文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

深入分析CVE-2022-26923 ADCS权限提升漏洞

网络设备注册服务(NDES)：通过该组件，路由器、交互机和其他网络设备可从ADCS获取证书 证书颁发机构Web注册：该组件提供了一种用户使用未加入域或运行Windows以外操作系统的设备的情况下颁发和续订证书的方法...证书注册Web服务(CES)：该组件用于运行Windows的计算机和CA之间的代理客户端。...CES使用户、计算机或应用程序能够通过使用Web服务连接到CA： 请求、更新和安装办法的证书 检索证书吊销列表(CRL) 下载根证书 通过互联网或跨森林注册 为属于不受信任的ADDS域或未加入域的计算机自动续订证书...但是在域中基本都是使用企业CA，因为企业CA可以和活动目录域服务ADDS进行结合，其信息也存储在Active Directory数据库中。企业CA支持基于证书模块创建证书和自动注册证书。...，可以直接通过Windows自动更新解决以上问题，也可以手动下载更新补丁程序进行安装。

6.2K20

基于无线场景的企业认证802.1x域控环境方案（2）认证篇

这里服务器定义是有两个，一个NPS/CA服务器，一个域控服务器，之前我们已经把NPS/CA加入域了，也安装了服务，首先我们来配置NPS服务。...首先是加入了域的，但是这里要注意一个事情，比如我们用的xxx用户加入域跟登陆的，那么这个账户需要加入一个组，加入RSA and IAS Servers。...在AD中注册服务器 注册后，这样NPS加上登陆的帐号就有读取用户的属性权限了。 ISA组里面多了一个计算机的，就是刚刚我们注册的时候自动加入的。...测试验证 跟独立一样，Windows自动搜索的不行，必须手动添加 点击更改设置 设置 这个沟去掉 高级设置 输入用户名信息 这是因为我们服务器的证书是自己的，并且不是买的公有的，所以会提示不信任，...（Windows日志主要安全里面---任务类别是Network policy server这个） 8、关于服务器证书，这里是CA与NPS装在一起，默认已经生成了一个服务器的证书，而且有效期是10年。

82610
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Certified Pre-Owned

    证书颁发机构 Web 注册 此组件提供了一种在用户使用未加入域或运行 Windows 以外的操作系统的设备的情况下颁发和续订证书的方法。...证书注册 Web 服务 (CES) 此组件用作运行 Windows 的计算机和 CA 之间的代理客户端。...为属于不受信任的 AD DS 域或未加入域的计算机自动续订证书。 证书注册策略 Web 服务 该组件使用户能够获取证书注册策略信息。...结合CES，它可以在用户设备未加入域或无法连接到域控制器的场景中实现基于策略的证书注册。 常见的CA 层次结构 常见的CA 层次结构有两个级别，根 CA 位于顶级，下级 CA 在第二级颁发。...辅助域控搭建 这里使用的是windows server 2012做辅助域控 从主域复制 ESC1复现-域管理员的提权 攻击路径 如果攻击者可以在证书服务请求 （CSR） 中指定主题替代名称 （SAN

    2.3K20

    域的搭建和配置

    如图所示： 如图所示，提示加入域成功！然后重启电脑即可！ 注：当计算机加入域后，系统会自动将域管理员组中的用户添加到本地管理员组中。...网络设备注册服务(NDES)：通过该组件，路由器、交互机和其他网络设备可从ADCS获取证书 证书颁发机构Web注册：该组件提供了一种用户使用未加入域或运行Windows以外操作系统的设备的情况下颁发和续订证书的方法...证书注册Web服务(CES)：该组件用于运行Windows的计算机和CA之间的代理客户端。...CES使用户、计算机或应用程序能够通过使用Web服务连接到CA： 请求、更新和安装办法的证书 检索证书吊销列表(CRL) 下载根证书 通过互联网或跨森林注册 为属于不受信任的ADDS域或未加入域的计算机自动续订证书...如图所示： 勾选“证书颁发机构”和“证书颁发机构Web注册”，然后点击下一步。如图所示： 勾选“企业CA(E)”，然后点击下一步。如图所示： 勾选“根CA(R)”，然后点击下一步。

    4.7K30

    Active Directory 域服务特权提升漏洞 CVE-2022–26923

    从本质上讲，该漏洞允许普通域用户在通过 Active Directory 证书服务 (AD CS) 服务器将权限提升到域管理员。 用户可以根据预定义的证书模板请求证书。...在AD CS中会预定义一些证书模板，用户可以根据预定义的证书模板请求证书 这些模板指定最终证书的设置，例如它是否可以用于客户端身份验证、必须定义哪些属性、允许谁注册等等。...默认情况下，域用户可以注册User证书模板，域计算机可以注册Machine证书模板。两个证书模板都允许客户端身份验证。...5.验证在请求中提交的证书模板的版本不比服务器存储在其证书模板表中的证书模板新。...3.KDC 从主体名称中查找帐户。

