可能会有点懵因为信息量很大。我的习惯是首先关注Vulnerabilities列非空的模板这些是“高危嫌疑对象”。然后重点看Enrollment Rights如果发现一个允许用于客户端认证的模板其申请权限包含了Authenticated Users所有认证用户或Domain Users那么就需要高度警惕因为它意味着任何一个域用户都可以申请可能用于身份验证的证书。3.3 第三步权限与角色映射分析知道哪些模板有问题后我们还需要知道如果拿到了这些证书能冒充谁这需要对AD中的权限关系有清晰的认识。Certipy的枚举结果已经给出了模板的Enrollment Rights但我们可以结合传统的AD枚举工具如BloodHound来绘制更完整的攻击图。例如通过Certipy发现“WebServer”模板允许Domain Users申请且该模板配置了CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT申请者可以自定义主题这符合ESC1的特征。那么任何一个域用户都可以申请一个以域管理员Domain Admins组中某用户为主体的证书。接下来我们需要验证这个被冒充的域管理员账户是否有效、是否启用。该管理员拥有哪些资源的权限这部分虽然Certipy不直接提供但它是将技术发现转化为实际风险的关键一步。在报告中你不能只说“存在ESC1漏洞”而应该说“存在ESC1漏洞普通用户john可申请以域管理员admin为主体的证书而admin对全部域控拥有完全控制权”。4. 实战案例拆解从枚举到风险确认让我们通过一个虚构但非常典型的场景把上面的步骤串联起来。场景在对corp.local域的内部审计中我们获得了一个普通域用户john的密码。步骤1发现CAcertipy find -u johncorp.local -p Pssw0rd! -dc-ip 192.168.1.1输出显示存在一个名为CORP-DC-CA的CA运行在域控制器dc01.corp.local上。这是一个常见但风险较高的配置CA与DC同机。步骤2枚举并分析漏洞模板certipy find -u johncorp.local -p Pssw0rd! -dc-ip 192.168.1.1 -vulnerable在输出表格中我们发现了一个名为UserESC1的模板Enabled: TrueClient Authentication: TrueEnrollment Rights:Authenticated UsersVulnerabilities:ESC1关键配置在详细输出中CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT标志位为 True且msPKI-Certificate-Name-Flag包含ENROLLEE_SUPPLIES_SUBJECT。这几乎是一个教科书级的ESC1漏洞模板任何经过认证的用户都可以申请一个用于客户端认证的证书并且可以随意指定证书中的主体名称Subject。步骤3构造攻击请求现在我们知道可以攻击这个模板。假设我们想冒充域管理员Administrator。使用Certipy的req子命令来申请证书certipy req -ca CORP-DC-CA -target dc01.corp.local -template UserESC1 -upn Administratorcorp.local -u johncorp.local -p Pssw0rd!-template指定有漏洞的模板名。-upn指定我们想要冒充的用户主体名称User Principal Name这里是域管理员。如果一切配置正确Certipy会为我们成功申请到一个以Administrator身份信息颁发的证书.pfx文件并使用我们自己的账户john的密码保护该PFX文件。步骤4证书身份验证与权限获取拿到证书后我们可以使用它来进行Kerberos认证获取域管理员的TGT票据授予票据certipy auth -pfx administrator.pfx -dc-ip 192.168.1.1这个命令会使用证书中的Administrator身份向域控制器请求Kerberos票据。成功后我们就拥有了域管理员Administrator的访问权限可以执行任何域管理操作例如使用secretsdump.py导出所有域哈希。5. 