当前位置: 首页 > news >正文

WEB安全--内网渗透--Kerberos之AS_REQAS_REP

一、前言

之前的文章提到过,在内网的域环境中,服务器之间默认使用的是Kerberos协议。

光了解NTLM协议是远远不够的,为了内网渗透,我后面将详细介绍Kerberos协议的原理以及漏洞的利用。

二、Kerberos协议

Kerberos是一种网络身份验证协议,它主要是给Client 或者用户提供凭证或票据去访问服务器中的相应服务。

区别于NTLM:

NTLM:起到用户登录服务器之间的验证作用

Kerberos:起到给用户提供票据访问服务器中的服务的作用

在Kerberos协议中主要是有三个角色的存在:

  1. 访问服务的Client(以下表述为Client 或者用户)

  2. 提供服务的Server(以下表述为服务)

  3. KDC(Key Distribution Center)密钥分发中心

其中KDC服务默认会安装在一个域的域控中,而Client和Server为域内的用户或者是服务,如HTTP服务,SQL服务。在Kerberos中Client是否有权限访问Server端的服务由KDC发放的票据来决定。(比如说你去住酒店,酒店前台给你房卡,你拿着对应的房卡就能入住哪间房。你就是用户,酒店前台就是密钥分发中心,酒店就是服务器,房间就是服务器提供的服务)

kerberos的简化认证认证过程如下图:

  1. AS_REQ: Client向KDC发起AS_REQ,请求凭据是Client hash加密的时间戳

  2. AS_REP: KDC使用Client hash进行解密,如果结果正确就返回用krbtgt hash加密的TGT票据,TGT里面包含PAC,PAC包含Client的sid,Client所在的组。

  3. TGS_REQ: Client凭借TGT票据向KDC发起针对特定服务的TGS_REQ请求

  4. TGS_REP: KDC使用krbtgt hash进行解密,如果结果正确,就返回用服务hash 加密的TGS票据(这一步不管用户有没有访问服务的权限,只要TGT正确,就返回TGS票据)

  5. AP_REQ: Client拿着TGS票据去请求服务

  6. AP_REP: 服务使用自己的hash解密TGS票据。如果解密正确,就拿着PAC去KDC那边问Client有没有访问权限,域控解密PAC。获取Client的sid,以及所在的组,再根据该服务的ACL,判断Client是否有访问服务的权限。

这篇文章我们主要对AS_REQ&AS_REP进行分析:

三、AS_REQ&AS_REP

krbtgt:秘钥分发中心服务账户

四、漏洞

4.0、发包工具介绍

条件:有域内普通用户的账号密码

点击修改配置,支持明文密码以及hash

4.1、pass the hash

就是由于在进行认证的时候,是用用户hash加密时间戳,即使在使用密码进行登录的情况下,也是先把密码加密成hash,再进行认证。因此在只有用户hash,没有明文密码的情况下也是可以进行认证的。

不管是rubeus还是impacket里面的相关脚本都是支持直接使用hash进行认证;

当然还有psexec.exe/psexec.py,通过这种方式进行横向渗透。

4.2、用户名枚举

只有域管理员和域成员能查看域内的用户名,普通用户没有权限查看,那我们就可以使用下面方式枚举出域内用户名:

看以下几种情况

用户名存在,密码错误的情况下:

用户名不存在的情况下:

通过比较error-code的值就可以写脚本改变cname的值进行用户名枚举。

4.3、密码喷洒

在已有用户名的时候,可以尝试爆破密码。

密码正确的情况下:

密码错误的情况下:

4.4、AS-REPRoasting

对于域用户,如果设置了选项”Do not require Kerberos preauthentication”:

此时向域控制器的88端口发送AS_REQ请求,

对收到的AS_REP内容(因为这部分是使用用户hash加密session-key,

因为没有Kerberos预身份验证,协议就采用md5对称加密,所以我们通过进行离线爆破就可以获得用户hash)重新组合,

能够拼接成”Kerberos 5 AS-REP etype 23”(18200)的格式,接下来可以使用hashcat对其破解,最终获得该用户的明文口令。

4.5、黄金票据

在AS_REP里面的ticket的encpart是使用krbtgt的hash进行加密的,如果我们拥有krbtgt的hash,就可以给我们自己签发任意用户的TGT票据,这个票据也被称为黄金票据。

其实我们想拿到krbtgt的hash是基于我们知道域管理员的密码hash,那我们都知道域管理员的密码hash了还要黄金票据干啥呢?

