⚠️ ESC4 — это эскалация привилегий в домене за счет уязвимой настройки прав доступа (ACL) на объекте шаблона сертификата в AD CS. Если в списке управления доступом шаблона есть записи, позволяющие непривилегированным пользователям изменять свойства этого шаблона, злоумышленник может модифицировать шаблон сертификата и тем самым привнести в него опасные настройки.
Атакующий с некорректно выданными правами на шаблон сам делает его уязвимым, внося изменения, а затем эксплуатирует их.
🔥Неправильный ACL шаблона сертификата.
🔥 Возможность выпуска сертификата.
🔥 Аутентификация в домене
Реализация
1.Надо найти шаблон с правами
➡️WriteProperty — изменение параметров шаблона.
➡️ WriteDACL — изменение прав доступа.
➡️ WriteOwner — смена владельца.
➡️ GenericAll, GenericWrite, Full Control — полный или почти полный контроль.
2.Далее злоумышленник редактирует свойства шаблона ESC4, чтобы сделать его небезопасным. Тут может быть возможно включить флаг CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT и провести дальше ESC1

---
Dfir.exe 👁

1️⃣ Событие Event ID 4899 изменение шаблона
2️⃣ Анализ события Event ID 4900 изучение прав которые теперь доступны.
3️⃣ По событию Event ID 4898 можно написать сигма правило условно для chainsaw чтоб сканировать журналы и выявлять уязвимые шаблоны, что потенциально уже может быть проанализировано. В таком случае правило должно анализировать Security Descriptor и давать алерт на потенциально уязвимый к атаке ESC4 шаблон.
*️⃣В ресерче от BI.ZONE так же описано что есть настройка позволяющая генерировать события Event ID 4662 и 5136, но глядя на реалии атаки и так достаточно продвинутые, а вероятность что у заказчика такое будет настроено мала. Но как факт. Если данная настройка все же включена - можно на всякий в правило вписать и это. Впрочем грепнуть по достаточно специфичным номерам ивентов тоже не долго и в ручную. Другое дело что атака не частая и чтоб не пропустить я б задумался о написании правила.
4️⃣Ну и наличие утилит типа certipy,cerify и rubius заставит задуматься.

---
ESC2 и ESC3 я пропустил, универсальных детектов под них нет, нужно изучать события и исходить из ситуации.

---
Полезные источники:
- Все тот же ресерч Бизонов https://bi.zone/expertise/active-directory-certificate-services/
- У этого я не нашел паблик ресерчей
- Вообще подтверждения что данный мисконфиг в реал лайфе юзали.
- https://book.hacktricks.wiki/en/windows-hardening/active-directory-methodology/ad-certificates/domain-escalation.html

Процесс прямого подключения к RDP с включенной функцией NLA

NLA, или аутентификация на сетевом уровне, — это метод аутентификации, при котором пользователь проходит проверку подлинности с помощью хешированных учетных данных, передаваемых по протоколу RDP. Вместо того чтобы передавать учетные данные в открытом виде, перед отправкой на сервер они подвергаются ряду вычислений. Затем сервер выполняет те же вычисления со своей (возможно, хешированной) копией учетных данных пользователя. Если данные совпадают, пользователь проходит аутентификацию.

Согласно статье Microsoft, процесс RDP-подключения с NLA состоит из 8 шагов:

1️⃣Клиент запрашивает Kerberos-тикет у AD
2️⃣TCP-подключение к RDSH на порт 3389
3️⃣NLA-аутентификация через CredSSP (пользователь аутентифицируется до создания сессии)
4️⃣Проверка RDS CAL (лицензия) у License Server
5️⃣License Server обращается к AD
6️⃣License Server отвечает RDSH
7️⃣RDSH запрашивает Kerberos-токен для сессии
8️⃣Пользователь получает рабочий стол

При включенной NLA у вас фиксируется сначала вход logon 3. https://port139.hatenablog.com/entry/2019/04/07/210045
Интересно, и что?
Оказывается что такие инструменты как NLA для брута RDP чаще всего останавливаются именно на этом шаге. То есть у нас не появляется вход по интерактивно сессии. https://blog.plainbit.co.kr/nlbrute-with-event-logs/
От себя могу добавить, что если это был первых вход - то как правило появятся папки пользователя, будут созданы UsrClass.dat, ntuser.dat. А вот чего мы не увидим - так это активности в UserAssist.
UserAssist — это ключ реестра внутри NTUSER.DAT, который ведёт подсчёт запусков программ через Windows Shell (Explorer.exe). Он обновляется только когда пользователь (или программа от его имени) запускает что-то через графическую оболочку - ярлыки, элементы меню Пуск, панель задач и т.д.
То есть у нас будут временные метки shellbag, но не будет активности в UserAssist. Справедливо только для случаев когда пользователь впервые проходил аутентификацию на хосте.