枚举结果分析与报告撰写要点枚举完成不是终点将技术数据转化为安全团队和决策者能理解的风险报告才是关键。你的报告不应是Certipy命令的堆砌。1. 风险量化与分级严重存在可直接导致域控沦陷的漏洞如ESC1, ESC6且攻击路径清晰利用条件成熟如存在高权限目标账户。高危存在高危漏洞但可能需要额外条件如需要控制特定用户账户才能修改模板ACL的ESC2。中危配置不当但当前无法直接用于提权如模板权限过宽但未启用客户端认证。低危信息性发现如存在不安全的加密算法。2. 报告内容组织执行摘要用一两句话说明最严重的风险例如“发现一个配置错误的证书模板允许任何域用户获取域管理员权限证书”。详细发现以表格形式列出发现的CA和关键模板。对每个高危模板详细说明其配置问题截图Certipy输出关键部分、触发的漏洞类型ESCx、所需的利用条件、以及可能造成的影响可冒充的用户/组及其权限。攻击路径还原像我们上面的实战案例一样描述一个完整的、从低权限用户到获得高权限的攻击链。这能让防御方直观地理解威胁。整改建议立即措施禁用存在ESC1、ESC6等严重漏洞的证书模板。中期加固遵循最小权限原则严格审查所有证书模板的Enrollment Rights和Object Control Rights移除Authenticated Users和Domain Users等过于宽泛的权限。确保任何允许客户端认证的模板其申请权限都被严格限制。长期监控将AD CS配置变更纳入核心安全监控定期使用Certipy等工具进行审计扫描。3. 可视化辅助将Certipy的输出特别是模板权限和漏洞标识与BloodHound等工具的数据结合可以绘制出极具说服力的攻击路径图展示从起点一个普通用户到终点域管理员的完整过程。6. 常见问题排查与操作技巧在实际使用Certipy的过程中你肯定会遇到各种报错和意外情况。这里分享一些我踩过的坑和解决技巧。问题1连接被拒绝或超时症状执行命令后长时间无响应或报错“Connection refused”。排查网络连通性首先用ping和nmap确认到-dc-ip和CA服务器IP的135、445、389端口是否开放。防火墙目标服务器或中间网络设备的防火墙可能阻止了RPC或SMB流量。在企业内网有时需要特定的网络路径。主机名解析如果使用主机名而非IP确保DNS解析正确。可以尝试在命令中直接使用IP地址。CA服务器名-ca参数的值必须是CA的“通用名称”而不是服务器主机名。可以通过certipy find命令准确获取。问题2认证失败症状返回“STATUS_LOGON_FAILURE”或类似错误。排查凭证格式确保用户名、域名、密码正确。特别注意密码中的特殊字符是否需要转义。账户状态确认所用域账户未锁定、未过期。哈希传递如果使用NTLM哈希-hashes参数确保哈希格式正确LMHash:NTHash且适用于该用户。Kerberos认证在某些严格配置的环境中可能需要使用Kerberos认证。可以尝试指定-k参数使用Kerberos并确保你的攻击机时间与域控制器同步ntpdate。问题3证书申请失败模板相关症状在req阶段失败提示权限不足或模板配置问题。排查双重检查模板名-template参数的值必须与枚举出的模板名称完全一致包括大小写。最好直接从certipy find的输出中复制。验证申请权限再次用certipy find确认当前用户是否确实在目标模板的Enrollment Rights列表中。检查模板状态确认模板是“已启用”状态。主体名称格式对于需要指定-upn或-dns的模板确保提供的值符合格式如完整的UPNuserdomain.com。操作技巧使用配置文件如果经常对同一目标测试可以将连接参数如-dc-ip,-ca保存在一个文本文件中通过file.txt的方式引用避免重复输入。# config.txt -dc-ip 192.168.1.1 -ca CORP-DC-CA -u johncorp.local -p Pssw0rd! # 使用命令 certipy find config.txt输出重定向与格式化将详细的枚举结果输出到文件便于分析。certipy find -u ... -p ... -vulnerable -json -output enum_results.json使用-json参数可以输出结构化的JSON数据方便用jq等工具进行二次处理或导入到其他分析平台。结合其他工具Certipy专注于AD CS但完整的AD攻击链可能涉及其他方面。将Certipy发现的“可申请证书的模板”与BloodHound发现的“高价值目标账户”结合能精准定位最具威胁的攻击路径。例如用Certipy找到可滥用的模板再用BloodHound查询哪些用户是“域管理员组”的成员这些用户就是你的证书申请目标-upn。最后要记住Certipy是一个强大的审计和攻击模拟工具。在未经授权的环境中使用是非法且不道德的。它的真正价值在于帮助防御者提前发现并修复自己系统中的薄弱环节在攻击者利用之前筑牢防线。通过本教程的系统性枚举和分析你应该能够像攻击者一样思考AD CS的威胁从而更好地保护它。