其实黄金票据的作用是在我们成功渗透后留下的后门(权限维持):

如果运维管理员发现域用户的hash被窃取,他就会修改域用户的密码,但是如果他这是不修改krbtgt的hash,我们依旧可以利用krbtgt的hash为我们生成黄金票据访问内网中所有的服务(cifs)。

工具:Rubeus(我们使用这个工具就可以用域管理员的hash拿到krbtgt的hash)

相关文章:

WEB安全--内网渗透--Kerberos之AS_REQAS_REP

一、前言 之前的文章提到过,在内网的域环境中,服务器之间默认使用的是Kerberos协议。 光了解NTLM协议是远远不够的,为了内网渗透,我后面将详细介绍Kerberos协议的原理以及漏洞的利用。 二、Kerberos协议 Kerberos是一种网络身份…...

【Hadoop入门】Hadoop生态之MapReduce简介

1 MapReduce核心原理 MapReduce是一种分布式计算框架,专为处理大规模数据集设计。其核心理念是将复杂计算任务分解为两个核心阶段: Map阶段:将输入数据分割为独立片段,并行处理生成中间键值对Reduce阶段:对Map阶段输出…...

使用Scrapy编写图像下载程序示例

最近闲来无事想要用Scrapy库来编写一个图像下载程序。首先,我得回忆一下Scrapy的基本结构。Scrapy是一个强大的爬虫框架,适合用来抓取网页数据,包括图片。不过,用户可能不太熟悉Scrapy的具体用法,特别是图片下载的部分…...

Linux/树莓派网络配置、远程登录与图形界面访问实验

一.准备工作 1.修改网络适配器(选择本机网卡) 2.创建一个新的用户。 3.使用新用户登录,使用ip a指令查看IP(现代 Linux 发行版(如 Ubuntu、Debian、CentOS、Fedora 等))。 通过sudo arp-sca…...

01-Redis-基础

1 redis诞生历程 redis的作者笔名叫做antirez,2008年的时候他做了一个记录网站访问情况的系统,比如每天有多少个用户,多少个页面被浏览,访客的IP、操作系统、浏览器、使用的搜索关键词等等(跟百度统计、CNZZ功能一样)。最开始存储…...

MCP-Playwright: 赋予AI模型操控浏览器的能力

在人工智能快速发展的时代,我们一直在寻找让AI与现实世界更好地交互的方式。今天我想向大家介绍一个强大的开源项目:MCP-Playwright,它正在改变AI模型与Web环境交互的方式。 源码地址:https://github.com/executeautomation/mcp-…...

Scala集合计算高级函数及案例

一、说明 1.过滤:遍历集合,获取满足指定条件的元素组成新集合 2.转化 / 映射(map):将集合中的每个元素映射到某一个函数 List(1, 2, 3, 4, 5, 6, 7, 8, 9)中每个元素加 1,得到List(2, 3, 4, 5, 6, 7, 8,…...

​​如何测试一个API接口?从原理到实践详解

在微服务架构和前后端分离的现代软件开发中,API接口是系统的“血管”,承担着数据传输与逻辑处理的核心功能。本文将用通俗的语言,结合实例,系统讲解API接口测试的原理、方法及工具,助你掌握这一关键技能。 ​ 目录 ​…...

