本技能是一份 AD CS（Active Directory Certificate Services，活动目录证书服务）攻击手册，用于在渗透测试中针对配置错误的 AD CS 进行权限提升与持久化。资料以专家指南形式组织，涵盖 ESC1 至 ESC13 的利用条件、命令与检测指标，并强调基础模型容易忽略注册前置条件链与 ESC 条件组合。
一、用途 该手册用于指导安全测试人员识别并利用 AD CS 中的错误配置，通过证书模板滥用、CA 配置缺陷、NTLM 中继等方式获取高权限账户的证书，进而完成 Kerberos 认证、横向移动或持久化。
二、主要能力
- 枚举：使用 Certipy（certipy find -vulnerable）或 Windows 上的 Certify.exe 枚举 CA、证书模板与漏洞；也可通过 LDAP 查询模板属性。
- ESC1：模板允许注册者指定 SAN 且具备客户端认证 EKU 时，可申请管理员 UPN 的证书。
- ESC2：模板具有 Any Purpose EKU 或无 EKU（从属 CA 证书）时，利用方式同 ESC1。
- ESC3：存在注册代理模板且另一模板允许代他人注册时，先申请代理证书，再以管理员身份代注册。
- ESC4：低权限用户对模板对象有写权限时，可将模板修改为 ESC1 可利用状态，利用后恢复原配置。
- ESC6：CA 启用 EDITF_ATTRIBUTESUBJECTALTNAME2 标志时，任意模板均可指定 SAN。
- ESC7：用户拥有 CA 的 ManageCA 或 ManageCertificates 权限时，可启用 SubCA 模板并批准待处理请求。
- ESC8：CA 的 HTTP 注册端点（certsrv）未强制 HTTPS 时，可通过 NTLM 中继获取域控证书。
- ESC9/ESC10：域控证书映射较弱（StrongCertificateBindingEnforcement 或 CertificateMappingMethods 配置不当）时，通过 UPN 操纵实施冒充。
- ESC11：CA 的 RPC 接口未启用加密时，可将 NTLM 中继至 RPC 注册。
- ESC13：模板的签发策略 OID 与某组关联时，证书可授予该组成员身份。
- 持久化：获取 CA 私钥后可伪造任意证书（黄金证书），有效期至 CA 证书过期或私钥轮换；Windows 上可用 ForgeCert。
三、使用方式 资料提供 Certipy、Certify、ntlmrelayx、PetitPotam、ForgeCert 等工具的具体命令示例，包括枚举、申请证书、认证、修改模板、中继、备份 CA 私钥与伪造证书等步骤。使用前建议按需加载相关技能：active-directory-acl-abuse（ESC4 模板修改）、active-directory-kerberos-attacks（获得证书后的 Kerberos 技术）、ntlm-relay-coercion（ESC8 中继）、windows-lateral-movement（利用证书横向移动），以及 ADCS_ESC_MATRIX.md 快速参考表。
四、适用场景 适用于授权渗透测试、红队评估与 AD CS 安全审计，帮助测试人员系统化地发现并利用证书服务配置缺陷，评估域环境权限提升与持久化风险。
五、限制 资料未提供具体收费、价格、平台支持范围或效果保证等信息；所有技术均需在合法授权范围内使用。部分利用依赖特定前置条件（如模板权限、CA 标志、注册端点配置），实际可用性取决于目标环境。