ESC8仍然是我们看到的最常见的AD CS发现

通过“与统计数据比较”按钮提交到 Netwrix PingCastle 公开统计网站的报告中，截至2026年11月，A-CertEnrollHttp被标记了6,487次。这比我们跟踪的任何其他 Active Directory Certificate Services (AD CS) 升级路径都多。

与A-CertEnrollChannelBinding一起，它涵盖了ESC8。ESC8有详细文档，且仍然普遍，因为它以不安全的默认设置开始。

什么是ESC8？

ESC8 是针对 AD CS Web 注册界面的 NTLM 中继攻击。当安装了 Certification Authority Web Enrollment 角色且其 HTTP 端点（certsrv）接受未启用 Extended Protection for Authentication (EPA) 或通道绑定等保护的 NTLM 认证时，攻击者可以将捕获的 NTLM 认证尝试中继到该端点，并代表他人请求证书。

如果攻击者使用PetitPotam等技术强迫域控制器向其进行身份验证，则可以将该身份验证中继到Web注册端点，并接收一个以该域控制器身份进行身份验证的证书。从那里到达 DCSync 和完全的域妥协只是一小步。

MITRE将其归类为T1557（Adversary-in-the-Middle）用于强迫和中继机制，T1649（Steal or Forge Authentication Certificates）用于攻击者获得该证书后的行为。

为什么ESC8如此常见？

安装 Web Enrollment 角色默认启用 HTTP 和 NTLM 认证，启用带 EPA 的 HTTPS 需要额外配置。不知道需要此配置的团队默认处于暴露状态。

没有人会决定将证书注册对NTLM中继开放。有人搭建了CA并启用了Web Enrollment，六个月后没人记得该角色还在运行，更别说需要启用EPA了。

这一发现即使在加固环境中也会出现，尽管随着对ESC8认知的传播，现在出现的频率较低。

攻击者可以用ESC8证书做什么？

ESC8的严重性很高，因为中继成功后攻击者所持有的内容。NTLM会话很快结束，但颁发的证书保持有效，直到过期或被撤销，这通常是一年或更长时间。

该证书同样适用于多种协议。攻击者可以使用Kerberos或Schannel（基于证书的TLS登录）进行身份验证，从而绕过环境中的任何NTLM限制。

结合胁迫技术，该链仅需访问易受攻击的网络注册端点和攻击者可强制认证的机器。这对于最终获得与Domain Admin等效访问权限的路径来说门槛很低。

PingCastle如何检测ESC8？

PingCastle会探测网络上发现的每个证书颁发机构和注册服务器。对于每个服务器，它会向两个端点发送请求：网页注册页面（certsrv/certrqxt.asp）和Certificate Enrollment Service（CES）端点。如果任一端点通过明文HTTP成功响应，PingCastle会标记该域，因为网络上的攻击者可以将NTLM身份验证中继到未加密的注册端点。

A-CertEnrollChannelBinding覆盖HTTPS部分。它标记接受HTTPS但不强制通道绑定的注册端点，因为中继的NTLM会话仍可通过HTTPS。

如何修复ESC8而不影响注册？

您真的需要 Web Enrollment 吗？如果您的环境中没有人依赖 certsrv 界面进行证书请求，请删除该角色。这是最简单的修复方法，也是首先要检查的。

如果需要，单靠HTTPS无法解决ESC8问题。注册端点还需要强制执行EPA或通道绑定，因为中继的NTLM会话仍然可以通过HTTPS连接转发。微软关于缓解针对AD CS的NTLM中继攻击的指导（KB5005413）介绍了配置步骤。

其他缓解措施：限制对CA的Web界面的网络访问，在Kerberos足够时禁用NTLM，并修补已知的胁迫技术。对于CA的其余暴露部分，请检查风险的AD CS设置，这些设置会与ESC8一起出现。

我的推荐

建议在强化之前检查是否需要 Web Enrollment。如果需要，请要求使用 HTTPS 和 EPA，并遵循 KB5005413。

要检查您是否暴露，运行免费的 PingCastle 扫描。它会直接标记 ESC8 以及您 AD CS 风险面中的其他部分。请在报告中搜索“ The certificate enrollment interface is accessible by unencrypted HTTP”和“Channel Binding is not enforced for the HTTPS Certificate Enrollment Interface”，这两个发现表明 ESC8 风险。