弹簧质点系统(C++实现)

本文实现一个简单的物理算法:弹簧质点系统(Mass-Spring System)。这是一个经典的物理模拟算法,常用于模拟弹性物体(如布料、弹簧等)的行为。我们将使用C来实现这个算法,并结合链表数据结构来管理…...

java设计模式-代理模式

代理模式(proxy) 基本介绍 1、代理模式:为一个对象提供一个替身,一控制对这个对象的访问。即通过代理对象访问目标对象。这样做的好处是:可以在目标对象实现的基础上,增强额外的功能操作,及扩展目标对象的功能。 2、被…...

【比赛编排软件的设计与实现】

有个朋友想要一个比赛编排软件,闲来无事,花几个晚上的时间帮忙编写了一下,主要本人也比较喜欢看NBA,想尝试实现类似的功能。最终实现功能展示如下: ![请添加图片描述](https://i-blog.csdnimg.cn/direct/6af8f323452…...

nginx如何实现负载均衡?

Nginx 是一款高性能的 Web 服务器和反向代理服务器,它可以通过配置实现负载均衡功能。以下是实现负载均衡的详细步骤和方法: 1. 基本概念 负载均衡是将客户端请求分发到多个后端服务器上,以提高系统的可用性和性能。Nginx 支持多种负载均衡策…...

Jetson NX开发板基础配置全指南

一、系统刷机教程 1. 准备工作 硬件准备: ✅ Jetson NX开发板 ✅ 19V 电源适配器 ✅ Type-C数据线 ✅ 16GB以上Micro SD卡 软件准备: 🔹 SDK Manager 🔹 Ubuntu 20.04虚拟机或者物理机 2. 刷机步骤 进入恢复模式: …...

【Linux高级IO(三)】Reactor

核心代码 Epoller.hpp #pragma once#include "nocopy.hpp" #include <cerrno> #include <sys/epoll.h> #include <unistd.h> #include <string.h> #include "Log.hpp"class Epoller : public nocopy //类Epoller继承自nocopy类&a…...

山东大学计算机网络第五章习题解析

参考教材&#xff1a;计算机网络&#xff1a;自顶向下方法&#xff1a;原书第 8 版 / &#xff08;美&#xff09;詹姆斯F. 库罗斯&#xff08;James F. Kurose&#xff09;&#xff0c;&#xff08;美&#xff09;基恩W. 罗斯&#xff08;Keith W. Rose&#xff09;著&#xf…...

openexr-2.3.0-windows编译

本文操作按照《c&c开源库编译指南》中内容规范编写&#xff0c;编译环境配置、工具下载、目录规划&#xff0c;及更多其他开源库编译方法请参考该文章。 c&c开源库编译指南&#xff1a;https://blog.csdn.net/binary0006/article/details/144086155 本文章中的源代码已…...

【NLP 面经 8】

目录 一、文本生成任务 模型架构方面 训练数据方面 生成策略方面 二、命名实体识别任务NER 模型架构方面 特征工程方面 训练优化方面 三、情感分析任务 模型架构方面 训练数据方面 超参数调整方面 四、计算余弦相似度并添加符合条件结果 提示&#xff1a; 思路与算法 任由深渊的…...

Qt项目——记事本

目录 前言工程文档一、功能介绍二、界面预览三、UI设计师工具四、给三个按钮设置贴图五、信号与槽六、实现文件打开功能代码实现代码实现 七、实现文件保存代码内容 八、实现文件关闭代码实现 九、显示高亮和行列位置代码实现 十、实现快捷功能代码实现 总结 前言 这个项目就是…...

WHAT - React 惰性初始化

目录 在 React 中如何使用惰性初始化示例&#xff1a;常规初始化 vs. 惰性初始化1. 常规初始化2. 惰性初始化 为什么使用惰性初始化示例&#xff1a;从 localStorage 获取值并使用惰性初始化总结 在 React 中&#xff0c;惰性初始化&#xff08;Lazy Initialization&#xff09…...

HOW - 如何测试 React 代码

目录 一、使用 React 测试库&#xff1a;testing-library/react二、使用测试演练场&#xff1a;testing-playground.com三、使用 Cypress 或 Playwright 进行端到端测试四、使用 MSW 在测试中模拟网络请求 一、使用 React 测试库&#xff1a;testing-library/react testing-li…...

