在 Active Directory 环境中进行…

针对 AD 认证体系，利用 AS-REP roasting、Kerberoasting、金/银/钻石/蓝宝石票据、委派滥用与票据传递获取域内权限。

适用场景

解决思路

1. 先按需加载相关技能：ACL 滥用（active-directory-acl-abuse）、ADCS 持久化（active-directory-certificate-services）、NTLM 中继（ntlm-relay-coercion）、横向移动（windows-lateral-movement）；需要多步攻击链时加载 KERBEROS_ATTACK_CHAINS.md。
2. 理解 Kerberos 认证流程：AS-REQ/AS-REP 获取 TGT（用 krbtgt 哈希加密），TGS-REQ/TGS-REP 获取服务票据（用服务哈希加密），AP-REQ/AP-REP 向服务出示票据。
3. AS-REP Roasting：枚举未启用 Kerberos 预认证的用户，用 GetNPUsers.py（-usersfile/-request，-format hashcat）或 Rubeus.exe asreproast，或用 PowerView 的 Get-DomainUser -PreauthNotRequired 枚举。
4. 破解 AS-REP 哈希：hashcat -m 18200 或 john --wordlist。
5. Kerberoasting：用 GetUserSPNs.py -request、Rubeus.exe kerberoast（可 /user 指定高价值账户）或 PowerView 枚举 SPN 后手动请求 TGS。
6. 破解 TGS 哈希：hashcat -m 13100（RC4）或 -m 19700（AES）；优先针对 RC4，因其破解更快，可用 Rubeus /tgtdeleg 强制 RC4。
7. 黄金票据：用 krbtgt 哈希伪造 TGT 冒充任意用户（含不存在用户），工具：ticketer.py -nthash -domain-sid、Mimikatz kerberos::golden、Rubeus golden；需先通过 DCSync 或 NTDS.dit 获取 krbtgt 哈希；持久性直到 krbtgt 密码被更改两次。
8. 白银票据：用服务账户哈希伪造 TGS，仅访问特定服务且不与 KDC 交互，工具：ticketer.py -spn、Mimikatz kerberos::golden /service；常见 SPN 映射：cifs/host（文件共享）、http/host（WinRM）、ldap/dc（LDAP 查询）、MSSQLSvc/host:1433（数据库）、http/mail.domain.com（Exchange）。
9. 钻石票据：请求真实 TGT 后修改 PAC，比黄金票据更难检测，用 Rubeus diamond /krbkey /ticketuser /ticketuserid /groups /ptt；优势是票据元数据（时间戳、加密类型）与真实 TGT 一致。
10. 蓝宝石票据：用 S4U2Self 获取目标用户的真实 PAC 再嵌入伪造票据，用 Rubeus diamond /tgtdeleg；优势是 PAC 来自 KDC 真实副本，极难检测。
11. 无约束委派攻击：用 Get-DomainComputer -Unconstrained 枚举，用 Rubeus monitor /interval /nowrap 监控捕获 TGT，通过 SpoolSample.exe（PrinterBug）或 PetitPotam 强制 DC 认证以捕获其 TGT。
12. 约束委派攻击（S4U2Proxy）：用 Get-DomainComputer -TrustedToAuth 枚举 msds-allowedtodelegateto，用 getST.py -spn -impersonate 或 Rubeus s4u /msdsspn 以任意用户身份获取允许服务的 TGS。
13. 基于资源的约束委派（RBCD）：需对目标 msDS-AllowedToActOnBehalfOfOtherIdentity 有写权限；步骤：用 addcomputer.py 创建/控制机器账户（MAQ>0），用 rbcd.py -action write 设置 RBCD，用 getST.py 执行 S4U2Self+S4U2Proxy，设置 KRB5CCNAME 后用 psexec.py -k -no-pass 使用票据。
14. 票据传递（Pass-the-Ticket）：设置 KRB5CCNAME 后用 psexec.py -k -no-pass，或用 Mimikatz kerberos::ptt 注入 .kirbi，或用 Rubeus ptt /ticket。
15. 哈希传递升级（Overpass-the-Hash / Pass-the-Key）：用 NTLM 哈希请求 Kerberos TGT 以避免 NTLM 日志，工具：getTGT.py -hashes、Rubeus asktgt /rc4 /ptt、Mimikatz sekurlsa::pth /ntlm /run。
16. 解决 Kerberos 双跳问题：可选 CredSSP（凭据暴露风险）、B 上无约束委派（过度授权）、约束委派（推荐，范围受限）、RBCD（现代灵活）、Invoke-Command 嵌套 -Credential（脚本中暴露密码）。
17. 按决策树选择路径：有域用户凭据→Kerberoast/AS-REP roast/枚举委派/枚举高价值 SPN；有服务账户哈希→白银票据或 S4U2Proxy 链；有 krbtgt 哈希→黄金/钻石/蓝宝石票据；控制无约束委派主机→监控 TGT+强制 DC 认证+DCSync；可写目标 RBCD 属性→RBCD 攻击；有 NTLM 哈希需 Kerberos→Overpass-the-Hash；有 .kirbi/.ccache→票据传递。

适用边界 · 注意事项

• 未获得合法授权或不在渗透测试/红队授权范围内时不得使用。
• 缺乏必要的哈希或票据前提（如无 krbtgt 哈希、无服务账户哈希、无写权限）时对应技术不可行。
• 目标环境已部署针对 Kerberos 异常票据的检测（如 PAC 校验、票据元数据异常告警）时，黄金/白银票据易被识别，应优先考虑钻石/蓝宝石票据。