用途：面向 Active Directory Certificate Services（ADCS）的证书攻击方法论，适用于域内存在 CA 服务器、ADCS Web Enrollment 或证书模板配置错误的场景，目标是利用错误配置的模板获取域管权限。
主要能力：覆盖 ESC1-ESC11 各证书滥用路径，包括模板允许申请者指定 SAN（ESC1）、Any Purpose/SubCA（ESC2）、Certificate Request Agent（ESC3）、模板写权限（ESC4）、CA 启用 EDITF_ATTRIBUTESUBJECTALTNAME2（ESC6）、CA 管理员权限（ESC7）、Web Enrollment 配合 NTLM 中继（ESC8）以及 ESC9/10/11 新型路径；还涉及 Certifried（CVE-2022-26923）机器账户证书欺骗、Golden Certificate、Schannel 认证与持久化。
使用方式：先用 netexec 的 adcs 模块或 certipy find 枚举 CA 与漏洞模板，也可用 ldapsearch 手动查询 Enrollment Services；再按决策树选择路径。ESC1 常见利用为 certipy req 申请域管证书，certipy auth 获取 TGT 并提取 NTLM Hash，随后用 impacket-secretsdump 做 DCSync。ESC8 则用 ntlmrelayx.py 中继到 certsrv，配合 PetitPotam 强制域控认证，再 certipy auth 认证。若 PKINIT 不可用，可用 certipy auth -ldap-shell 或 PassTheCert 进行 Schannel 认证。
适用场景：授权渗透测试与红队评估中的域权限提升与持久化。
限制：资料未提供具体授权要求、版本兼容性、成功率或防御规避细节；部分命令依赖目标环境中的 CA 名称、模板名与凭据，需按实际替换。