React 条件渲染

开发环境&#xff1a;Reacttsantd 通常你的组件会需要根据不同的情况显示不同的内容。在 React 中&#xff0c;你可以通过使用 JavaScript 的 if 语句、&& 和 ? : 运算符来选择性地渲染 JSX。 例子 我们在满足 isPacked{true} 条件的物品清单旁加上一个勾选符号✔。…...

使用 Canal 实现 MySQL 与 ES 数据同步的技术实践

前言 本文将详细讲解如何使用阿里的 Canal 工具&#xff0c;实现 MySQL 向 ES&#xff08;Elasticsearch&#xff09;的数据同步。 数据同步有多种方式&#xff0c;双写同步数据方式因性能慢、存在分布式事务及数据一致性问题、业务耦合度高且难以扩展&#xff0c;不适合采用…...

《实战AI智能体》什么是 Scrum 项目管理及为什么需要它

Scrum 项目管理是一种敏捷项目管理方法,强调团队合作、迭代开发和客户参与。它的核心概念包括 Scrum 团队、产品待办事项列表、Sprint、每日站立会议、Sprint 回顾会议等。Scrum 团队由产品负责人、Scrum 主管和开发团队组成,他们共同负责项目的规划、执行和交付: 产品待办事…...

智能硬件开发革命:低代码平台+物联网

物联网和低代码开发 初识物联网 物联网的概念 20 世纪末&#xff0c;随着计算机网络和通信技术的兴起&#xff0c;互联网开始走进并融入人们的生活。传统互联网通常以人作为主体&#xff0c;数据的产生和传输都在人的控制下进行&#xff0c;数据的应用结果也在具体的人身上得…...

「合诚」携手企企通共建新材料和健康产业采购数智化新生态

在科技革命与产业变革深度融合的时代背景下&#xff0c;新材料与健康产业正迎来数字化、智能化的快速发展。 技术突破与消费升级的双重驱动&#xff0c;推动着行业不断创新&#xff0c;同时也对企业的供应链管理提出了更高要求。 1、合诚&#xff1a;聚焦新材料与健康产业&am…...

ansible角色

一、角色 role 本质上就是目录 /etc/ansible/roles 1、创建角色 tree查看目录结构 在同一个角色中&#xff0c;相互引用文件、操作时&#xff0c;不需要添加任何路径 删除角色&#xff0c;将角色目录中的角色文件删除 案例&#xff1a;部署zabbix agent 执行角色...

WHAT - React 元素接收的 ref 详解

目录 1. ref 的基本概念2. 如何使用 ref2.1 基本用法2.2 类组件使用 createRef 3. forwardRef 转发 ref4. ref 的应用场景5. ref 和函数组件总结 在 React 中&#xff0c;ref&#xff08;引用&#xff09;用于访问 DOM 元素或类组件实例。它允许我们直接与元素进行交互&#xf…...

数字游戏(继Day 10)

主体: #include<stdio.h> #include<time.h> #include<stdlib.h>#include"mygetch.h"#define MAX 51 //定义测试字母的最大长度void help() {printf("\n****************************************");printf("\n*输入过程中无法退出…...

react 中将生成二维码保存到相册

需求&#xff1a;生成二维码&#xff0c;能保存到相册 框架用的 react 所以直接 qrcode.react 插件&#xff0c;然后直接用插件生成二维码&#xff0c;这里一定要写 renderAs{‘svg’} 属性&#xff0c;否则会报错&#xff0c;这里为什么会报错&#xff1f;&#xff1f;&#…...

React-05React中props属性(传递数据),propTypes校验,类式与函数式组件props的使用

1.类式组件props基本数据读取与解构运算符传递 <script type"text/babel">// 创建组件class PersonalInfo extends React.Component {render() {// 读取props属性 并读取值console.log(props,this.props);return(<ul><li>姓名&#xff1a;{this.p…...

export default function?在react中在前面还是后面呢?

