Ad on Ethical Hacking | Pentest e Sicurezza Informatica | Hackita

LDAP Injection: Bypass Autenticazione Active Directory e Enumerazione Utenti

Mon, 16 Mar 2026 00:00:00 +0000

Ogni grande azienda usa LDAP. Letteralmente ogni grande azienda. Active Directory, OpenLDAP, FreeIPA — il protocollo LDAP è il cuore dell’autenticazione e della gestione utenti in ambiente enterprise. Quando un dipendente inserisce username e password nel portale aziendale — webmail, VPN portal, intranet, helpdesk, CRM — l’applicazione spesso verifica le credenziali con una query LDAP verso il Domain Controller. Se quella query è costruita concatenando l’input dell’utente senza sanitizzazione, l’attaccante può manipolare la logica del filtro LDAP esattamente come nella SQL Injection si manipola la query SQL.

ESC15 ADCS (CVE-2024-49019): EKUwu e Injection di Application Policies

Tue, 10 Mar 2026 00:00:00 +0000

ESC15 è una tecnica di Active Directory Privilege Escalation tramite AD CS scoperta da Justin Bollinger (TrustedSec) e identificata come CVE-2024-49019, soprannominata dalla community EKUwu.

Questa vulnerabilità colpisce Certificate Authority non patchate (pre-Novembre 2024) e permette a un attaccante di iniettare Application Policies arbitrarie dentro un certificato emesso da template V1.

In pratica l’attaccante può aggiungere EKU non previsti dal template, ottenendo capacità che il template non dovrebbe concedere.

Esempio tipico:

ESC16 ADCS: CA con SID Security Extension Disabilitata

Tue, 10 Mar 2026 00:00:00 +0000

ESC16 è una tecnica di Active Directory Privilege Escalation tramite AD CS in cui la Certificate Authority è configurata per disabilitare globalmente la SID security extension nei certificati emessi.

Questa estensione:

text

1.3.6.1.4.1.311.25.2

(szOID_NTDS_CA_SECURITY_EXT)

contiene il SID dell’account AD e viene usata dai Domain Controller per il strong certificate mapping introdotto con gli update di sicurezza del 2022 (KB5014754).

ESC10 ADCS: Privilege Escalation tramite Weak Certificate Mapping Schannel

Mon, 09 Mar 2026 00:00:00 +0000

ESC10 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta weak certificate mapping in Schannel authentication. Schannel è il componente Windows usato per TLS authentication su servizi come LDAPS, IIS HTTPS e altri servizi TLS enterprise.

A differenza di Kerberos PKINIT, il comportamento di Schannel non dipende dal parametro StrongCertificateBindingEnforcement, ma dalla configurazione del registro:

text

HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\CertificateMappingMethods

Se questo valore include il flag 0x4 (UPN mapping), Schannel può mappare un certificato a un account Active Directory solo usando l’UPN nel certificato, ignorando il SID contenuto nella security extension.

ESC11 ADCS: NTLM Relay verso RPC Enrollment della Certificate Authority

Mon, 09 Mar 2026 00:00:00 +0000

ESC11 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta NTLM Relay verso l’interfaccia RPC della Certificate Authority. A differenza di ESC8, che colpisce gli endpoint web /certsrv/, ESC11 prende di mira direttamente l’interfaccia RPC usata dai client per richiedere certificati.

Questa interfaccia utilizza RPC per operazioni di enrollment tramite API come:

ICertRequestD
ICertPassage
interfaccia ICPR (ICertPassage Remote)

Il problema nasce quando la CA non richiede encryption per le richieste RPC. In condizioni sicure la CA dovrebbe imporre il livello di autenticazione:

ESC12 ADCS: Compromissione della CA tramite YubiHSM2

Mon, 09 Mar 2026 00:00:00 +0000

ESC12 è una tecnica di Active Directory Privilege Escalation tramite AD CS che riguarda un caso molto specifico: l’uso di YubiHSM2 per proteggere la chiave privata della Certificate Authority. A differenza delle altre tecniche ESC, qui il problema non è una misconfiguration di AD CS ma una possibile vulnerabilità nel software stack del dispositivo HSM o nella sua integrazione con il server CA.

