内网横向移动：Kerberos认证与哈希传递攻击
Windows 11 是微软全新操作系统，现代化界面，流畅操作体验，适用于学习、工作与日常生活。它更偏向把系统状态查看和常用调节动作放在一起，适合需要持续观察和微调设备状态的场景。
在上一节《内网横向移动：获取域内单机密码与Hash》中，我们探讨了如何在内网渗透中获取主机的密码和哈希值。获取哈希后，我们可以尝试破解，如果破解失败，我们可以利用这些哈希通过PTH、PTT等攻击方式继续进行内网的横向渗透，这就是我们接下来要讨论的内容。本节，我们将详细讲解横向渗透中的Kerberos认证与票据传递攻击，这部分在内网渗透中至关重要。本文专为像我一样正在入门的小白准备，大佬可以路过，呜呜呜！由于近期一直在准备“蓝帽杯”的比赛，所以一直没有时间更新，文章可能略显仓促，不足之处还请多多指教。Ker
在上一节《内网横向移动：获取域内单机密码与Hash》中，我们探讨了如何在内网渗透中获取主机的密码和哈希值。获取哈希后，我们可以尝试破解，如果破解失败，我们可以利用这些哈希通过PTH、PTT等攻击方式继续进行内网的横向渗透，这就是我们接下来要讨论的内容。
本节，我们将详细讲解横向渗透中的Kerberos认证与票据传递攻击，这部分在内网渗透中至关重要。本文专为像我一样正在入门的小白准备，大佬可以路过，呜呜呜！
由于近期一直在准备“蓝帽杯”的比赛，所以一直没有时间更新，文章可能略显仓促，不足之处还请多多指教。
Kerberos协议认证过程Kerberos协议是一种基于第三方可信主机的计算机网络协议，用于在非安全网络中通过安全手段进行身份认证。Kerberos协议在内网域渗透中至关重要，白银票据、黄金票据、攻击域控等都离不开Kerberos协议。
关键角色：
域控制器（Domain Controller，简称DC），是一台用于统一管理用户和计算机的计算机。秘钥分发中心（Key Distribution Center，简称KDC），默认安装在域控制器中，包括AS和TGS。身份验证服务（Authentication Service，简称AS），用于KDC对客户端进行认证。票据授予服务（Ticket Granting Service，简称TGS），用于KDC向客户端和服务器分发临时密钥（Session Key）。活动目录（Active Directory，简称AD），用于存储用户、用户组和域相关的信息。客户端（Client），指用户。服务端（Server），可能是某台计算机或某个服务。举个例子：当whoami想要与bunny通信时，whoami需要向bunny证明自己是whoami，直接的方式是whoami使用二人之间的秘密作为密钥加密明文文字生成密文，然后将密文和明文文字一起发送给bunny，bunny再用秘密解密得到明文，把明文和明文文字进行对比，若一致，则证明是whoami。
但是在网络中，密文和文字很容易被窃取，并且只要时间足够，总能破解出密钥。因此，不能使用这种长期有效的密钥，而应改用短期的临时密钥。而这个临时密钥就需要一个第三方可信任的机构来提供，即KDC（Key Distribution Center）。
下面讲一下详细的认证步骤，大致分为三个阶段：
AS-REQ—AS-REP阶段：首先，客户端使用自己的哈希值NTLM-hash对timestamp、client-info、server-info等数据进行加密，发送给AS，向AS请求TGT票据。（AS-REQ）
当AS收到客户端发来的信息后，AS会先向域控AD请求，询问是否有此客户端用户，如果有的话，就会取出该客户端的NTLM hash，然后生成一个随机密钥称为Session-Key as（临时密钥Session-Key）。并使用客户端NTLM-hash加密Session-key as作为一部分内容。
还有一部分内容就是TGT：使用KDC一个特定账户krbtgt的NTLM-hash对Session-key as、timestamp、Client-info进行的加密。然后将这两部分回复给客户端。（AS-REP）
该阶段是客户端和AS的认证。
TGS-REQ—TGS-REP阶段：客户端收到AS发来的AS-REP后，先使用自身的NTLM Hash解密得到Session-key as，然后使用Session-key as对Client-Info、timestamp、Server-Info加密作为一部分，加上TGT，一并发送给KDC中的TGS。（TGS-REQ）