好的&#xff01;我将通过几个具体场景的代码示例&#xff0c;展示不同 export default 使用方式的适用情况&#xff0c;并给出推荐实践。 场景 1&#xff1a;基础组件&#xff08;推荐直接导出&#xff09; 适用情况&#xff1a;简单组件&#xff0c;无需额外处理 // 方式A:…...

红米手机输入正确密码也无法解锁的问题的可尝试解决方法

文章目录 问题现象官方途径没看到有能给解决的可尝试解决方法&#xff08;汇总小红书成功解决方法&#xff0c;但从回复来看&#xff0c;多为成功的个例&#xff0c;整体而言希望不大&#xff09;重启/强制重启尝试之前的密码等待一晚上后再次尝试输入密码&#xff0c;包括重启…...

优选算法系列(6.模拟)

一.替换所有的问号&#xff08;easy&#xff09; 题目链接&#xff1a;1576. 替换所有的问号 - 力扣&#xff08;LeetCode&#xff09; 解法&#xff1a; 纯模拟。从前往后遍历整个字符串&#xff0c;找到问号之后&#xff0c;就用 a ~ z 的每⼀个字符去尝试替换即可。 代码…...

罗技K860键盘

罗技蓝牙键盘的顶部功能键F1-F12的原本功能 单击罗技键盘的功能键时&#xff0c;默认响应的是键盘上面显示的快进、调节音量等功能。改变回F1~F12原本功能&#xff0c;同时按下 fn和esc组合键...

⭐算法OJ⭐数据流的中位数【最小堆】Find Median from Data Stream

最小堆 最小堆是一种特殊的完全二叉树数据结构。 基本定义 堆性质&#xff1a;每个节点的值都小于或等于其子节点的值&#xff08;根节点是最小值&#xff09;完全二叉树性质&#xff1a;除了最底层外&#xff0c;其他层的节点都是满的&#xff0c;且最底层的节点都靠左排列…...

node-modules-inspector 使用以及 node_modules可视化 依赖关联关系快速分析

node-modules-inspector 使用以及 node_modules可视化 依赖关联关系快速分析 node-modules-inspector 简介 node-modules-inspector 是一个用于分析和可视化 node_modules 依赖关系的工具&#xff0c;主要功能包括&#xff1a; 依赖可视化&#xff1a;以交互式图表展示项目的依…...

python自动登录远程设备的几种方式(华为设备)

其实登录远程设备&#xff08;交换机路由器&#xff09;的方式无非就是通过SSH或者是Telnet这两个协议&#xff0c;当然最主要的还是SSH&#xff0c;这里主要讲的是通过这两个协议登录远程设备的几个方式 拓扑 本文都是用的这个拓扑&#xff0c;主要通过编写python脚本来登录其…...

【android bluetooth 框架分析 01】【关键线程 1】【关键线程介绍】

1. 为什么学习蓝牙协议栈之前&#xff0c;必须先梳理清楚这几大线程&#xff1f; 为什么 学习协议栈之前 最好是要先梳理清楚 关键线程 bt_stack_manager_threadbt_jni_threadbt_main_threadbt_a2dp_sink_worker_thread 1.1 蓝牙协议栈是典型的“多线程异步系统” 蓝牙协议…...

LDAP高效数据同步:Syncrepl复制模式实战指南

#作者&#xff1a;朱雷 文章目录 一、Syncrepl 复制简介1.1. 什么是复制模式1.2. 什么是 syncrepl同步复制 二、Ldap环境部署三、配置复制类型3.1. 提供者端配置3.2. 消费者端配置3.3.启动服务3.4.测试同步是否生效 四、总结 一、Syncrepl 复制简介 1.1. 什么是复制模式 Ope…...

SeeGround: See and Ground for Zero-Shot Open-Vocabulary 3D Visual Grounding

CVPR 2025 核心问题与动机 问题背景&#xff1a;3D视觉定位&#xff08;3DVG&#xff09;要求根据文本描述在3D场景中定位目标物体&#xff0c;是增强现实、机器人导航等应用的关键技术。传统方法依赖标注的3D数据集和预定义类别&#xff0c;限制了其在开放场景中的扩展性。现…...