1. 项目概述为什么我们需要关注AD CS与Certipy如果你是一名负责企业内网安全、红队评估或渗透测试的安全工程师那么Active Directory证书服务AD CS绝对是你不能忽视的一个攻击面。过去几年围绕AD CS的漏洞和攻击手法层出不穷从ESC1到ESC8这些漏洞让攻击者能够轻松地从一个普通域用户权限提升到域管理员甚至直接接管整个域森林。然而很多安全团队对AD CS的认知还停留在“一个发数字证书的服务”上对其内部错综复杂的配置、权限和潜在风险知之甚少。这就是Certipy工具的价值所在。它不是一个简单的漏洞扫描器而是一个专门为审计和攻击AD CS环境而生的“瑞士军刀”。想象一下你拿到一个域普通用户的权限面对一个庞大的、配置未知的AD CS环境如何快速摸清它的“家底”哪些证书模板配置不当哪些权限设置过于宽松哪些漏洞点可以直接利用手动去翻找ADSI编辑器或者PowerShell命令效率低下且容易遗漏关键信息。Certipy的出现就是为了将这个过程自动化、可视化让你能像查看地图一样清晰地掌握整个AD CS的攻击路径。本教程的目标就是带你从零开始使用Certipy完成一次对AD CS证书颁发机构的完整枚举和信息收集。我们不会止步于运行几个命令而是会深入每个输出结果背后解释它们代表的安全含义并分享在实际攻防演练和内部审计中如何将这些信息转化为 actionable 的发现。无论你是想加固自己的AD CS环境还是作为攻击方需要快速定位突破口这篇实战指南都将提供清晰的路径。2. 环境准备与Certipy基础部署在开始挥舞Certipy这把“利剑”之前我们需要先打造一个合适的“练功房”。这里的环境准备分为两部分一是攻击机即我们运行Certipy的机器的环境搭建二是目标AD CS环境的理解。2.1 攻击机环境搭建Certipy是一个Python工具因此Python环境是首要条件。我强烈建议使用Python 3.7或更高版本并在Linux或Windows Subsystem for Linux (WSL 2) 环境下运行这样可以避免很多Windows上特有的依赖库问题。第一步是安装Certipy。最推荐的方式是通过pip从GitHub直接安装最新开发版因为AD CS相关的攻击技术迭代很快工具也在持续更新。pip install githttps://github.com/ly4k/Certipy安装完成后在终端输入certipy --help你应该能看到完整的命令列表和帮助信息。如果遇到类似“impacket”模块缺失的错误不用担心这是因为Certipy依赖了著名的impacket库来进行网络通信和协议交互。通常上述安装命令会自动解决依赖如果失败可以手动安装pip install impacket。注意在实际的攻防演练或授权测试中请确保你的攻击机能够与目标域控制器DC和证书颁发机构CA服务器进行网络通信。通常需要TCP 135RPC、445SMB、389/636LDAP/LDAPS以及CA服务器特定的RPC端口如TCP 49152-65535之间的动态端口可达。网络策略有时会阻止这些通信提前确认连通性可以避免很多“卡壳”时刻。2.2 理解目标AD CS基础架构速览在运行任何命令之前我们需要对目标有个基本画像。AD CS并不是一个单一的服务器角色它包含多个组件证书颁发机构CA核心服务器负责颁发和管理证书。一台域内服务器上安装了“AD CS”角色后它就成为了CA。证书模板定义了证书的用途、有效期、加密算法、以及最关键的——谁可以申请、谁可以批准、证书可以给谁用。漏洞往往就藏在模板的配置里。注册服务处理证书申请请求的Web页面或策略模块。证书存储在AD和本地数据库中存放已颁发和已吊销的证书。我们的枚举工作就是要摸清这些组件及其相互关系。你需要准备的最基本信息是一个有效的域账户凭证至少需要有一个域普通用户的用户名和密码或NTLM哈希。