技能介绍

要解决的问题

在 AD 域渗透中，拿到一个低权限域用户后，常见的下一步路径是 Kerberos 攻击或 ACL 滥用，但很多人会忽略证书服务（AD CS）这条线。问题在于：基础模型面对 AD CS 时往往无法还原完整的前置条件链条，ESC1 到 ESC13 每种手法都依赖特定的模板配置、EKU 设置、权限组合或 CA 标志位，条件记错一个就可能得出错误结论。本技能解决的就是这种「条件记忆不完整导致攻击路径判断失真」的问题。

核心能力与工作方式

攻击条件矩阵。 技能覆盖 ESC1 至 ESC13 全部变体，每种手法都给出三个关键要素：触发条件、影响范围和对应工具命令。例如：

ESC1：模板允许注册者指定 SAN + 客户端认证 EKU + 低权限注册
ESC6：CA 启用 EDITF_ATTRIBUTESUBJECTALTNAME2 标志，任何模板直接升级为 ESC1
ESC8：CA 暴露 HTTP 注册端点且未强制 HTTPS，可做 NTLM 中继
ESC13：签发策略 OID 关联到组，证书直接授予组成员身份

前置条件链条。 复杂 ESC 手法往往需要多步准备，例如 ESC4（模板 ACL 篡改）依赖对证书模板对象的写权限，技能在开头提供路由指引，提示先加载 active-directory-acl-abuse 完成前置步骤，再进入 ESC 利用阶段。

证书持久化路径。 拿到 CA 私钥后可伪造任意证书（Golden Certificate），有效期直到 CA 证书过期或私钥轮换；也覆盖 ForgeCert（Windows）等伪造工具的使用场景。

决策树驱动。 末尾的 AD CS 攻击决策树按前置条件逐层分流，帮助你在枚举结果基础上快速定位可行路径。

适用边界与注意点

技能本身不包含 AD CS 架构详解和枚举章节的完整正文，需要配合实际环境的模板枚举结果使用
高级参考 ADCS_ESC_MATRIX.md 需在需要快速查表时单独加载，包含每个 ESC 的一行利用命令和检测指标
证书相关横向移动（如用获取的证书做 Kerberos）需要加载配套技能 active-directory-kerberos-attacks 和 windows-lateral-movement
所有攻击路径均基于 misconfiguration，实际环境中模板和 CA 配置的差异会直接影响结果，不要把条件清单当作普适结论