certsync后续利用路径从Dump出的NT/LM哈希到域权限提升的完整指南【免费下载链接】certsyncDump NTDS with golden certificates and UnPAC the hash项目地址: https://gitcode.com/gh_mirrors/ce/certsynccertsync 是一款免 DRSUAPI 的远程 NTDS 转储工具它利用黄金证书 UnPAC the hash 技术把整个域的 NT/LM 哈希一次性 Dump 出来。本文聚焦后续利用拿到 certsync 输出的哈希清单后如何一步步从普通域账号走到域管理员Domain Admin——涵盖 Pass-the-Hash、Overpass-the-Hash、金票据Golden Ticket与 RBCD 四条完整路径并附检测与防御要点。一、先读懂 certsync 的输出NT/LM 哈希格式certsync 跑完后每行输出一条域/账号:RID:LM哈希:NT哈希记录核心逻辑见 certsync/entry.py 中的User.to_str()ESSOS.LOCAL/Administrator:500:aad3b435b51404eeaad3b435b51404ee:54296a48cd30259cc88095373cec24da::: ESSOS.LOCAL/BRAAVOS$:1104:aad3b435b51404eeaad3b435b51404ee:08083254c2fd4079e273c6c783abfbb7::: 三个关键点aad3b435b51404eeaad3b435b51404ee是 LM 哈希的已禁用占位符说明目标域已关闭 LM 协议后续利用只需关注 NT 哈希RID 为500的Administrator、以及形如机器名$的计算机账号通常是后续提权的高价值目标计算机账号$结尾的 NT 哈希可直接用于 RBCD无需任何额外权限。二、拿到哈希后4 条域权限提升路线路线 1Pass-the-Hash 横向移动最快落地NT 哈希可以替代密码直接通过 SMB 认证。拿到任意高权限账号的哈希后可直接以哈希登录目标机器执行命令、上传文件这是最常规的横向手段。 小技巧certsync 自身的-hashes LMHASH:NTHASH参数就支持哈希登录后续复测可直接用第一步 Dump 出的哈希再次运行验证权限变化。路线 2Overpass-the-Hash 换取 Kerberos 票据当目标环境以 Kerberos 为主如需要访问文件共享、SQL 服务等时可用 TGS-REP 请求将 NT 哈希洗成一张真正的 Kerberos 票据绕过密码直接取 TGT比纯 SMB PtH 更隐蔽。路线 3金票据 Golden Ticket 直捣域控如果第一步 Dump 出了krbtgt账号的 NT 哈希通常藏在 DC 机器的计算机账号或 krbtgt 条目中就可以离线伪造一张任意主体的 TGT——包括 Domain Admins 组里的账号。伪造一张有效期 10 年的 DA 金票据等于拿到了永不失效的域管凭证这是从 certsync 输出中优先级最高的一步先在清单里搜krbtgt命中即直接跳到域管。路线 4RBCD 资源委派持久化 域管ADCS 环境certsync 的前提本身就要求存在企业 CA通常意味着可以玩 RBCD用任意计算机账号哈希清单里现成有通过 DCERPC 设置msDS-AllowedToActOnBehalfOfOtherIdentity伪造目标为krbtgt的 S4U2Self/S4U2Proxy 票据获得 krbtgt 等效权限再结合 CA 证书申请如 ESC1/ESC8 路径可实现不落地凭证的持久化域管。RBCD 的最大优势不依赖 DC 本地权限全程远程且计算机账号哈希在 certsync 的输出里已经全部拿到。三、完整利用路径最小步骤清单 从普通域账号到域管的推荐顺序步骤动作依据1certsync 全量 Dump NT/LM 哈希项目入口 certsync/entry.py用法见 README.md2在输出中定位krbtgt与计算机账号哈希决定走金票据还是 RBCD3用高价值账号哈希做 PtH 横向获取 DC 或关键业务主机立足点为后续 RPC/ADCS 操作铺路4有 krbtgt 哈希 → 伪造金票据无 → 走 RBCD 拿 krbtgt 等效票据两条路殊途同归5以域管身份写入 GPO/AD 对象实现持久化收口结束环境准备只需一行安装详见 pyproject.toml依赖 certipy-adgit clone https://gitcode.com/gh_mirrors/ce/certsync cd certsync pip install .四、防御视角如何发现这种哈希滥用certsync 走的是 PKINIT 而非 DRSUAPI传统监听 DCERPC 复制 NTDS的告警会完全漏报。建议关注事件 4768/4769大量异常主体的 TGT 请求、非工作时间批量认证对应 PKINIT 风暴事件 4672/4768 的 logon type 42Kerberos 预认证异常集中出现ADCS 侧短时间内出现大量序列号相同、密钥相同的证书伪造特征可核对 CRL 与证书模板哈希落地侧DC 上krbtgt$与计算机账号哈希一旦被批量使用SMB 认证日志4624 type 3会暴露横向路径。五、常见问题FAQQ为什么部分用户 Dump 失败A已吊销Revoked的用户无法 PKINITcertsync 会跳过见 README.md 的 Limitations 一节。Q必须拥有域管吗A不需要。certsync 只需是 ADCS 服务器的本地管理员或已导出 CA 私钥这正是它比 DRSUAPI 路径更低权限的原因。QDump 出的 LM 哈希全是 aad3b435... 正常吗A正常说明域已禁用 LM 协议直接使用 NT 哈希即可。 总结certsync 的价值不止于远程 NTDS这一步——它的输出清单本身就是一张域权限提升的地图krbtgt 哈希指向金票据计算机账号哈希指向 RBCD高价值账号哈希指向 PtH 横向。看懂输出、按优先级排序利用就是完整的打点路径。【免费下载链接】certsyncDump NTDS with golden certificates and UnPAC the hash项目地址: https://gitcode.com/gh_mirrors/ce/certsync创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考