    3K40

    ADCS之中继攻击

    文章前言 本篇文章我们主要介绍AD CS攻击系列中的中继攻击的基本原理和攻击手法进行简单阐述~ 漏洞原理 AD CS支持几种基于HTTP协议的通过管理员可以安装的其他AD CS服务器角色功能，这些基于HTTP...的证书注册接口都是易受攻击的NTLM中继攻击，一方面是因为没有启用NTLM中继保护，另一方面Authorization HTTP头明确允许通过NTLM进行身份验证，并未使用更安全的协议，例如：Kerberos...Server 2008 环境说明 域内存在多台主机设备，其中有一台主机上搭建了AD CS证书服务，同时安装基于HTTP协议的AD CS服务器角色功能，例如：证书注册策略Web服务等，这些Web服务采用...认证，导致攻击者可以将获取到的证书导入任意域内主机，实现对目标域控的直接访问 网络拓扑 搭建流程 辅助域控 升级为域控： 加入到现有的域环境中： DSRM密码： 选择主从域复制： 之后重启操作系统： ADCS...Domain Computers组里面，不在则需要自己加入，否则会利用失败： 漏洞利用 Step 1：域内定位CA机器 certutil -config - -ping Step 2：安装新版本的Impacket

    11110

    ADCS之中继攻击

    文章前言 本篇文章我们主要介绍AD CS攻击系列中的中继攻击的基本原理和攻击手法进行简单阐述~ 漏洞原理 AD CS支持几种基于HTTP协议的通过管理员可以安装的其他AD CS服务器角色功能，这些基于HTTP...的证书注册接口都是易受攻击的NTLM中继攻击，一方面是因为没有启用NTLM中继保护，另一方面Authorization HTTP头明确允许通过NTLM进行身份验证，并未使用更安全的协议，例如：Kerberos...Server 2008 环境说明 域内存在多台主机设备，其中有一台主机上搭建了AD CS证书服务，同时安装基于HTTP协议的AD CS服务器角色功能，例如：证书注册策略Web服务等，这些Web服务采用...认证，导致攻击者可以将获取到的证书导入任意域内主机，实现对目标域控的直接访问 网络拓扑 搭建流程 辅助域控 升级为域控： 加入到现有的域环境中： DSRM密码： 选择主从域复制：.../certsrv/ 先决条件检查 之后查看DC和DC辅控是否在Domain Computers组里面，不在则需要自己加入，否则会利用失败： 漏洞利用 Step 1：域内定位CA机器 certutil

    2.9K40

    Windows Ubuntu Bash申请免费通配符证书(Let’s Encrypt)并绑定IIS

    部署 HTTPS 网站的时候需要证书，证书由 CA 机构签发，大部分传统 CA 机构签发证书是需要收费的，这不利于推动 HTTPS 协议的使用。...Let’s Encrypt 也是一个 CA 机构，但这个 CA 机构是免费的！！！也就是说签发证书不需要任何费用。...2）SAN 证书：一张证书可以包括多个主机（Let’s Encrypt 限制是 20） 证书包含的主机可以不是同一个注册域，不要问我注册域是什么？注册域就是向域名注册商购买的域名。...对于个人用户来说，由于主机并不是太多，所以使用 SAN 证书完全没有问题，但是对于大公司来说有一些问题： 子域名非常多，而且过一段时间可能就要使用一个新的主机。 注册域也非常多。...如何申请 Let’s Encrypt 通配符证书 为了实现通配符证书，Let’s Encrypt 对 ACME 协议的实现进行了升级，只有 v2 协议才能支持通配符证书。

    2.6K10

    研发中：联邦SPIFFE信任域

    另一种解决方案，是使用手动身份验证机制来消除对公共证书颁发机构（CA）的需求。 SPIRE使用与节点和工作负载注册类似的方式实现联邦。...对于公共API，API提供程序可能希望使用Web PKI来保护连接的服务器端，并使用SPIFFE来保护客户端。因此，我们不会自动配置双向联邦。...在具有多个CA的环境中，每个CA都应该只允许签署具有特定名称的证书，不然这会导致安全漏洞。 防止这种情况的一种方法是使用X.509名称约束扩展。名称约束扩展允许将CA证书限制为为特定域名颁发证书。...CA的信任域匹配。...加入SPIFFE Slack与专家讨论SPIFFE。 加入SPIFFE SIG-SPEC双月会议，设计SPIFFE联邦会的未来。 （不久将有一个单独的联邦工作组。）

