CVE-2022-26923 CA权限提升漏洞

背景原理：

AD CS 在依据 Machine 模板签发证书时，默认直接从申请对象在 LDAP 中的 dNSHostName 属性中读取值，并自动填入证书的 SAN（使用者备用名称）中。

利用流程：

攻击者创建一个普通机器账户（如 FakePC$）。

清空该账户的 servicePrincipalName（SPN），以规避属性冲突校验。

将该机器账户的 dNSHostName 篡改为域控的 FQDN（例如 dc01.yes.com）。

使用该机器账户向 CA 申请 Machine 模板证书。CA 读取其 dNSHostName，签发出包含域控标识的机器证书。

将机器账户的 dNSHostName 改回原样，避免网络冲突。

利用该证书向 KDC 发起 PKINIT 认证换取 DC01$ 的 TGT 票据（或提取其 NTLM Hash），进而利用域控权限执行 DCSync 接管全域。