Kerberos协议大揭秘之-身份认证请求和响应详解

村中少年

已于 2023-10-09 08:22:30 修改

阅读量381

点赞数 1

CC 4.0 BY-SA版权

分类专栏：网络攻防协议实战分析文章标签： kerberos AS-REQ AS-REP TGS-REQ TGS-REP AP-REQ AP-REP

于 2023-09-18 08:30:00 首次发布

本文链接：https://blog.youkuaiyun.com/javajiawei/article/details/132774056

网络攻防协议实战分析同时被 2 个专栏收录

30 篇文章 ¥49.90 ¥99.00

订阅专栏

超级会员免费看

SMB攻击流量数据包分析

18 篇文章 ¥59.90 ¥99.00

订阅专栏

超级会员免费看

本文深入解析Kerberos协议，包括KRB_AS_REQ、KRB_AS_REP、KRB_TGS_REQ、KRB_TGS_REP、KRB_AP_REQ和KRB_AP_REP等步骤，阐述其在身份认证中的作用。Kerberos通过与Key Distribution Center（KDC）交互，确保客户端和服务器的双向身份验证，避免安全隐患。文中还详细分析了票据（TGT和TGS）的生成和使用，以及在实际数据包中的体现，有助于理解Kerberos协议的工作原理。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

前面的文章说明了SMB协议交互的过程，在SMB交互的Session Setup Request/Response会对请求者的身份进行验证，这其中涉及到两个主要的协议NTLM以及Kerberos，NTLM协议在前面的文章中已经进行了说明，见这里，本文将对通过数据包Kerberos协议进行详细的分析。作为专栏《计算机网络协议快速入门教程》中的一篇。

什么是Kerberos

Kerberos是The Kerberos Network Authentication Service，对应的RFC见这里。Kerberos主要用于网络中的身份认证。微软实现并扩展了Kerberos协议，在windows域环境中用于身份工作组，域等等多种场景的身份认证。不同于NTLM协议，Kerberos不仅可以作为单独的上层协议而存在，也可以像NTLM协议那样嵌入到其他的协议之中。因此Kerberos可以直接工作在TCP和UDP之上，也可以被SMB，RPC等其他应用层协议调用，作为其身份认证的一部分。