Windows 身份验证

Windows 会在授予访问权限前验证用户身份。在域环境中，客户端与域控制器之间会持续进行这一过程。

两种主要协议是 NTLM（较旧的质询-响应协议）和克伯罗斯（现代的基于票据的协议）。二者都是攻击者重点瞄准的对象。

Windows 从不为本地账户存储明文密码，而是将哈希存储在 SAM 数据库中。其关键格式是 NT 哈希（密码的 MD4 值）。

如果攻击者转储这些哈希，就可以离线破解，或直接重复使用它们。

NTLM 无需发送密码即可完成身份验证：

• 服务器发送一个随机的质询。
• 客户端使用 NT 哈希对其加密并回复。
• 服务器（或 DC）验证响应。

虽然它属于旧协议，但为了兼容性，许多网络仍然启用它。

由于 NTLM 使用哈希而非明文进行身份验证，窃取哈希的攻击者无需破解它即可完成身份验证。

这就是传递哈希（PtH）——一种针对 NTLM 的强大横向移动技术。

克伯罗斯是 Active Directory 中的默认协议。它使用域控制器上的可信密钥分发中心（KDC）和有时限的票据，而不是反复发送凭据。

克伯罗斯流程：

• 用户完成身份验证并收到票据授予票据（TGT）。
• 要使用某项服务时，客户端出示 TGT 并获取服务票据（TGS）。
• 服务验证票据，整个过程中无需发送密码。

Kerberoasting 会请求运行服务的账户（SPN）的服务票据。该票据使用服务账户的密码哈希进行加密。

攻击者提取票据后，可在离线状态下破解它，从而恢复服务账户的密码。

Kerberos 票据也可能被窃取并重复使用（传递票据）。更严重的是，如果攻击者获取了 krbtgt 账户的哈希，就可以伪造黄金票据——一种由攻击者自行制作、可授予整个域访问权限的 TGT。

许多攻击都从受入侵主机中提取凭据开始。工具会从 lsass.exe 内存或 SAM/SECURITY 注册表配置单元中转储哈希和票据。

Mimikatz 是最知名的工具；secretsdump 是一种常见的远程替代工具。

防御人员可以通过以下方式降低这些风险：

• 在可能的情况下禁用 NTLM。
• 为服务账户强制使用强度高且长度足够的密码。
• 保护 lsass（Credential Guard、PPL）。
• 轮换 krbtgt 密钥，并限制管理员凭据的重复使用。

您可以从会话中检查当前的身份验证上下文和缓存的 Kerberos 票据。

识别专门针对 NTLM 的攻击。

您已经了解了 Windows 如何进行身份验证，以及攻击者如何发起攻击：

• SAM 中的 NT 哈希支持离线破解和传递哈希攻击。
• Kerberos 使用 KDC、TGT 和服务票据。
• Kerberoasting、传递票据和黄金票据会滥用 Kerberos。
• 强化措施：禁用 NTLM、保护 lsass、为服务账户设置强密码。

下一步：学习进攻性 PowerShell。