TGS收到请求后，使用krbtgt的NTLM Hash解密TGT，得到Session-key as、timestamp、Client-info，同时，使用TGT解密出的Session-key as解密第一部分内容，得到Client-info、timestamp。比对这两部分解密得到的内容以验证是否通过。通过后，生成一个新的随机密钥(Session-Key tgs)，并向客户端回复TGS-REP的两部分内容：
一部分是Session-key as加密的Session-key tgs另一部分是ST(ticket)，即Server NTLM-hash加密的数据(Session-key tgs、timestamp、Client-info)该阶段是客户端和KDC的通信。
AP-REQ—AP-REP阶段：客户端收到TGS-REP后，先用自己保存的Session-key as解密出了Session-key tgs。再使用Session-key tgs加密Client-info、timestamp作为一部分内容，另一部分是ST，一并发送给服务器。（AP-REQ）
服务器收到客户端发来的AP-REQ后，用自身的NTLM Hash解密了ST，得到Session-key tgs，再用Session-key tgs解密第一部分得到Client-info、timestamp。然后与ST的Client-info、timestamp进行对比。timestamp一般时间为8小时。验证通过后，回复AP-REP，最终建立通信。
Kerberos认证详情请见：
https://www.jianshu.com/p/13758c310242，这里写的十分详细了。
哈希与票据传递攻击下面，我们以下图所示的环境来具体演示哈希传递攻击（PTH）的方法。
如图中，右侧是一个内网环境，域名为god，有三台机器：Windows 7、Windows Server 2008、Windows Server 2003，其中Windows 7和Windows Server 2003都可以上网但没有公网IP。攻击者使用公网VPS。
Windows Server 2008（192.168.52.138）为域控制器（机器名为OWA），假设我们攻击者已经获得了Windows 7域成员主机的控制权，需要进一步横向渗透去拿下Windows Server 2003和域控。
Postman是一套面向API全生命周期的开发与测试平台，可在Mac上发送和调试多种协议请求，管理集合、环境及认证信息，并完成脚本测试、模拟服务、监控、文档发布和团队协作。它适合开发、测试及运维人员使用，提供个人免费方案。
Docker Desktop 是 Docker 官方为 Mac 提供的容器开发环境，集成 Docker Engine、命令行工具、Compose、Build、Kubernetes 与图形化管理界面。
Android Studio 是 Google 面向安卓应用开发提供的官方集成开发环境，基于 IntelliJ IDEA 构建。它整合智能代码编辑、Gradle 构建、界面预览、设备模拟、性能分析、调试测试及 APK 分析等工具。
Xcode 是苹果面向 Mac 提供的官方集成开发环境，将代码编辑、项目构建、SwiftUI 实时预览、设备模拟、自动化测试、断点调试、性能分析和应用分发整合在同一套工作流中，适合开发与维护 iPhone、iPad、Mac、Apple Wa
JetBrains WebStorm 是面向 JavaScript、TypeScript 和现代 Web 技术的专业集成开发环境，可智能理解项目结构，提供代码补全、重构、错误检查、运行调试、测试及 Git 工具。
PhpStorm 是 JetBrains 推出的专业 PHP 集成开发环境，可在 Mac 上完成代码编写、智能检查、重构、调试、测试和数据库管理。它支持主流 PHP 框架、Composer、Git、Docker 与远程解释器。
JetBrains PyCharm 是面向 Python 开发者的集成开发环境，提供智能补全、代码检查、重构、调试、测试、版本控制及虚拟环境管理功能。Mac 版兼容 Intel 与 Apple 芯片，核心功能可免费使用。
