域控Kerberoasting攻击防御检测报告.docVIP

域控Kerberoasting攻击防御检测报告

一、Kerberoasting攻击原理剖析

Kerberoasting攻击是一种针对Windows域环境的身份认证攻击手段，其核心目标是获取域内服务账户的明文密码或哈希值，进而提升攻击者在域内的权限。该攻击利用了Kerberos协议的设计特性，通过请求服务票据（ST）并对其进行离线破解，最终获取高权限账户的凭证。

（一）Kerberos协议基础流程

Kerberos协议作为Windows域环境中默认的身份认证协议，主要包含三个关键步骤：

身份验证服务（AS）请求：用户向域控制器（DC）的身份验证服务发送请求，提供用户名和域名。DC验证用户身份后，返回一个包含会话密钥（SessionKey）和票据授予票据（TGT）的响应。TGT是用户获取其他服务访问权限的基础凭证，有效期通常为10小时。

票据授予服务（TGS）请求：用户使用TGT向DC的票据授予服务请求访问特定服务的票据。DC验证TGT的有效性后，生成一个服务票据（ST），其中包含用户身份信息、服务信息以及用于用户与服务之间通信的会话密钥。

服务访问：用户将ST发送给目标服务，服务验证ST的有效性后，允许用户访问其资源。

（二）Kerberoasting攻击的核心环节

Kerberoasting攻击正是利用了TGS请求和响应的过程，具体攻击流程如下：

枚举服务主体名称（SPN）：攻击