这是与AD和CA服务进行认证交互的“门票”。目标域名Domain例如corp.local。目标CA服务器名如果你不知道具体的CA服务器名Certipy也可以帮你发现。但知道的话会更快例如ca-server.corp.local。有了这些我们就可以开始真正的探索了。3. 核心枚举操作一步步摸清AD CS的底细Certipy的枚举功能非常强大我们将按照从宏观到微观、从基础设施到具体配置的顺序进行。3.1 第一步发现与识别证书颁发机构CA很多时候我们可能只知道一个域名而不清楚内部有哪些CA。Certipy的find命令可以帮我们进行服务发现。certipy find -u usercorp.local -p Password123! -dc-ip 192.168.1.10-u指定域用户格式可以是用户名域名或域名\用户名。-p指定该用户的密码。-dc-ip指定域控制器的IP地址。这对于工具定位域服务至关重要。运行这个命令后Certipy会通过LDAP查询域内所有安装了AD CS角色的服务器。你会得到一个类似下面的输出摘要[*] Finding certificate authorities [*] Found 2 CAs CA Name: CORP-CA DNS Name: ca-server.corp.local Certificate Subject: CNCORP-CA, DCcorp, DClocal [...] CA Name: CORP-SUBCA DNS Name: subca-server.corp.local [...]这个列表就是你所有潜在的攻击目标。请记录下CA Name如CORP-CA这在后续所有针对特定CA的操作中都会用到。一个域内存在多个CA根CA和下属CA是很常见的架构。3.2 第二步深度剖析CA配置与证书模板找到CA之后我们需要对其进行“体检”。certipy ca命令用于与特定CA交互。首先我们可以获取CA的基本信息certipy ca -ca corp-CA -u usercorp.local -p Password123! -dc-ip 192.168.1.10 info-ca参数就是我们上一步找到的CA名称。这个命令会输出大量信息包括CA的证书、支持的加密算法、生效的证书模板列表等。其中最关键的是证书模板列表它直接决定了哪些类型的证书可以被颁发。但仅仅知道模板名称还不够我们需要深入每个模板的“内脏”。这就是certipy find命令的另一个强大功能枚举并分析所有证书模板的安全配置。certipy find -u usercorp.local -p Password123! -dc-ip 192.168.1.10 -vulnerable注意这里的-vulnerable参数。这是Certipy的精华所在。它不仅仅列出模板还会根据已知的ESCAD CS提权漏洞模式自动分析每个模板的配置并标记出可能存在风险的模板。运行后你会得到一个结构化的表格输出我强烈建议你将其导出为文本文件仔细分析。输出会包含每个模板的以下关键信息Template Name模板名称。Enabled是否启用。Client Authentication是否允许用于客户端身份验证这是很多攻击链的前提。Enrollment Rights谁有权申请此证书。这里会列出具体的用户或组如Domain Users,Authenticated Users。Object Control Rights谁可以修改此模板的ACL访问控制列表。如果一个低权限用户可以修改高权限模板那就是ESC2漏洞。VulnerabilitiesCertipy会根据配置判断出的潜在漏洞类型如ESC1,ESC3,ESC6等。实操心得第一次看到这个输出可能会有点懵因为信息量很大。我的习惯是首先关注Vulnerabilities列非空的模板这些是“高危嫌疑对象”。然后重点看Enrollment Rights如果发现一个允许用于客户端认证的模板其申请权限包含了Authenticated Users所有认证用户或Domain Users那么就需要高度警惕因为它意味着任何一个域用户都可以申请可能用于身份验证的证书。3.3 第三步权限与角色映射分析知道哪些模板有问题后我们还需要知道如果拿到了这些证书能冒充谁这需要对AD中的权限关系有清晰的认识。