    1.5K30

    将PCS neo装到iPad上实现移动监控

    SIPIX平板电脑运行Windows操作系统，因此可以直接加入我们的本地域并自动从我们的证书颁发机构接收所需的证书。 但是，如何将PCS neo集成到iPad上呢？...因为iPad是iOS设备，它不能完全加入Windows域并自动集成到我们的证书颁发机构；但是，我们仍然可以请求证书颁发机构将证书作为根证书进行信任。...系统将提示您输入域凭据。 登录后，您将看到一个带有一些选项的通用启动屏幕。选择“Download a CA certificate下载CA证书”。 这将带您进入证书申请页面。...在此页面上，选择“Install this CA Certificate”（安装此CA证书） 安装时可能会提示您输入密码。安装后，您将在iOS设备上获得一个新的“配置文件”。...在设置中，转到General > About > Certificate Trust Settings （常规>关于>证书信任设置），并启用新安装的证书颁发机构。

    1.1K10

    基于Windows 2019 server 独立环境&域控环境搭建（NPS与CA）

    CA（证书）服务安装 CA服务器是可选的，在802.1x中，我们用到PEAP、TTLS认证的时候，服务器是需要安装证书的，而这个证书我们可以选择从CA服务器申请，也可以用iis自带的功能申请一个自签名证书...，自签名证书有效期只有一年，所以这里建议是CA服务器来颁发。...（关于服务器为什么要安装证书，我们在802.1x环节在讲解） 添加角色和功能 安装证书服务以及IIS 除了网络设备注册服务，其余的都勾选 默认即可，下一步 点击安装，然后完成 配置CA服务器的一些参数...加域 如果提示有重复的SID或者是名字出现的时候，那可能就是你镜像克隆导致的，记得用系统自带的工具重新生成SID，运行输入 sysprep 加入成功，然后会重启。...登陆的时候一定要基于域方式登陆，直接登陆还是本地 勾选证书、IIS、网络策略和访问服务 勾选3个就行（网络设备注册服务可以不要），然后一直下一步 配置AC服务器的参数 勾选这三个即可，网络设备注册可以不用

    73110

    如何加密Ubuntu 14.04来保护Nginx

    如何加密Ubuntu 14.04来保护Nginx 介绍 让我们加密是一个新的证书颁发机构（CA），它提供了一种简单的方式来获取和安装免费的TLS / SSL证书，从而启用Web服务器上的加密HTTPS。...在本教程中，我们将向您展示如何使用Certbot获取免费的SSL证书，并在Ubuntu 14.04 LTS上与Nginx一起使用。我们还会告诉你如何自动更新你的SSL证书。...安装Nginx，如何在Ubuntu 14.04 LTS上安装Nginx. 您必须拥有或控制您希望使用该证书的注册域名。...如果您还没有注册的域名，您可以注册一个域名注册商（例如Namecheap，GoDaddy等）。 一个DNS记录，指向您的域的服务器的公共IP地址。你可以按照这个主机名教程了解如何添加它们的细节。...它通过查找与您请求证书的域相匹配的服务器名称（server_name）指令来完成此操作。

    1.6K00

    使用mkcert工具生成受信任的本地SSL证书

    mkcert 是一个简单的工具，用于制作本地信任的开发证书。不需要配置。...以管理员身份运行命令提示符 mkcert安装及使用指南 cd C:/ ——进入工具存放的目录下 输入mkcert-v1.4.3-windows-amd64.exe -install命令进行安装 将CA...证书加入本地可信CA，使用此命令，就能帮助我们将mkcert使用的根证书加入了本地可信CA中，以后由该CA签发的证书在本地都是可信的。...-windows-amd64.exe -CAROOT命令，列出CA证书的存放路径 生成SSL自签证书 签发本地访问的证书 直接跟多个要签发的域名或ip，比如签发一个仅本机访问的证书(可以通过127.0.0.1...-windows-amd64.exe 192.168.2.25 生成的SSL证书存放在当前运行目录下 其中192.168.2.25.pem为公钥，192.168.2.25-key.pem为私钥