In alcune ricerche della community (in particolare quelle di Hans-Joachim Knobloch) è stato dimostrato che, in determinate condizioni, un attaccante con accesso shell a basso privilegio sul server della CA potrebbe riuscire a interagire con il YubiHSM2 Key Storage Provider (KSP) in modo non previsto.

ESC13 ADCS: Privilege Escalation tramite Issuance Policy OID

Mon, 09 Mar 2026 00:00:00 +0000

ESC13 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta una configurazione pericolosa tra Issuance Policy OID e gruppi Active Directory. In questo scenario un template di certificato include una Issuance Policy OID che, nella configurazione PKI di Active Directory, è collegata a un gruppo AD tramite l’attributo msDS-OIDToGroupLink.

Quando un utente autentica tramite certificato (PKINIT), il KDC legge l’OID presente nel certificato e verifica se quell’OID è collegato a un gruppo. Se esiste un collegamento, il SID del gruppo viene aggiunto al Kerberos TGT all’interno del PAC.

ESC14 ADCS: Weak Explicit Certificate Mapping via altSecurityIdentities

Mon, 09 Mar 2026 00:00:00 +0000

ESC14 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta configurazioni deboli dell’attributo altSecurityIdentities negli oggetti Active Directory. Questo attributo permette di creare explicit certificate mapping, cioè associare manualmente un certificato X.509 a un account AD per l’autenticazione.

Quando altSecurityIdentities è configurato, Active Directory può usare questa associazione per autenticare direttamente l’utente tramite certificato, bypassando i normali meccanismi di mapping basati su:

SAN UPN
DNS name
SID security extension

Il problema nasce quando la stringa di mapping è troppo generica o facilmente replicabile. In questo caso un attaccante può ottenere o creare un certificato con gli stessi attributi e impersonare l’account associato.

ESC3 ADCS Privilege Escalation: Exploit Active Directory con Certipy

Sat, 07 Mar 2026 00:00:00 +0000

ESC3 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta i Enrollment Agent certificates.

Un Enrollment Agent è un account autorizzato a richiedere certificati per conto di altri utenti.

Se un attaccante riesce a ottenere un certificato con EKU:

text

1.3.6.1.4.1.311.20.2.1
Certificate Request Agent

può richiedere certificati per qualsiasi utente del dominio, inclusi Domain Admin.

ESC5 ADCS Privilege Escalation: Golden Certificate e CA Compromise con Certipy

Sat, 07 Mar 2026 00:00:00 +0000

ESC5 è una tecnica di Active Directory Privilege Escalation tramite AD CS che sfrutta ACL deboli su oggetti PKI in Active Directory.

A differenza di:

ESC4 → ACL sui certificate template
ESC7 → permessi sulla CA

ESC5 riguarda altri oggetti PKI nel Configuration container.

Dove si trovano questi oggetti #

Gli oggetti PKI sono salvati in:

text

CN=Public Key Services,CN=Services,CN=Configuration

Esempi importanti:

ESC6 ADCS Privilege Escalation: SAN Injection tramite CA Flag (Certipy Exploit)

Sat, 07 Mar 2026 00:00:00 +0000

ESC6 è una tecnica di Active Directory Privilege Escalation tramite AD CS che non colpisce i template ma direttamente la Certificate Authority.

Quando la CA ha attivo il flag EDITF_ATTRIBUTESUBJECTALTNAME2, gli utenti possono specificare Subject Alternative Name (SAN) arbitrari nelle richieste di certificato. Questo comportamento agisce come un override globale della CA, permettendo di inserire UPN o SID personalizzati anche su template che normalmente non lo consentirebbero.

