内网渗透：三、Kerberos协议及票据（黄金和白银）伪造

最新推荐文章于 2025-10-01 06:15:51 发布

原创

最新推荐文章于 2025-10-01 06:15:51 发布 · 4.2k 阅读

22 ·

CC 4.0 BY-SA版权

文章标签：

#安全

本文深入解析了Kerberos协议的工作原理，包括其如何通过票据实现安全认证以及SSO功能。同时，介绍了白银票据和黄金票据的伪造过程，这两种攻击手段分别针对Kerberos协议的身份验证和服务访问权限。通过mimikatz工具，攻击者可以伪造TGT（黄金票据）和TGS（白银票据）来获取非法权限。实验步骤展示了如何在特定环境下执行这些攻击。

一、Kerberos协议

kerberos(Secure network authentication system)中文叫网络安全认证系统

kerberos在进行认证过程中并不会传输用户的密码，而是通过传输tickets（票据）进行认证登陆到LDAP server。Kerberos协议主要用于计算机网络的身份鉴别，其特点是用户只需输入一次身份验证信息就可以凭借此验证获得的凭证（ticket-granting-ticket）访问多个服务，即SSO（Single Sign On）。由于在每个Client和Service之间建立了共享秘钥，使得该协议具有相当的安全性。
Kerberos协议的前提条件
如下图所示，Client与KDC（密钥分发中心），KDC（密钥分发中心）与Service在协议工作前已经有了各自的共享密钥，并且由于协议中的消息无法穿透防火墙，这些条件就限制了Kerberos协议往往用于一个组织的内部，使其应用场景不同于X.509 PKI。

Kerberos 协议分为两个部分：

1 . Client 向 KDC 发送自己的身份信息， KDC 从 Ticket Granting Service （网络票据授予服务）得到 TGT票据(ticket-granting-ticket) ，并用协议开始前 Client 与 KDC 之间的密钥将 TGT 加密回复给 Client 。此时只有真正的Client 才能利用它与 KDC 之间的密钥将加密后的 TGT 解密，从而获得 TGT 。（此过程避免了Client 直接向 KDC 发送密码，以求通过验证的不安全方式）
2. Client 利用之前获得的 TGT 向 KDC 请求其他 Service 的 Ticket ，从而通过其他 Service 的身份鉴别。Kerberos 协议的重点在于第二部分，简介如下：

1． Client将之前获得TGT（身份验证时获取的凭证）和要请求的服务信息(服务名等)发送给KDC（密钥分发中心），KDC中的Ticket Granting Service（票证授予服务）将为Client和Service之间生成一个Session Key（这个key可看作Client和KDC之间的）用于Service对Client的身份鉴别。然后KDC将这个Session Key和用户名，用户地址（IP），服务名，有效期,时间戳一起包装成一个Ticket（票据）(这些信息最终用于Service对Client的身份鉴别)发送给Service，不过Kerberos协议并没有直接将Ticket发送给Service，而是通过Client转发给Service.所以有了第二步。

2．此时KDC将刚才的Ticket转发给Client。由于这个Ticket是要给Service的，不能让Client看到，所以KDC用协议开始前KDC与Service之间的密钥将Ticket加密后再发送给Client。同时为了让Client和Service之间共享那个秘密(KDC在第一步为它们创建的Session Key)， KDC用Client与它之间的密钥将Session Key加密随加密的Ticket一起返回给Client。

3．为了完成Ticket的传递，Client将刚才收到的Ticket转发到Service.由于Client不知道KDC与Service之间的密