    6.4K31

    PetitPotam – NTLM 中继到 AD CS

    Active Directory 证书服务可以作为角色安装在域控制器上或作为域一部分的单个服务器中。下图说明了攻击的步骤： 攻击需要认证机构的身份。...certutil.exe 服务器名称已标识为“ ca.purple.lab ”，并且可以通过以下 URL 上的 HTTP 访问 Web 注册服务： http://ca.purple.lab/certsrv.../ 证书颁发机构 - Web 注册界面 在未加入域的系统中，执行Impacket 套件中的“ ntlmrelayx.py ”将配置各种侦听器（SMB、HTTP、WCF），这些侦听器将从域控制器计算机帐户捕获身份验证并将该身份验证信息中继到活动目录证书颁发机构服务器...如果在域控制器而不是不同的服务器上部署证书颁发机构而没有采取预防措施，那么即使没有凭据访问网络也可能导致域受损。...或者，如果已建立对加入域的系统的初始访问权限，则可以改用二进制文件。

    2.1K10

    使用mkcert工具生成受信任的SSL证书，解决局域网本地https访问问题

    简化我们在本地搭建 https 环境的复杂性，无需操作繁杂的 openssl 实现自签证书了，这个小程序就可以帮助我们自签证书，在本机使用还会自动信任 CA，非常方便。...管理您自己的 CA 是最好的解决方案，但通常涉及神秘的命令、专业知识和手动步骤。 mkcert 在系统根存储中自动创建并安装本地 CA，并生成本地信任的证书。...mkcert 不会自动配置服务器以使用证书，但这取决于您。 2、mkcert下载 本实验使用Windows 10 操作系统进行演示说明。...将CA证书加入本地可信CA，使用此命令，就能帮助我们将mkcert使用的根证书加入了本地可信CA中，以后由该CA签发的证书在本地都是可信的。...很明显自签证书一定可以满足证书在有效期内，那么需要保证后两条。我们签发的证书必须匹配浏览器的地址栏，比如局域网的 ip 或者域名，此外还需要信任 CA。操作如下。 签发证书，加入局域网IP地址。

    19.9K41

    SIEM中心日志节点WEF搭建说明

    对于黑客掌上的明珠——域控， 它的日志监控是非常重要的，本文将介绍如何通过 WEF(Windows Event Forwarding) 将windows 主机日志汇总到一台中心节点，并输入到ElasticSearch...架构介绍 windows 的日志转发有两种方式： 收集器已启动； 源计算机已启动。 考虑到安全性，可以选择源计算机已启动，好处是只需要开启域控到收集端的访问，无需在域控中添加账户。...Client 的 security 日志的 network 权限添加 组策略-> 计算机配置 -> 管理模板 -> windows 组件 -> 事件日志服务器 -> 安全-> 配置日志访问 然后双击后，...days 3650 -out ca.pem 创建 logstash 的私钥 openssl genrsa -out logstash.key 2048 创建 logstash 的证书申请 openssl...req -new -key logstash.key -out logstash.csr 使用 ca 证书去前方刚刚创建的logstash 证书申请并生成证书，过期时间为10年（不安全，但是方便）

    1.5K50

    内网协议NTLM之内网大杀器CVE-2019-1040漏洞

    内网大杀器CVE-2019-1040 Preempt的研究人员发现了如何在NTLM身份验证上绕过MIC(Message Integrity Code)保护措施并修改NTLM消息流中的任何字段（包括签名）...Windows的MS-RPRN协议用于打印客户机和打印服务器之间的通信，默认情况下是启用的。...二、攻击域AD Server/管理员 前提条件 1.服务器可以是任何未修补的Windows Server或工作站，包括域控制器。...-key ca.key -out ca.crt 接着把创建好的ca.crt根证书放到DC上面， WIN+R 打开运行输入MMC 接着添加到证书进入，首先根节点添加证书选项 然后把根证书导入进入到域控制器里面...Directory域中具有高权限，Exchange的本地计算机账户EX$会被加入用户组Exchange Trusted Subsystem，该用户组又隶属于Exchange Windows Permissions

    7.5K31

    consul配置参数大全、详解、总结

    ca_file这为PEM编码的证书颁发机构提供了一个文件路径。证书颁发机构用于使用适当的verify_incoming或 verify_outgoing标志检查客户端和服务器连接的真实性。...ca_path这提供了PEM编码证书颁发机构文件目录的路径。这些证书颁发机构用于检查具有适当verify_incoming或 verify_outgoing标志的客户端和服务器连接的真实性。...verify_incoming- 如果设置为true，Consul要求所有传入连接都使用TLS，并且客户端提供证书颁发机构从ca_fileor中签名的证书ca_path。...verify_incoming_rpc- 如果设置为true，Consul要求所有传入的RPC连接都使用TLS，并且客户端提供由证书颁发机构从ca_fileor中签名的证书ca_path。...verify_outgoing- 如果设置为true，则Consul要求所有传出连接都使用TLS，并且服务器提供由证书颁发机构从ca_fileor中签名的证书ca_path。

    4.8K30
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券