Certipy的枚举结果已经给出了模板的Enrollment Rights但我们可以结合传统的AD枚举工具如BloodHound来绘制更完整的攻击图。例如通过Certipy发现“WebServer”模板允许Domain Users申请且该模板配置了CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT申请者可以自定义主题这符合ESC1的特征。那么任何一个域用户都可以申请一个以域管理员Domain Admins组中某用户为主体的证书。接下来我们需要验证这个被冒充的域管理员账户是否有效、是否启用。该管理员拥有哪些资源的权限这部分虽然Certipy不直接提供但它是将技术发现转化为实际风险的关键一步。在报告中你不能只说“存在ESC1漏洞”而应该说“存在ESC1漏洞普通用户john可申请以域管理员admin为主体的证书而admin对全部域控拥有完全控制权”。4. 实战案例拆解从枚举到风险确认让我们通过一个虚构但非常典型的场景把上面的步骤串联起来。场景在对corp.local域的内部审计中我们获得了一个普通域用户john的密码。步骤1发现CAcertipy find -u johncorp.local -p Pssw0rd! -dc-ip 192.168.1.1输出显示存在一个名为CORP-DC-CA的CA运行在域控制器dc01.corp.local上。这是一个常见但风险较高的配置CA与DC同机。步骤2枚举并分析漏洞模板certipy find -u johncorp.local -p Pssw0rd! -dc-ip 192.168.1.1 -vulnerable在输出表格中我们发现了一个名为UserESC1的模板Enabled: TrueClient Authentication: TrueEnrollment Rights:Authenticated UsersVulnerabilities:ESC1关键配置在详细输出中CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT标志位为 True且msPKI-Certificate-Name-Flag包含ENROLLEE_SUPPLIES_SUBJECT。这几乎是一个教科书级的ESC1漏洞模板任何经过认证的用户都可以申请一个用于客户端认证的证书并且可以随意指定证书中的主体名称Subject。步骤3构造攻击请求现在我们知道可以攻击这个模板。假设我们想冒充域管理员Administrator。使用Certipy的req子命令来申请证书certipy req -ca CORP-DC-CA -target dc01.corp.local -template UserESC1 -upn Administratorcorp.local -u johncorp.local -p Pssw0rd!-template指定有漏洞的模板名。-upn指定我们想要冒充的用户主体名称User Principal Name这里是域管理员。如果一切配置正确Certipy会为我们成功申请到一个以Administrator身份信息颁发的证书.pfx文件并使用我们自己的账户john的密码保护该PFX文件。步骤4证书身份验证与权限获取拿到证书后我们可以使用它来进行Kerberos认证获取域管理员的TGT票据授予票据certipy auth -pfx administrator.pfx -dc-ip 192.168.1.1这个命令会使用证书中的Administrator身份向域控制器请求Kerberos票据。成功后我们就拥有了域管理员Administrator的访问权限可以执行任何域管理操作例如使用secretsdump.py导出所有域哈希。5. 枚举结果分析与报告撰写要点枚举完成不是终点将技术数据转化为安全团队和决策者能理解的风险报告才是关键。你的报告不应是Certipy命令的堆砌。1. 风险量化与分级严重存在可直接导致域控沦陷的漏洞如ESC1, ESC6且攻击路径清晰利用条件成熟如存在高权限目标账户。高危存在高危漏洞但可能需要额外条件如需要控制特定用户账户才能修改模板ACL的ESC2。中危配置不当但当前无法直接用于提权如模板权限过宽但未启用客户端认证。低危信息性发现如存在不安全的加密算法。2. 报告内容组织执行摘要用一两句话说明最严重的风险例如“发现一个配置错误的证书模板允许任何域用户获取域管理员权限证书”。详细发现以表格形式列出发现的CA和关键模板。