IntelliJ IDEA 是 JetBrains 推出的专业集成开发环境，重点服务于 Java、Kotlin 与 JVM 项目开发。软件集成代码补全、静态检查、重构、调试、测试、版本控制及构建工具，并可借助插件扩展语言和框架支持。
Visual Studio Code 是微软提供的免费代码编辑器，支持 macOS，并为 Intel 与 Apple 芯片 Mac 提供适配版本。软件集代码编辑、调试、Git 源代码管理、集成终端和扩展市场于一体。
REAPER是Cockos开发的数字音频工作站，提供多轨音频与MIDI录制、剪辑、处理、混音和母带制作工具。Mac版兼容Intel与Apple芯片，支持AU、VST、VST3、CLAP等插件格式，并提供高度可定制的工作流程。
Adobe Audition 是面向播客、影视后期、音乐制作及内容创作者的专业音频工作站，提供波形精修、多轨录制与混音、频谱编辑、降噪修复、响度匹配和效果处理工具，并可与 Adobe Premiere 协同完成视频声音制作。
Pro Tools 是 Avid 推出的专业数字音频工作站，覆盖多轨录音、无损剪辑、MIDI 编曲、插件处理、自动化混音及声音与画面同步等工作。它拥有 Intro、Artist、Studio 和 Ultimate 等方案。
PixPix 是面向品牌、卖家和内容团队的在线 AI 图片视频创作平台，提供图视频 Agent、无限画布、图片生成、视频生成、自然语言编辑及商品套图、产品精修和带货视频等电商工具。
Postman 是面向 API 全生命周期的开发与协作平台。Windows 桌面版可用于构建和发送 HTTP、GraphQL、gRPC、WebSocket、MQTT 等请求，并提供环境变量、集合、脚本测试、模拟服务、监控、文档及团队工作区等
Docker Desktop 为 Windows 开发者提供集成式容器环境，内置 Docker Engine、命令行工具、Compose、Build 与 Kubernetes 等组件，可在本机完成镜像构建、容器运行、日志查看和资源管理。
Android Studio 是 Google 面向 Android 应用开发提供的官方集成开发环境，以 IntelliJ IDEA 为基础，集成智能代码编辑、Gradle 构建、设备模拟、界面预览、调试测试及性能分析工具，
WebStorm 是 JetBrains 面向 JavaScript、TypeScript 和现代 Web 技术打造的集成开发环境。它提供项目级代码分析、智能补全、安全重构、导航搜索，并集成调试、测试、终端、Git 与常用前端工具，
PhpStorm 是 JetBrains 面向 PHP 与现代 Web 开发打造的专业集成开发环境，提供代码补全、静态检查、重构、调试、测试、数据库、版本控制及前端语言支持。Windows 用户可直接下载安装程序，
PyCharm 是 JetBrains 推出的 Python 集成开发环境，提供智能代码补全、错误检查、重构、调试、测试、Git、终端及 Jupyter Notebook 支持。统一版安装后可体验 30 天 Pro 功能，
JetBrains IntelliJ IDEA 是以 Java、Kotlin 和 JVM 项目为核心的专业集成开发环境，提供智能补全、代码检查、安全重构、调试、测试、版本控制及构建工具集成。统一发行版的核心功能可免费用于商业和非商业项目，
Visual Studio Code 是微软推出的免费代码编辑器，Windows 版集成智能补全、代码导航、调试、终端和版本控制，并可通过扩展添加语言、格式化及远程开发能力。它启动较快、配置灵活，
REAPER 是 Cockos 推出的数字音频工作站，适用于录音、MIDI 编曲、音频编辑、混音、母带制作及声音设计。软件安装包小巧，支持多轨录制、灵活路由、自动化、第三方插件和脚本扩展，并提供完整功能的 60 天免费评估期。
Adobe Audition 是面向播客、影视后期、广播与音乐制作的专业音频工作站，提供波形编辑、多轨混音、频谱分析、录音、降噪修复和效果处理等功能。Windows 版通过 Adobe Creative Cloud 安装和管理，
Pro Tools 是 Avid 推出的专业数字音频工作站，提供多轨录音、音频剪辑、MIDI编曲、插件处理、自动化混音及影视声音制作能力。它适合音乐人、录音师、制作人和音频后期团队使用，并提供免费入门版、订阅方案及永久授权选择。