Nelle infrastrutture moderne patchate (post maggio 2022) ESC6 da solo non è sufficiente per impersonare altri utenti. Deve essere combinato con ESC9 ADCS o ESC16 ADCS, che rimuovono la SID Security Extension dal certificato.

ESC7 ADCS: Privilege Escalation Tramite Manage CA su Active Directory

Sat, 07 Mar 2026 00:00:00 +0000

ESC7 è una tecnica di Active Directory Privilege Escalation tramite AD CS che deriva da permessi pericolosi direttamente sulla Certificate Authority. In particolare quando un attaccante ottiene diritti come Manage CA o Manage Certificates, che permettono di controllare il comportamento della CA e il processo di emissione dei certificati.

Il permesso Manage CA (ManageCa) è il più critico. Consente di modificare la configurazione della CA, pubblicare template, assegnare ruoli (come Certificate Officer), avviare o fermare il servizio CA e modificare la sicurezza. Con questo livello di accesso un attaccante può forzare l’emissione di certificati arbitrari e ottenere accesso completo al dominio.

AD CS Privilege Escalation: Tutte le Tecniche ESC1–ESC16 con Certipy (Active Directory Attack Guide)

Fri, 06 Mar 2026 00:00:00 +0000

Active Directory Certificate Services (AD CS) è uno dei vettori più potenti di privilege escalation in Active Directory. Una singola misconfiguration nei certificate template o nella Certificate Authority può permettere a un utente di dominio di autenticarsi come Domain Admin — spesso con un solo comando.

Le tecniche ESC1–ESC16 sfruttano errori di configurazione nei template di certificato, nella CA e nel certificate mapping dei Domain Controller. In molti ambienti aziendali queste debolezze restano presenti per anni senza essere auditate, rendendo AD CS una delle superfici di attacco più efficaci nei penetration test interni.

ESC1 ADCS Privilege Escalation: Exploit Active Directory con Certipy

Fri, 06 Mar 2026 00:00:00 +0000

ESC1 è la misconfigurazione più classica e pericolosa di AD CS. Permette a un utente con pochi privilegi di ottenere un certificato impersonando qualsiasi account del dominio, inclusi Domain Admin.

Il problema nasce quando un certificate template consente all’utente di specificare manualmente l’identità nel certificato.

Se il template permette di inserire un UPN arbitrario nel SAN, l’attaccante può richiedere un certificato per:

text

administrator@corp.local

e autenticarsi come Administrator.

ESC2 ADCS Privilege Escalation: Exploit Active Directory con Certipy

Fri, 06 Mar 2026 00:00:00 +0000

ESC2 è una tecnica di Active Directory Privilege Escalation tramite AD CS che nasce quando un certificate template permette di ottenere un certificato con Any Purpose EKU oppure nessun EKU definito.

In pratica il certificato può essere usato per qualsiasi scopo, inclusi:

client authentication
server authentication
code signing
enrollment agent

OID dell’Any Purpose EKU:

text

2.5.29.37.0

Questo implica automaticamente anche:

Active Directory Pentesting 2026: Guida Completa a Kerberos, NTLM e Privilege Escalation

Tue, 03 Mar 2026 00:00:00 +0000

Active Directory Pentesting è il processo con cui un pentester identifica un percorso reale da utente standard a Domain Admin analizzando identità, permessi, relazioni, autenticazione e trust in un dominio Windows.In Active Directory non conta quanti tool usi. Conta quanto bene capisci attack path, ACL, ticket Kerberos, NTLM, deleghe e trust.

L’Active Directory Pentesting non è “hackerare Windows”.
È capire come si combinano Kerberos, NTLM, LDAP, ACL, GPO, deleghe, trust e Certipy (AD CS) per trasformare un accesso minimo in privilege escalation, lateral movement e controllo del dominio.

Mimikatz: Guida Completa Credential Dumping e Active Directory Attack

Sat, 28 Feb 2026 00:00:00 +0000

Mimikatz è lo strumento più potente per il credential dumping su Windows e il dominio di Active Directory. Utilizzato in pentest e Red Team, permette di estrarre password in chiaro, hash NTLM e ticket Kerberos direttamente dalla memoria LSASS.