对每个高危模板详细说明其配置问题截图Certipy输出关键部分、触发的漏洞类型ESCx、所需的利用条件、以及可能造成的影响可冒充的用户/组及其权限。攻击路径还原像我们上面的实战案例一样描述一个完整的、从低权限用户到获得高权限的攻击链。这能让防御方直观地理解威胁。整改建议立即措施禁用存在ESC1、ESC6等严重漏洞的证书模板。中期加固遵循最小权限原则严格审查所有证书模板的Enrollment Rights和Object Control Rights移除Authenticated Users和Domain Users等过于宽泛的权限。确保任何允许客户端认证的模板其申请权限都被严格限制。长期监控将AD CS配置变更纳入核心安全监控定期使用Certipy等工具进行审计扫描。3. 可视化辅助将Certipy的输出特别是模板权限和漏洞标识与BloodHound等工具的数据结合可以绘制出极具说服力的攻击路径图展示从起点一个普通用户到终点域管理员的完整过程。6. 常见问题排查与操作技巧在实际使用Certipy的过程中你肯定会遇到各种报错和意外情况。这里分享一些我踩过的坑和解决技巧。问题1连接被拒绝或超时症状执行命令后长时间无响应或报错“Connection refused”。排查网络连通性首先用ping和nmap确认到-dc-ip和CA服务器IP的135、445、389端口是否开放。防火墙目标服务器或中间网络设备的防火墙可能阻止了RPC或SMB流量。在企业内网有时需要特定的网络路径。主机名解析如果使用主机名而非IP确保DNS解析正确。可以尝试在命令中直接使用IP地址。CA服务器名-ca参数的值必须是CA的“通用名称”而不是服务器主机名。可以通过certipy find命令准确获取。问题2认证失败症状返回“STATUS_LOGON_FAILURE”或类似错误。排查凭证格式确保用户名、域名、密码正确。特别注意密码中的特殊字符是否需要转义。账户状态确认所用域账户未锁定、未过期。哈希传递如果使用NTLM哈希-hashes参数确保哈希格式正确LMHash:NTHash且适用于该用户。Kerberos认证在某些严格配置的环境中可能需要使用Kerberos认证。可以尝试指定-k参数使用Kerberos并确保你的攻击机时间与域控制器同步ntpdate。问题3证书申请失败模板相关症状在req阶段失败提示权限不足或模板配置问题。排查双重检查模板名-template参数的值必须与枚举出的模板名称完全一致包括大小写。最好直接从certipy find的输出中复制。验证申请权限再次用certipy find确认当前用户是否确实在目标模板的Enrollment Rights列表中。检查模板状态确认模板是“已启用”状态。主体名称格式对于需要指定-upn或-dns的模板确保提供的值符合格式如完整的UPNuserdomain.com。操作技巧使用配置文件如果经常对同一目标测试可以将连接参数如-dc-ip,-ca保存在一个文本文件中通过file.txt的方式引用避免重复输入。# config.txt -dc-ip 192.168.1.1 -ca CORP-DC-CA -u johncorp.local -p Pssw0rd! # 使用命令 certipy find config.txt输出重定向与格式化将详细的枚举结果输出到文件便于分析。certipy find -u ... -p ... -vulnerable -json -output enum_results.json使用-json参数可以输出结构化的JSON数据方便用jq等工具进行二次处理或导入到其他分析平台。结合其他工具Certipy专注于AD CS但完整的AD攻击链可能涉及其他方面。将Certipy发现的“可申请证书的模板”与BloodHound发现的“高价值目标账户”结合能精准定位最具威胁的攻击路径。例如用Certipy找到可滥用的模板再用BloodHound查询哪些用户是“域管理员组”的成员这些用户就是你的证书申请目标-upn。最后要记住Certipy是一个强大的审计和攻击模拟工具。在未经授权的环境中使用是非法且不道德的。它的真正价值在于帮助防御者提前发现并修复自己系统中的薄弱环节在攻击者利用之前筑牢防线。通过本教程的系统性枚举和分析你应该能够像攻击者一样思考AD CS的威胁从而更好地保护它。
双梁正问题 【 torch 实战】（Python代码实现）)
