简介：

AD CS(Active Directory 证书服务)中的企业CA使用证书模板定义设置颁发证书，这些证书模板是注册策略和预定义证书设置的集合，并包含诸如此证书的有效期是多长?、证书的用途是什么?、主题是如何指定的?、谁可以申请证书?，以及无数其他设置。证书模板有一组特定的设置，这使得它们非常容易受到攻击。

ESC1原理：

当证书模板允许指定subjectAltName时，就可以为另一个用户请求证书。如果EKU指定客户端身份验证或ANY，则可以将其用于特权升级。

ESC1利用条件：

ESC1要成功利用要满足以下几点（最主要是前3点）
1、需要有权限去注册证书
2、能够登记为客户端身份验证或智能卡登录等
3、CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT开启，也就是证书模板允许请求者在 CSR 中指定一个SAN(subjectAltName)
4、颁发 CA 授予低权限用户请求权限 (默认)
5、模板中 CA 管理员审批未启用 (默认)
6、模板中不需要授权的签名 (默认)

ESC1漏洞环境配置：

首先进入证书颁发机构

选中证书模板，右键管理

接着创建一个具有以上3个利用条件的证书模板
选中工作站身份验证

右键复制模板
模板命名为ESC1

扩展中的应用程序策略中加入客户端身份认证

接着在安全中加入注册权限
这里可以直接给Authenticated Users组或者domain users组赋予注册权限

使用者名称中选择在请求中提供

保存后，我们在证书颁发机构证书模板上右键颁发

这样，我们得ESC1漏洞环境就搭建完成了

ESC1漏洞复现：

这里用来检查证书配置需要用到一款工具Certify
https://github.com/GhostPack/Certify
编译完成后一般是一个exe和一个dll

把他传到域内机器上
执行命令

Certify.exe find /vulnerable

C:\Users\zhangsan\Desktop>Certify.exe find /vulnerable

   _____          _   _  __
  / ____|        | | (_)/ _|
 | |     ___ _ __| |_ _| |_ _   _
 | |    / _ \ '__| __| |  _| | | |
 | |___|  __/ |  | |_| | | | |_| |
  \_____\___|_|   \__|_|_|  \__, |
                             __/ |
                            |___./
  v1.1.0

[*] Action: Find certificate templates
[*] Using the search base 'CN=Configuration,DC=test,DC=com'

[*] Listing info about the Enterprise CA 'test-CA-CA'

    Enterprise CA Name            : test-CA-CA
    DNS Hostname                  : CA.test.com
    FullName                      : CA.test.com\test-CA-CA
    Flags                         : SUPPORTS_NT_AUTHENTICATION, CA_SERVERTYPE_AD
VANCED
    Cert SubjectName              : CN=test-CA-CA, DC=test, DC=com
    Cert Thumbprint               : D4794268C1A11EB6877159494DBEDA10B660F003
    Cert Serial                   : 23DF32EB2D08A38247F914CC783027BF
    Cert Start Date               : 2023/2/1 10:03:05
    Cert End Date                 : 2028/2/1 10:13:04
    Cert Chain                    : CN=test-CA-CA,DC=test,DC=com
    UserSpecifiedSAN              : Disabled
    CA Permissions                :
      Owner: BUILTIN\Administrators        S-1-5-32-544

      Access Rights                                     Principal

      Allow  Enroll                                     NT AUTHORITY\Authenticat
ed UsersS-1-5-11
      Allow  ManageCA, ManageCertificates               BUILTIN\Administrators
      S-1-5-32-544
      Allow  ManageCA, ManageCertificates               TEST\Domain Admins
      S-1-5-21-295968744-3078858767-2203154064-512
      Allow  ManageCA, ManageCertificates               TEST\Enterprise Admins
      S-1-5-21-295968744-3078858767-2203154064-519
    Enrollment Agent Restrictions : None

[!] Vulnerable Certificates Templates :

    CA Name                               : CA.test.com\test-CA-CA
    Template Name                         : ESC1
    Schema Version                        : 2
    Validity Period                       : 1 year
    Renewal Period                        : 6 weeks
    msPKI-Certificate-Name-Flag          : ENROLLEE_SUPPLIES_SUBJECT
    mspki-enrollment-flag                 : NONE
    Authorized Signatures Required        : 0
    pkiextendedkeyusage                   : 客户端身份验证
    mspki-certificate-application-policy  : 客户端身份验证
    Permissions
      Enrollment Permissions
        Enrollment Rights           : NT AUTHORITY\Authenticated UsersS-1-5-11
                                      TEST\Domain Admins            S-1-5-21-295
968744-3078858767-2203154064-512
                                      TEST\Domain Computers         S-1-5-21-295
968744-3078858767-2203154064-515
                                      TEST\Enterprise Admins        S-1-5-21-295
968744-3078858767-2203154064-519
      Object Control Permissions
        Owner                       : TEST\Administrator            S-1-5-21-295
968744-3078858767-2203154064-500
        WriteOwner Principals       : TEST\Administrator            S-1-5-21-295
968744-3078858767-2203154064-500
                                      TEST\Domain Admins            S-1-5-21-295
968744-3078858767-2203154064-512
                                      TEST\Enterprise Admins        S-1-5-21-295
968744-3078858767-2203154064-519
        WriteDacl Principals        : TEST\Administrator            S-1-5-21-295
968744-3078858767-2203154064-500
                                      TEST\Domain Admins            S-1-5-21-295
968744-3078858767-2203154064-512
                                      TEST\Enterprise Admins        S-1-5-21-295
968744-3078858767-2203154064-519
        WriteProperty Principals    : TEST\Administrator            S-1-5-21-295
968744-3078858767-2203154064-500
                                      TEST\Domain Admins            S-1-5-21-295
968744-3078858767-2203154064-512
                                      TEST\Enterprise Admins        S-1-5-21-295
968744-3078858767-2203154064-519

Certify completed in 00:00:00.6992794

主要看这儿