T1649: 窃取或伪造身份验证证书

摘要

攻击者可能窃取或伪造用于身份验证以访问远程系统或资源的证书。数字证书通常用于对消息和/或文件进行签名和加密。证书也用作身份验证材料。例如，Entra ID 设备证书和 Active Directory 证书服务（AD CS）证书绑定到某个身份，可用作域账户的凭据。(Citation: O365 Blog Azure AD Device IDs)(Citation: Microsoft AD CS Overview) 身份验证证书既可以是被窃取的，也可以是被伪造的。例如，AD CS 证书可以从加密存储（注册表中或文件中）(Citation: APT29 Deep Look at Credential Roaming)、位置不当的证书文件（即[未受保护的凭据](https://attack.mitre.org/techniques/T1552)）中窃取，或通过各种加密 API 直接从 Windows 证书存储中窃取。(Citation: SpecterOps Certified Pre Owned)(Citation: GitHub CertStealer)(Citation: GitHub GhostPack Certificates) 在拥有适当注册权限的情况下，域内的用户和/或机器还可以从企业证书颁发机构（CA）请求和/或手动续订证书。此注册过程定义了与证书相关的各种设置和权限。值得注意的是，证书的扩展密钥用法（EKU）值定义了签名、加密和身份验证的用例，而证书的主题备用名称（SAN）值定义了证书所有者的备用名称。(Citation: Medium Certified Pre Owned) 滥用证书作为身份验证凭据可能启用其他行为，例如[横向移动](https://attack.mitre.org/tactics/TA0008)。与证书相关的错误配置还可能为[权限提升](https://attack.mitre.org/tactics/TA0004)提供机会，方式是允许用户通过与证书相关联的身份（SAN）来冒充或取得特权账户或权限。这些滥用还可能通过窃取或伪造可用作[有效账户](https://attack.mitre.org/techniques/T1078)的证书（在证书有效期内，即使用户重置密码也有效）来实现[持久化](https://attack.mitre.org/tactics/TA0003)。身份验证证书也可以为机器账户而窃取和伪造。 能够访问根（或下级）CA 证书私钥（或保护/管理这些密钥的机制）的攻击者，还可能通过为受害者域伪造任意身份验证证书（称为“黄金”证书）来建立[持久化](https://attack.mitre.org/tactics/TA0003)。(Citation: Medium Certified Pre Owned) 攻击者还可能针对证书及相关服务，以获取其他形式的凭据，例如[黄金票据](https://attack.mitre.org/techniques/T1558/001)票据授予票据（TGT）或 NTLM 明文。(Citation: Medium Certified Pre Owned)