WEB安全--内网渗透--Kerberos之AS_REQ&AS_REP

一、前言

之前的文章提到过，在内网的域环境中，服务器之间默认使用的是Kerberos协议。

光了解NTLM协议是远远不够的，为了内网渗透，我后面将详细介绍Kerberos协议的原理以及漏洞的利用。

二、Kerberos协议

Kerberos是一种网络身份验证协议，它主要是给Client 或者用户提供凭证或票据去访问服务器中的相应服务。

区别于NTLM：

NTLM：起到用户登录服务器之间的验证作用

Kerberos：起到给用户提供票据访问服务器中的服务的作用

在Kerberos协议中主要是有三个角色的存在：

访问服务的Client(以下表述为Client 或者用户)
提供服务的Server(以下表述为服务)
KDC（Key Distribution Center）密钥分发中心

其中KDC服务默认会安装在一个域的域控中，而Client和Server为域内的用户或者是服务，如HTTP服务，SQL服务。在Kerberos中Client是否有权限访问Server端的服务由KDC发放的票据来决定。（比如说你去住酒店，酒店前台给你房卡，你拿着对应的房卡就能入住哪间房。你就是用户，酒店前台就是密钥分发中心，酒店就是服务器，房间就是服务器提供的服务）

kerberos的简化认证认证过程如下图：

AS_REQ: Client向KDC发起AS_REQ,请求凭据是Client hash加密的时间戳
AS_REP: KDC使用Client hash进行解密，如果结果正确就返回用krbtgt hash加密的TGT票据，TGT里面包含PAC,PAC包含Client的sid，Client所在的组。
TGS_REQ: Client凭借TGT票据向KDC发起针对特定服务的TGS_REQ请求
TGS_REP: KDC使用krbtgt hash进行解密，如果结果正确，就返回用服务hash 加密的TGS票据(这一步不管用户有没有访问服务的权限，只要TGT正确，就返回TGS票据)
AP_REQ: Client拿着TGS票据去请求服务
AP_REP: 服务使用自己的hash解密TGS票据。如果解密正确，就拿着PAC去KDC那边问Client有没有访问权限，域控解密PAC。获取Client的sid，以及所在的组，再根据该服务的ACL，判断Client是否有访问服务的权限。