В ситуации когда атакующий зачистил журналы windows такая аномалия может стать для нас аргументом что RDP-так сказать сбрутили как дешевку. 🇷🇺

Поговаривают, что Bug$Zone 7.0 я выиграл получается.
В любых условиях забрать призовой на чем-то таком безусловно очень приятно, спасибо всем за поздравления, с кем-то мы общаемся заметно реже и неожиданно, и приятно получать поздравления. Помнят 🤝.
Че по ивенту - слышал разные мнения про скоуп. Но тут у нас все как обычно, у бб есть 2 основополагающие проблемы: Вендора что не правы в глазах хантеров и хантеры не правые в глазах вендора - в такой системе взаимообьюза с счастливыми моментами конфетно букетных периодов мы живем. Так что это нормально.

Чуть про багс. Bug$ Zone - это приватный ивент Bugbounty BI.ZONE. Условием участия является топ 25 сезона. Топ сезона, как и правила победы на самом багсе определяются количеством баллов полученных за отчет. То есть сдав одну критическую уязвимость за очень большие деньги ты очень не факт войдешь в топ.

На самом ивенте ждут вендора с приватным скоупом, не редко новым и иногда с повышенными выплатами - участие в таких ивентах для хантеров важно.

Что по ощущениям - недавно была годовщина в 1 год от того как я пришел на бб, о том как это было я не раз говорил. Чувства когда ты год назад на Уральском форуме подходишь к какому-то типу в пиджаке и он затирает тебе за какое-то багбаунти и через год ты выигрываешь такой ивент - конечно значимо. Так же введу очень прозрачной системы рейта(читайте доку) можно сказать что фактически выйграть в багсе может любой и это круто. Ждем афтепати багзона в Краснодаре:) 🪲

CPTS в 2026 году?

Короче, тут решил пройти пару сертификатов. Из международных начальных с понятным чейном выполнения — Certified Penetration Testing Specialist.
Ну а учитывая, что у меня есть много ребят тут, которые в начале пути, думаю, вам интересно будет.

Этапы:
🔵Прохождение курса
🔵Сдача экзамена

1️⃣ Этап с прохождением курса — это самое лучшее в этой процедуре. Обучение прям с 0: вы можете никогда в жизни веб-таски не решать и не слышать, что такое Active Directory, — и вы будете нормально себя ощущать при прохождении курса. В общем, как обучение — точно да. По цене 8 долларов за подписку в месяц, если у вас есть студенческая почта. Да, HTB всё ещё принимает ру-почты. Если попотеть за месяц, можно пробежаться; Для большинства предлагаю расчитывать на 2-3. Если её нет — то всё сильно хуже, ибо чтобы пройти полный путь, надо около 1500–2000 кубов (внутренняя валюта) — это около 200$. Ещё вариант: Silver-подписка, 18$ без tax в месяц, которая даёт 200 кубов и какие-то ещё плюшки.
Или взять сразу пакет, что даст обучение + сдача базового серта + серт на выбор за 450$. Сдача серта отдельно также выходит 210-250$.
При покупке студенческой подписки все модули обучения из основных сертов бесплатны.
В общем, если вы чуть шарите в IT и хотите стать пентестером — обучение точно рекомендую.

2️⃣Сдача серта.
«Будь проклят тот день, когда я сел за баранку этого пылесоса» — эту фразу я держал в голове на протяжении всей сдачи серта.
Но об этом чуть позже.
Что из себя представляет сдача серта? Вам дают VPN или Pwnbox, IP DMZ, и ваша задача — разными способами найти уязвимость(и) и получить доступ внутрь, попутно собирая флаги. На данный момент для успешной сдачи необходимо получить 12 флагов из 14. Формат — black box. 12 флагов — это получение контроля над DMZ, хостами доменов и контроллерами двух внутренних доменов. На это даётся 10 суток, за которые вы должны не только атаковать, но и написать отчёт о тестировании.
Всё бы ничего, но. Как вы думаете, что могло помешать мне, кроме меня самого?
- VPN и сеть тачки в целом.
То есть представьте: вы пробили тачку, но не можете пропивотиться дальше просто потому, что сеть мертвая. Короче, я 8 раз пересоздавал инфру, и первые пару хостов пробивались столько раз, что мне уже больно на них смотреть. В поддержке скажут, что мол VPN TCP поставьте. Не знаю, как это должно помочь Pwnbox, который стоит в их инфре и с VPN не связан, — но окей. По итогу закрыть 12 флагов я смог ровно к концу и еле успел накидать отчёт и за 2 минуты до конца загрузить.

⚠️Рекомендации по сдаче:
Выделяйте себе 10 дней так, чтобы вас вообще никто и ничто не трогало.
Если вы тратите слишком много времени на раскрутку вектора (уязвимости или байпаса) — то это, скорее всего, не канон.
Готовьтесь к траблшутингу инструментов.
Записывайте сразу результативные чейны, чтобы в отчёте не вспоминать, и скриньте сразу всё.
Я использовал Mythic и Ligolo-ng — как по мне, наиболее эффективно себя показали.

👤 Ещё чуть о сертах в целом.
Нужны ли они? Ну, может быть, в целом на начальных этапах легче пройти HR и, может быть, там какие-то организационные истории про лицензирование деятельности. В целом есть куча крутых спецов без сертов, и им норм. Эта культура больше зарубежная. Так что кому кайф — те и сдают.

🧑‍💻ps: Видео это я багфикшу и недоумеваю, зачем я на это подписался.
🧑‍💻ps2: Я ещё что-нибудь сдам скоро.