[原创]流量分析学习之路之内网渗透-Kerberos协议分析

发表于: 2024-8-20 11:19 1733

[原创]流量分析学习之路之内网渗透-Kerberos协议分析

Pr3d1ct

2024-8-20 11:19

1733

流量分析学习之路之内网渗透-Kerberos协议分析

前言

在数字中国2024数据安全产业人才积分赛半决赛中遇到了域渗透的一道题目，当时做的很吃力，跟着大佬们的文章后续复现总结并学习了一下Kerberos协议，接下来会详细地去分析这个协议与其相关攻击，并且会在后面对这个题目进行复现。

Kerberos协议

是什么

Kerberos 协议是一种用于计算机网络授权的协议，专门设计用于在不安全的网络环境中，以安全的方式对通信双方进行身份认证。

主要目的

其主要目标是通过密钥系统为客户端和服务器应用程序提供强有力的认证服务。该协议的认证过程独立于主机操作系统，无需依赖主机地址的信任，也不要求网络中所有主机的物理安全，且假设网络传输的数据包可能会被读取、修改或插入数据。在这些条件下，Kerberos 作为一种可信的第三方认证服务，依靠传统的密码技术（如共享密钥）来实现认证。在这种方式下让Kerberos的整个认证过程中不用担心受到中间人攻击。

可能遭遇的攻击

白银票据、黄金票据、域控攻击、DCSync域内哈希转储等

角色	作用
Domain Controller	域控制器，简称DC，一台计算机，实现用户、计算机的统一管理。
Key Distribution Center	秘钥分发中心，简称KDC，默认安装在域控里，包括AS和TGS。
Authentication Service	身份验证服务，简称AS，用于KDC对Client认证。
Ticket Grantng Service	票据授予服务，简称TGS，用于KDC向Client和Server分发Session Key（临时秘钥）。
Active Directory	活动目录，简称AD，用于存储用户、用户组、域相关的信息。

Kerberos 认证原理与流程（以下图片出现的流量为赛事题目不要多想）

前言

我会根据2024数字中国数字产业人才积分赛半决赛的赛题进行分析，有些数据会不全，如果想看较为详细的数据可以看以下这位大佬的文章：https://www.freebuf.com/articles/web/341103.html

分为三个阶段：

1、AS_REQ & AS_REP

2、TGS_REQ & TGS_REP

3、AP-REQ & AP-REP

AS-REQ & AS-REP

该阶段是客户端和AS(身份验证服务)的认证，通过认证的客户端将获得TGT(票据授权票据)认购权证。

AS_REQ

当客户端用户访问域内服务时，需要用户输入账户密码，这时客户端的Kerberos服务会向KDC(密钥分发发系统)的AS(身份验证服务)发送请求也就是AS_REQ，请求的凭据是客户端计算机的哈希值，NTML HASH加密的时间戳以及 Client-info、Server-info 等数据，以及一些其他信息。

在这里pvno:5字段代表版本号为5，msg-type为版本号，padata里面为加密时间戳。

在这里面padata为0，不为0的情况如下：

然后我们继续去分析请求包体，在这里面cname就是客户端，下面的CNameString为用户名，realm为域控制器的名称，sname就是服务器，下面的kerberos.SNameString为域名。

AS_REP

当客户端发送身份信息给AS(身份验证服务)后，AS(身份验证服务)会先向活动目录AD请求，询问是否有此用户，如果有的话取出它的NTLM-Hash，并对AS_REQ请求中加密的时间戳进行解密，如果解密成功，则证明客户端提供的密码正确，如果时间戳在两分钟之内(一般为两分钟，可以设定)，则预认证成功。然后AS(身份验证服务)会生成一个临时秘钥Session-Key AS，并使用客户端用户的NTLM-Hash加密Session-key AS作为响应包的一部分内容。此Session-key AS用于确保客户端和TGS(票据授予服务)之间的通信安全。

pA-ETYPE-INFO2为加密时间戳

etype: eTYPE-AES256-CTS-HMAC-SHA1-96 (18)为加密类型

CORP.LOCALhuangwei为加密的盐，下面的就是客户端用户名和域名之类的

返回的数据除了一些客户端信息、和服务端信息外，还ticket和enc-part。

其他的不多说，前面也解释过和前面一样，不过enc_part是使用的生成票据的服务器的用户的hash加密的

这里面一个漏洞点在于我们得到krbtgt的hash就可以伪造TGT(票据授予票据)，这也是常说的黄金票据攻击

总结

这个就是Kerberos认证第一阶段，当客户端用户需要访问域内服务时，客户端的Kerberos服务会向域控制器（DC）的认证服务（AS）发送一个认证请求（AS_REQ）。这个请求包含了使用用户NTLM哈希值加密的时间戳，以及客户端和服务端的信息。

