Kerberos 与 Kerberoasting

Kerberos 是一种基于票据的身份验证协议。客户端不发送密码，而是出示由密钥分发中心（KDC）签发的加密票据；KDC 运行在每个域控制器上。

• 身份验证服务器（AS）签发票据授予票据（TGT）。
• 票据授予服务器（TGS）签发服务票据。
• 服务无需联系 DC 即可验证票据。

Kerberos 包含三次消息交互。理解它们有助于判断攻击发生在哪个环节。

• AS-REQ / AS-REP：客户端证明身份（预身份验证），并获得使用票据签名账户密钥加密的 TGT。
• TGS-REQ / TGS-REP：客户端出示 TGT，请求服务票据（TGS）。
• AP-REQ / AP-REP：客户端向服务出示 TGS。

AS-REP 离线破解针对第一次交互，服务票据离线破解针对第二次交互。

服务主体名称（SPN）将服务实例映射到运行该服务的账户。当您请求某个 SPN 的 TGS 时，生成的票据有一部分会使用服务账户的密码哈希值加密。

这正是服务票据离线破解的核心：任何经过身份验证的用户都可以请求服务账户的票据，然后在离线状态下破解票据，以恢复明文密码。

服务票据离线破解不易被察觉，因为请求 TGS 是正常行为。攻击步骤如下：

• 枚举带有 SPN 的用户账户。
• 为这些 SPN 请求 TGS 票据。
• 提取加密的票据数据。
• 使用密码字典在离线状态下破解；破解期间无需与 DC 交互。

捕获的票据使用服务账户密码作为密钥。离线破解会不断尝试候选密码，直到其中一个能够正确解密票据。

服务账户通常使用较弱且从不轮换的密码，因此可以很快被破解。

票据所使用的加密算法会影响破解速度。

• RC4（加密类型 23）破解速度很快，如果仍被允许使用，就是明显的风险信号。
• AES（加密类型 17/18）的暴力破解速度要慢得多。
• 攻击者可能通过滥用 /tgtdeleg 或 msDS-SupportedEncryptionTypes，将请求降级为 RC4。

防御人员应在整个域内禁用 RC4，并强制使用 AES。

另一种相关攻击针对禁用了 Kerberos 预身份验证的账户（DONT_REQ_PREAUTH）。没有预身份验证时，AS-REP 会包含使用用户密码哈希值加密的数据，无需任何凭据即可获取。

服务票据离线破解之所以成功，是因为存在结构性弱点，而不是协议本身存在缺陷。

• 按照设计，任何经过身份验证的主体都可以请求任意服务票据。
• 服务账户经常只在建立时设置一次较弱的密码，此后从不轮换。
• 许多服务账户拥有高权限（例如属于域管理员组的 SQL 服务账户）。
• 破解完全在离线状态下进行，因此不会触发账户锁定。

防御人员可以通过 TGS 请求的遥测数据发现离线破解行为。

• 监控事件 4769 中使用 RC4（0x17）的票据请求，尤其要关注同一账户短时间内集中发起的请求。
• 如果单个主体在短时间内请求大量不同的 SPN，应发出警报。
• 部署没有任何合法服务使用的蜜罐 SPN 账户；对它的任何请求都属于恶意行为。

持久有效的解决方案，是消除使票据可被破解的条件。

• 使用组托管服务账户（gMSA），其密码长度超过 120 个字符并自动轮换。
• 为仍在使用的传统服务账户强制设置长度足够且复杂的密码。
• 禁用 RC4；要求使用 AES 加密类型。
• 删除不需要的 SPN，并将账户权限降至最低必要级别。

在获得授权的测试期间，请在隔离环境中破解票据，并且绝不要将明文凭据外传到此次测试范围之外。请报告哪些账户的凭据被破解以及破解所需时间，以便客户确定 gMSA 迁移的优先级。

请将已破解的密码视为敏感信息：加密存储，并在报告后清除。

请确认您已掌握 Kerberos 服务票据破解机制。

您已了解 Kerberos 如何签发票据，以及这一机制如何遭到滥用。

• SPN 票据使用服务账户哈希值加密，因此可以离线破解。
• RC4 票据破解速度快；AES 和 gMSA 是防御手段。
• 禁用预身份验证时，AS-REP 破解攻击无需凭据。
• 蜜罐 SPN 和对 4769 RC4 的监控可以发现此类攻击。

接下来，我们将介绍如何使用被盗凭据执行传递哈希和传递票据。