Con Mimikatz puoi eseguire attacchi come Pass-the-Hash, DCSync e Golden Ticket, ottenendo accesso completo al dominio senza conoscere le password reali.

In questa guida vedrai i comandi Mimikatz più importanti, come usarli in scenari reali e come trasformare un accesso locale in compromissione totale dell’infrastruttura.

Smbmap: Enumerazione SMB e Share Discovery su Windows

Fri, 27 Feb 2026 00:00:00 +0000

Smbmap enumera share SMB su sistemi Windows e Samba mostrando permessi di lettura/scrittura per ogni share, il tutto senza bisogno di autenticazione o con credenziali fornite. È il primo tool che lanci quando trovi porta 445 aperta — in pochi secondi sai quali share sono accessibili, con quali permessi, e puoi navigare i contenuti o eseguire comandi.

A differenza di smbclient che richiede connessione manuale a ogni share, Smbmap automatizza l’enumerazione e mostra una mappa completa dei permessi. Nella kill chain si posiziona tra la fase di Enumeration e Credential Access (MITRE ATT&CK T1135).

SMBExec: Esecuzione Remota Fileless su Windows via SMB

Wed, 25 Feb 2026 00:00:00 +0000

SMBExec è una tecnica di esecuzione comandi remota che sfrutta il Service Control Manager di Windows attraverso SMB, senza scrivere eseguibili sul disco del target. Parte della suite Impacket, rappresenta l’alternativa stealth a PsExec quando hai credenziali valide e vuoi minimizzare gli artefatti forensi. In questa guida impari a usare SMBExec per lateral movement in ambienti Active Directory, dalla connessione iniziale alla post-exploitation completa.

Posizione nella Kill Chain #

SMBExec si colloca nella fase di lateral movement, dopo aver ottenuto credenziali valide tramite tecniche come credential harvesting con Mimikatz, password spraying con Hydra, o hash dumping. L’output di SMBExec alimenta direttamente la fase successiva: privilege escalation locale, credential dumping aggiuntivo, o persistenza.

Ldapsearch: Enumerazione LDAP e Active Directory da Linux

Mon, 16 Feb 2026 00:00:00 +0000

Ldapsearch è il client LDAP da linea di comando che interroga direttamente il database Active Directory. Ogni oggetto AD — utenti, computer, gruppi, GPO, OU — è accessibile via LDAP sulla porta 389 (o 636 per LDAPS). Con ldapsearch estrai attributi che Rpcclient non raggiunge: description (spesso contiene password), servicePrincipalName (target per Kerberoasting), userAccountControl (account disabilitati, no pre-auth), memberOf e molto altro.

Kill chain: Enumeration / Credential Access (MITRE ATT&CK T1087.002).

Impacket: Toolkit Python per Attacchi SMB, Kerberos e Active Directory

Sun, 15 Feb 2026 00:00:00 +0000

Impacket è una suite Python sviluppata da Fortra (ex Core Security) che implementa manipulation di protocolli di rete Microsoft (SMB, MSRPC, LDAP, Kerberos) per operazioni offensive su ambienti Windows e Active Directory. La libreria fornisce accesso low-level ai protocolli permettendo exploitation avanzata come DCSync, pass-the-hash, Kerberos delegation attacks e SMB relay senza necessità di binari Windows nativi.

La forza di Impacket risiede nella capacità di eseguire attacchi complessi da sistema Linux/macOS contro infrastrutture Windows, eliminando dipendenze da tooling Windows-based. Gli script della suite coprono l’intero ciclo di un engagement: da reconnaissance (GetADUsers.py) a lateral movement (psexec.py, wmiexec.py) fino a domain takeover (secretsdump.py per DCSync). Impacket si integra perfettamente con output di Responder per relay attacks e Hashcat per hash cracking.