域控制器在接收到这个请求后，AS会首先检查用户是否在活动目录（AD）中，如果用户不存在，则认证失败。如果用户存在，AS会使用用户的NTLM哈希值尝试解密时间戳。如果时间戳与当前时间相差超过5分钟，认证也会失败。如果时间戳有效，AS会生成一个会话密钥（Session Key），并用用户的NTLM哈希值对其进行加密。

接下来，AS会使用域内的krbtgt账户的NTLM哈希值，对会话密钥、时间戳和客户端信息进行加密，生成票据授权票据（TGT）。这个TGT和会话密钥一起发送给客户端。TGT的有效期是8小时，如果超过这个时间，客户端将无法直接使用它来获取进一步的服务票据。在这种情况下，客户端需要重新申请一个新的TGT才能继续访问服务。

TGS_REQ & TGS_REP

TGS_REQ

客户端收到AS(用户验证服务)的回复AS_REP后分别获得了TGT(票据授权票据)和加密的 Session-Key AS。它会先用自己用户的NTLM-hash解密得到原始的Session-Key AS，然后它会在本地缓存此TGT(票据授权票据)和原始的Session-Key AS，如果现在它就需要访问某台服务器上的服务，他就需要凭借这张TGT认购凭证向TGS(票据授予服务)购买相应的Ticket。

此时客户端会使用Session-Key AS加密时间戳、Client-info、Server-info 等数据作为一部分。因为TGT(票据授权票据)是用Krbtgt账户的NTLM-Hash加密的，客户端是无法解密，所以客户端会将TGT(票据授权票据)作为另一部分继续发送给TGS(票据授予服务)。

这两部分组成的请求被称为TGS_REQ。

在下面的enc_part部分可以看到首先根据TGT生成临时票据，这个TGT(票据授权票据)能看出来就是前面AS_REQ生成的TGT，然后在Authenticator里面是使用Session key加密的客户端信息、服务端信息和时间戳。

总结

当客户端用户完成Kerberos认证的第一阶段后，客户端会使用其NTLM-HASH解密收到的数据，以获取会话密钥(Session Key)。随后，客户端将票据授权票据（TGT）和会话密钥存入内存中，以便在需要访问特定服务时，使用TGT来获取服务票据（Ticket）。

在Kerberos认证的第二阶段，客户端将TGT和使用会话密钥加密的客户端信息、时间戳等数据发送给票据授权服务（TGS）。

此过程中存在一个重要的安全机制。即使攻击者在传输过程中窃取了这些数据，由于数据被加密，短时间内攻击者很难破解。此外，时间戳的存在允许Kerberos域控制器（KDC）验证数据的时效性和完整性。

TGS的处理：KDC收到TGT和其他附加数据后，首先使用其密钥解密TGT（这一解密过程只有KDC能够完成）。解密TGT后，KDC获得会话密钥，再利用该会话密钥解密客户端发送的其他数据。KDC将解密得到的数据与TGT中的数据进行比较，以验证数据的可信度。

当数据验证通过，TGS会生成服务会话密钥（Server Session Key），并使用会话密钥对其进行加密。同时，TGS还会使用服务账户的NTLM-HASH加密服务会话密钥，连同客户端信息和时间戳，生成最终的服务票据。

在最后KDC将使用会话密钥加密的服务会话密钥和票据发送给客户端。客户端收到这些数据后，便可以使用它们与服务端进行安全的通信。

AP-REQ & AP-REP

客户端在接收到服务票据（Ticket）和相关数据后，会首先使用会话密钥（Session Key）解密加密的服务器会话密钥（Server Session Key），得到真正的服务器会话密钥，并将其存储在本地缓存中。客户端虽然无法解密服务票据，但可以利用这个票据进行服务访问。

为了加强安全性，Kerberos协议支持双向认证机制，即客户端和服务端必须相互验证对方的身份，确认无误后才能建立通信连接。在实际访问过程中，客户端可以在请求中设置一个标志位，表明是否需要进行双向认证。

双向认证

服务端验证客户端：这是为了防止未授权的用户访问服务。

当客户端需要访问服务时，它会将服务票据和使用服务器会话密钥加密的客户端信息及时间戳发送给服务端。

当服务端接收到请求后，使用该服务账户的NTLM-HASH解密服务票据，以获取服务器会话密钥。然后，使用这个密钥解密客户端发送的其他数据，并与服务票据中的数据进行比对，以验证数据的一致性。

如果启用了特权属性证书（PAC），服务端将PAC发送给域控制器（DC），以查询该用户是否有权访问请求的服务。DC解密PAC后，根据其中的SID（安全标识符）判断用户信息和权限，并将结果返回给服务端。服务端还会检查访问控制列表（ACL），以确定是否有权限限制用户请求的服务。所有验证通过后，服务端完成对客户端的认证。

