用途：在获得授权的域环境中，通过 AD CS 配置缺陷从普通域用户提权至域管理员，或实现持久化。仅用于获得授权的测试。
主要能力：先用 certipy find -u user@domain.local -p 'Password' -dc-ip 10.0.0.10 -vulnerable -stdout 枚举脆弱模板与 CA，Windows 下可用 Certify.exe find /vulnerable 与 Certify.exe cas。覆盖的路径按缺陷类型分组：模板配置类（ESC1 请求者自定主题、ESC2 Any Purpose EKU、ESC3 证书请求代理、ESC9 缺少 SID 扩展、ESC15 v1 模板应用策略注入）；访问控制类（ESC4 对模板有写权限、ESC5 对 PKI 对象有写权限、ESC7 CA 上的 ManageCA/ManageCertificates）；CA 配置类（ESC6 设置 EDITF_ATTRIBUTESUBJECTALTNAME2、ESC16 全域禁用安全扩展）；中继类（ESC8 基于 /certsrv 的 NTLM 中继、ESC11 无包完整性的 ICertPassage RPC）；证书映射类（ESC10 弱映射注册表值、ESC13 与组关联的颁发策略、ESC14 对 altSecurityIdentities 有写权限）。典型利用：certipy req 以管理员 UPN 申请证书，certipy auth -pfx administrator.pfx -dc-ip 10.0.0.10 获取 TGT 与 NT 哈希；ESC4 用 certipy template 的 -save-old 备份、用完立即还原。
限制与注意：强证书绑定（KB5014754）后，StrongCertificateBindingEnforcement 为 2 时 ESC9、ESC10 与 Certifried 失效，ESC1、ESC4、ESC6、ESC8 不受影响；可用 reg query 检查该值。证书在有效期内不受密码重置影响，唯一补救是吊销；窃取 CA 私钥可离线伪造证书。ESC4 修改模板后必须还原并记录时间戳。其他 AD 攻击、委派滥用、Entra ID、检测工程不属本技能范围。报告时需明确说明密码重置不能补救，须吊销证书。ATT&CK 覆盖 T1649。资料未提供具体平台支持与收费信息。