AD Kerberos 攻击手册

要解决什么问题

在 Active Directory 环境里，Kerberos 的票据与委派机制本身就是攻击面。渗透测试人员做内网评估、红队做攻防演练时，经常需要判断：哪些账号开启了 Do not require Kerberos preauthentication 可被 AS-REP Roasting；哪些 SPN 服务账号的 TGS 可被 Kerberoasting 拉下来离线破解；拿到 krbtgt 哈希之后如何伪造票据；委派配置又是如何被滥用成横向移动通道的。基础模型在这些问题上容易混淆票据类型的区别、委派链的细节和检测规避之间的取舍，这个技能就是用来补齐这块知识缺口的。

技能如何工作

技能按攻击流程组织成几个核心模块：

• 初始突破：AS-REP Roasting（枚举脆弱用户、破解哈希）和 Kerberoasting（请求服务票据、破解 TGS 哈希）是两条低成本的入门路径。
• 票据伪造：区分 Golden Ticket（用 krbtgt 哈希伪造 TGT，有效到密码被修改两次）、Silver Ticket（用服务账号哈希伪造 TGS，不与 KDC 交互，可针对 cifs/、http/、ldap/、MSSQLSvc/ 等 SPN）、Diamond Ticket（改写合法签发的 TGT，元数据更接近真实）和 Sapphire Ticket（S4U2Self 获取真实 PAC 嵌入伪造票据，检测难度极高）。
• 委派攻击：覆盖 Unconstrained Delegation、Constrained Delegation（S4U2Proxy）和 RBCD（需要 msDS-AllowedToActOnBehalfOfOtherIdentity 的写权限）。
• 横向与规避：Pass-the-Ticket、Overpass-the-Hash（用 NTLM 哈希直接请求 TGT，走纯 Kerberos 认证，规避 NTLM 日志）。
• 理论补充：讲解 Kerberos 双跳问题的几种解法（CredSSP、各类委派、Invoke-Command 嵌套）各自的风险对比，以及一张攻击决策树。

技能还提供关联路由：ACL 滥用、ADCS、NTLM relay、横向移动等技能常与 Kerberos 攻击链串联使用，KERBEROS_ATTACK_CHAINS.md 提供从立足点到域管理员的端到端场景与委派链流程。

适用边界

这是一份攻击技术参考，适用于授权范围内的渗透测试、红队演练和蓝队检测规则编写。实际效果取决于目标环境的具体配置：是否存在脆弱账号、SPN 服务账号口令强度、委派设置是否可被利用，没有任何手法能保证在所有环境可用。请在获得明确授权的前提下使用。