Active Directory 域服务权限提升漏洞(CVE-2022-26923)

• 声明
• 一、漏洞描述
• 二、影响范围
• 三、Windows Active Directory (AD)
• 四、Active Directory 证书服务
• 五、环境配置
• 六、漏洞复现
• 七、修复方案
• 八、参考链接

本文章仅用于技术学习、安全研究。切勿用于非授权下渗透攻击行为，切记！

Active Directory 域权限提升漏洞 (CVE-2022-26923)允许低权限用户在安装了 Active Directory 证书服务 (AD CS) 服务器角色的默认 Active Directory 环境中将权限提升到域管理员。

受影响的 Windows 版本：

Windows 8.1
Windows 10 Version 1607, 1809,1909, 2004, 20H2, 21H1, 21H2
Windows 11
Windows Server 2008，2012，2016，2019，2022

AD是微软所提供的目录服务(查询，身份验证)，活动目录的核心包含了活动目录数据库，在活动目录数据库中包含了域中所有的对象(用户、计算机、组…..)，活动目录(Active Directory)是面向Windows Standard Server、Windows Enterprise Server以及Windows Datacenter Server的目录服务。

AD不仅用于身份和访问管理，还提供大量服务来帮助您运行和管理您的组织。其中许多服务鲜为人知或使用较少，这意味着在执行安全强化时他们经常被忽视。其中一项服务是Active Directory证书服务(AD CS)。

AD CS 是 Microsoft的公钥基础结构(PKI)实施。由于AD在组织中提供了一定程度的信任，因此它可以用作CA来证明和委托信任。

AD CS用于多种用途，例如加密文件系统、创建和验证数字签名，甚至是用户身份验证，这也给攻击者提供了良好的攻击途径；因证书可以在凭证轮换中幸存下来，这意味着即使重置了受损帐号的密码，也不会使恶意生成的证书无效，从而提供长达10年的持续凭证盗窃！下图显示了证书请求和生成的流程。

实验环境如下:

域控主机(AD)：Windows Server 2016 IP：192.168.20.100
攻击机：KALI IP：192.168.20.102
域内主机：Windows Server 2008 IP：192.168.20.101

Windows Server 2016安装域服务

选择 Active Directory域服务，其他默认即可。


安装完成后，提升为域控制器，开始配置域控。

添加新林 adserver.cn，其他默认，随后下一步。


此时，域控制器已配置好。

Active Directory证书服务

AD CS

下面正式开始安装ADCS服务，只需要注意下面截图的内容，其他都是默认。

服务器管理器–>添加角色和功能向导–>勾选服务器角色–>Active Directory 证书服务



安装完成！

配置ADCS服务，只需要注意下面截图的内容，其他都是默认。


至此全部安装完成！！！

新建低权限AD用户

创建低权限AD用户：zhangsan/ZSpassword@123

配置完成！！！

KALI配置DNS

修改kali的/etc/hosts文件并添加以下条目：

格式为：域控地址 域控机器名.域名 证书名(通过certutil -config - -ping查看）域名 域控机器名字

域内定位CA主机

在域内机器上执行-> certutil -config - -ping

测试证书生成

首先使用用户证书模板为我们的低权限AD用户 (Username=zhangsan、Password=ZSpassword@123) 生成证书：
使用工具：Certipy 下载地址：https://github.com/ly4k/Certipy

验证此证书是否有效

可以看到显示了用户的Hash值。

创建机器账户到域

使用bloodyAD工具来创建机器账户。

查看ms-DS-MachineAccountQuota属性

如果ms-DS-MachineAccountQuota>0就可以创建机器帐户

这里我们使用这款工具：bloodyAD
下载链接：https://github.com/CravateRouge/bloodyAD

在LDAP中创建一个机器帐户

更新机器帐户的DNS Host Name

这里可以使用工具 ADexplorer
将机器帐户的 DNS Host Name 改为域控的 WIN-DI3Q16DMV8K.adserver.cn

查看属性，是否成功更改了DNS Host Name


伪造恶意证书

运行Certipy生成机器证书，可以看到 DNS Host Name 已经变成了 WIN-DI3Q16DMV8K.adserver.cn

再次验证证书是否有效，成功获取到哈希：

转储所有用户哈希

这里使用 impacket 的 secretsdump.py 来dump哈希

由于域控制器账户拥有所需特权，我们可以设置环境变量 KRB5CCNAME，通过 impacket 套件中的 secretsdump.py 使用该票据，并执行 DCSync 来转储域用户哈希，如下图所示。

此外，我们可以通过 Kerberos 的 S4U2Self 扩展协议，使用已获取的域控 TGT 为域管理员用户申请针对域控上其他服务的的 ST 票据。这里我们借助 Dirk-jan Mollema（@dirkjanm）的 PKINITtools 工具来操作，请求的是域控制器的 CIFS 服务，如下图。

然后，我们可以通过设置环境变量 KRB5CCNAME 来使用获取到的 Administrator 用户的票据，并通过 smbexec.py 获取域控制器的最高权限，如下所示。

1、补丁地址:https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26923

2、新证书中引入了新的对象 ID (OID)，以进一步对用户进行指纹识别。这是通过在新的szOID_NTDS_CA_SECURITY_EXT OID 中嵌入用户的 objectSid 来完成的。

3、"验证写入DNS主机名"权限现在只允许您将 DNSHostname 设置为与 SAM 帐户名或计算机帐户匹配的属性，这意味着它不能用于欺骗其他主机的帐户名。

4、确保您的证书模板受到限制。仅在需要时才允许机器和用户自动注册。否则，通过安全配置，可以减少这些模板的权限。

5、如果没有允许用户将主机注册到 AD 的商业案例，请将所有不应注册新主机的帐户的 MS-DS-Machine-Account-Quota 属性更改为 0。然而，这并不能解决问题，因为攻击者只需获得对单个加入域的主机的管理访问权限，就可以执行证书请求。

https://whoamianony.top/certifried-active-directory-domain-privilege-escalation/
https://mp.weixin.qq.com/s/AuPajld1K7N5alAkgMZNfA
https://www.sohu.com/a/546699064_121332157