客户端验证服务端：这是为了确保客户端不会连接到恶意的服务端。

服务端将使用服务器会话密钥加密的客户端信息和时间戳（这是客户端在第三阶段发送给服务端的时间戳）发送回客户端。
客户端使用服务器会话密钥解密这些数据，解密成功后，客户端会比较解密得到的时间戳与自己原始发送的时间戳。如果两者一致，客户端即确认服务端的身份。
完成Kerberos认证的第三阶段后，整个Kerberos认证流程结束，客户端和服务端成功建立通信。

PAC认证

在这里面提到了PAC，这个PAC其实就是相当于一个证书在第一阶段，KDC发送给客户端的TGT中就包含了PAC，PAC中有用户的SID、用户所在的组。在第三阶段，服务端解密Ticket验证通过后，还会将PAC发送给DC询问此用户是否有访问权限。通俗理解就是一个认证，认证这个客户端是否有资格去访问服务。

攻击手法

黄金票据（Golden ticket）

利用Krbtgt的NTLM-Hash值去伪造任意TGT。

白银票据（Silver ticket）

白银票据的利用过程是伪造 TGS，通过已知的授权服务密码生成一张可以访问该服务的 TGT，其实简单来讲就是利用已知服务账号密码的散列值直接去欺骗TGS

密码喷洒攻击（Password Spraying）

自动化密码猜测爆破密码

AS-REP Roasting

其实就是域内用户没有开启预认证导致直接忽略了第一阶段，攻击者可以使用指定的用户去请求票据，向域控制器发送AS_REQ请求，此时域控会不作任何验证便将 TGT 票据和加密的 Session-key 等信息返回。因此攻击者就可以对获取到的加密 Session-key 进行离线破解，如果爆破成功，就能得到该指定用户的明文密码。

DCSync

DCSync是域渗透中经常会用到的技术，其被整合在了 Mimikatz 中，用于传出域用户的哈希。

题目示例

题目为2024数字中国数字安全产业人才积分赛半决赛的流量分析题目

EzCrop.1

题目内容：被攻击组织部署有活动目录，请提交该组织的领域名称（全部小写）

很简单了在前面也说到了活动目录部署在域控制器里，那么域控制器就是realm，corp.local

EzCrop.2

题目内容：请提交主域控制器的完全限制名称（全部小写）。

那就找域控制器的用户名称，这时候去审一下browser协议(浏览器协议)，因为要是域所以完整就是dc01.corp.local

EzCrop.3

题目内容：攻击者枚举了域用户，请提交枚举失败的域用户数量（阿拉伯数字）。

枚举用户，枚举失败的话那直接去找UNKONWN的数量就可以了，340个

EzCrop.4

目内容：找到被攻击成功获取到的三个用户并且按照首字母排序用-连接

很简单了，直接去寻找有返回的就行，也就是在第一阶段发出AS_REQ有返回AS_REP就好,答案huangwei-liuyuhua-wangkai

EzCrop.5

题目内容：请恢复上一问中，按首字母顺序排列后，最后一个用户的明文密码（字典请使用 rockyou）。

在前面也提到了enc_part部分是用户密码的hash加密。

我们需要用hashcat进行爆破首先需要将hash值前三十二位的16进制+ $+后续所有的十六进制，保存为字符rephash然后生成字符串formot{b'$ krb5asrep'{0}@{1}:{0},Username,domain,rephash}
Username需要在wangkai前加入etype的值，domain也就是域也就是前面得到的CORP.LOCAL

然后给hashcat爆破，具体命令如下：（这里面m是选择模式，AS-REP的流量是18200）

hashcat -m 18200 $krb5asrep$ 23

$wangkai@CORP.LOCAL:e4148673d9ea3cd816f92fbb136e1482$c721674e7fc9f08c3eaaac97c8783b1b7fc6feaf374158a895955e969868e5f443021c556b7fd900847956d47f18e3c8a2dd138ee1565b02899451102902bf364b4cb1c13355c13654ed480affa1c8b55847f4ee18d7b17a5cc514d56503bb8183cba1e0ee533fe9d51ee38b7abc7e8bafe63f7323443e12e8c03b86288439d4785119117340b915f8602d5e798ad99a02a9beb5898eb9cb08bd6d624b4a858cd02604dc947563c84bb7232af43f3e7bb638b8e7a05de3cd07971aa1066f5eff77bc642a679411579853902315bfba1cda1acb80a13571c7e82c7ff45b175408a5f50448029e291d D:\tools\hashcat\hashcat

-6.2.6\CTF比赛专用字典\rockyou-master\rockyou-master\rockyou.txt\rockyou.txt --show

得到密码1qaz!QAZ