AD Kerberos 攻击手册

要解决的问题

在 Active Directory（AD）域渗透中，Kerberos 是最常见也最关键的攻击面。基座模型在实际攻防中往往存在三类短板：

• 票据类型区分不清：黄金、白银、钻石、蓝宝石票据的生命周期、前提条件和检测价值完全不同，模型容易混淆。
• 委派链细节粗糙：约束委派、基于资源的约束委派以及非约束委派的利用路径差异明显，模型常给出笼统答案。
• 忽视检测与规避权衡：不同技术留下的日志痕迹、对域控的请求特征不同，模型通常只讲原理，不讲如何降低被发现的概率。

核心能力与工作方式

该技能以专家级 AD Kerberos 攻击手册的形式组织，覆盖从初始侦察到票据复用的完整链路：

• 票据伪造与传递：包括 AS-REP roasting、Kerberoasting，以及黄金、白银、钻石、蓝宝石票据的制作与使用场景。
• 委派攻击：梳理约束委派、非约束委派和基于资源的约束委派的关键区别与利用步骤。
• 票据传递与哈希传递：提供 pass-the-ticket 与 overpass-the-hash 的实战要点。
• 攻击链路由：在深入利用前会引导加载相关技能，如 active-directory-acl-abuse（ACL 滥用）、active-directory-certificate-services（ADCS 持久化）、ntlm-relay-coercion（NTLM 中继）以及 windows-lateral-movement（横向移动），方便构建多技术组合的完整攻击链。
• 高级参考资料：需要多步骤攻击链或端到端场景时，可进一步加载 KERBEROS_ATTACK_CHAINS.md，其中包含从初始立足点到域管理员的完整流程。

适用边界与注意点

• 前提是具备 AD 环境访问能力：手册中的技术均要求攻击者已经拥有域内某个主机的控制权或有效凭据，无法凭空从零开始。
• 依赖配套技能：ADCS 黄金证书、NTLM 中继等并非 Kerberos 原生内容，需要配合其他技能或工具单独加载。
• 检测与规避是双向的：手册会标注哪些操作会触发特定日志（如 Kerberos 错误包请求），适合红队做 检测绕过 评估，也适合蓝队设计 日志监控 规则。
• 不包含安装与命令输出：手册只提供技术原理与流程指引，实际执行仍需操作者自行准备工具链并测试环境。