深入理解Spring IoCDI

1. 引言&#xff1a;为什么需要IoC和DI&#xff1f; 传统开发方式的耦合性问题 在传统开发中&#xff0c;对象通常通过 new 关键字直接创建&#xff0c;例如&#xff1a; // 直接依赖具体实现类 UserService userService new UserServiceImpl(); OrderService orderService…...

NO.78十六届蓝桥杯备战|数据结构-并查集|双亲表示法|初始化|查询|合并|判断|亲戚|Lake Counting|程序自动分析(C++)

双亲表⽰法 接下来要学习到的并查集&#xff0c;本质上就是⽤双亲表⽰法实现的森林。因此&#xff0c;我们先认识⼀下双亲表⽰法。 在学习树这个数据结构的时&#xff0c;讲到树的存储⽅式有很多种&#xff1a;孩⼦表⽰法&#xff0c;双亲表⽰法、孩⼦双亲表⽰法以及孩⼦兄弟表…...

20250407-组件v-model

基本用法 v-model 可以在组件上使用以实现双向绑定。 首先看下 v-model 在原生元素上的用法&#xff1a; <input v-model"searchText" /> 在代码背后&#xff0c;模板编译器会对 v-model 进行更冗长的等价展开。因此上面的代码其实等价于下面这段&#xff…...

oracle 存储体系结构

oracle 存储体系结构 参考&#xff1a; Logical Storage Structures (oracle.com)...

晋城市电子健康证上传照片尺寸要求及手机拍照制作方法

晋城市餐饮从业人员健康证电子照片上传有着明确的技术规范。根据"晋城市从业人员电子健康证明服务平台"要求&#xff0c;照片尺寸应为358像素&#xff08;宽&#xff09;441像素&#xff08;高&#xff09;&#xff0c;这一比例符合标准证件照的规格。照片底色可选择…...

STL c++ list——模拟实现

结点类的模拟实现 list是一个带头双向循环链表 因需要实现一个节点类&#xff0c;其中包含哨兵位&#xff08;用来标识位置&#xff09;&#xff0c;节点信息&#xff08;val数据&#xff0c;prev后指针&#xff0c;next后指针&#xff09; template<class T> struct …...

【ES系列】Elasticsearch从入门到精通保姆级教程 | 启篇

🔥 本系列将带你从零开始学习Elasticsearch,通过保姆级教程,手把手教你掌握这个强大的搜索与分析引擎。无论你是完全的新手,还是想系统学习ES的开发者,这个系列都能满足你的需求。 📚博主匠心之作,强推专栏: JAVA集合专栏 【夜话集】JVM知识专栏数据库sql理论与实战【…...

图解Java运行机制-JVM、JRE、JDK区别

以下是Java运行机制及JVM、JRE、JDK区别的图解与说明&#xff1a; --- ### 一、Java程序运行机制 1. **编写与编译** Java源文件&#xff08;.java&#xff09;通过**JDK中的编译器&#xff08;javac&#xff09;**编译为字节码文件&#xff08;.class&#xff09;&#xff…...

UML类图综合实验三补档

1.使用简单工厂模式模拟女娲(Nvwa)造人(Person)&#xff0c;如果传入参数“M”&#xff0c;则返回一个Man对象&#xff0c;如果传入参数“W”&#xff0c;则返回一个Woman对象&#xff0c;用Java语言实现该场景。现需要增加一个新的Robot类&#xff0c;如果传入参数“R”&#…...

OpenHarmony子系统开发 - DFX(八)

OpenHarmony子系统开发 - DFX&#xff08;八&#xff09; 八、Faultlogger开发指导 概述 功能简介 Faultlogger是OpenHarmony为开发者提供的一个维测日志框架&#xff0c;能够为应用、元能力、系统服务进程崩溃故障提供统一检测、日志采集、日志存储、日志上报功能&#xf…...