ADCS ESC1
Неверно настроенный шаблон сертификата, позволяющий любому пользователю запросить сертификат на имя администратора домена. Захват домена примерно за минуту.
В шаблоне должны совпасть четыре свойства: запрашивающий может сам указать альтернативное имя субъекта (SAN), расширенное использование ключа годится для аутентификации клиента, запись открыта для низкопривилегированных групп и одобрение менеджера не требуется. Если все четыре верны, обычный пользователь запрашивает сертификат, где владельцем назван другой человек, и входит под его именем через PKINIT. Сертификат к тому же действителен годами и не зависит от смены пароля, что даёт устойчивую точку опоры.
Путь описан в статье SpecterOps «Certified Pre-Owned» (2021), где он получил номер ESC1 из примерно дюжины.