检测并缓解针对 Windows 域的 PetitPotam 攻击

文章讲解 Active Directory 证书服务（AD CS）的高危攻击向量 ESC8：当 Web Enrollment 启用且防护不足时，攻击者可胁迫域控发起 NTLM 认证并中继至 Web Enrollment 端点，以高权限账户身份领取证书，进而可能完全接管 AD；缓解措施包括为 Web Enrollment 启用 HTTPS、限制或禁用 NTLM、收紧证书模板注册权限。

作者在多次渗透测试中发现 Certify 与 Certipy 对 AD CS 的 ESC8（NTLM 中继）判定可能出错：即使客户按微软建议启用了 EPA（扩展身份验证保护），若 Channel Binding 与 Service Binding 未按端点类型正确配置，Web 注册端点仍可被 NTLM 中继。文章梳理 EPA、通道绑定与服务绑定的原理及工具误判的根因。

ESC8 中继攻击修复指南：当 ADCS Web 注册可通过 HTTP 访问或未启用 EPA/通道绑定保护时，攻击者可中继域控认证获取证书并拿下域管；修复需在 IIS 中强制 EPA 与 SSL。

NTLM 中继利用协议缺乏双向认证：截获认证会话转发至其他服务，PetitPotam 即典型。文章讲解检测及 SMB 签名等防御措施。

介绍 ESC8 攻击面定位：用 nxc 的 --find-delegation 与 BloodHound 发现 CA 配置的受限委派，结合 curl 探测 /certsrv/ Web Enrollment 端点并查看认证头，在未启用 EPA 时可结合 IPv6+WPAD 欺骗中继获取有效凭据。

Semperis 指出 AI 正在加速身份攻击的速度与规模，2025 上半年基于身份的攻击增长 32%，机器身份数量已达人类身份的 10 倍；建议组织重新定义网络弹性，让全团队提前参与混合身份防护、权限治理与恢复演练，而非等危机爆发。