企业官网建设流程全解析

🔒免责声明：本文所有技术内容仅供授权红蓝对抗、渗透测试学习研究，禁止在未授权企业内网、生产域环境执行票据伪造、凭证窃取等操作，未授权访问属于违法行为。全部演示均基于本地搭建的 AD 域靶场环境，请勿对真实业务系统复现。

摘要
Kerberoasting、黄金票据 Golden Ticket、白银票据 Silver Ticket，是 AD 域渗透中三大最经典、最高频的攻击技术。它们全部基于 Kerberos 认证协议的设计特性，攻击者利用票据伪造、离线爆破，绕开密码明文获取域权限，在护网红蓝对抗中频繁使用。

很多新手被这些名字吓住，以为需要多高深技术，其实底层逻辑并不复杂：Kerberoasting 是向 KDC 合法请求 TGS 服务票据，离线爆破服务账号密码；黄金票据是拿到 krbtgt 哈希之后伪造 TGT，任意伪造域管理员身份；白银票据是拿到服务账号哈希之后伪造 TGS 服务票据，免认证访问特定服务。

理解这三者，必须理解 Kerberos 认证流程中三个核心对象：TGT（票据授予票据）、TGS（服务票据）、PAC（权限属性证书），以及两个关键密钥：krbtgt 账号哈希（域密钥）、目标服务账号哈希（服务密钥）。本文从 Kerberos 基础讲起，逐步拆解三大攻击的完整原理、利用前置条件、工具命令、复现全过程、特征检测与防御加固。适合内网渗透初学者、红蓝对抗人员阅读，读完可以从原理层面真正掌握三大票据攻击，而不是只会复制粘贴命令。

1. Kerberos 认证协议基础，三大核心对象

Kerberos 是 AD 域默认认证协议（另一套是 NTLM），采用对称密钥，密码永不直接传输，而是通过密钥加密票据认证。

想象 Kerberos 是一个酒店前台系统，没有密码明文，只有房卡（票据）。

核心参与者：

• 客户端 Client：域用户，要访问服务的机器；
• KDC 密钥分发中心：就是域控制器 DC，负责发票据；
• 目标服务：文件服务器、MSSQL、IIS 等，注册了 SPN 的服务。

Kerberos 完整认证流程：

1. 客户端输入账号密码，向 KDC 发送 AS 请求，索要 TGT 票据；
2. KDC 验证账号密码，用krbtgt 账号哈希加密生成 TGT，返回给客户端；
3. 客户端拿着 TGT，向 KDC 发送 TGS 请求，索要访问目标服务的 TGS 服务票据；
4. KDC 用目标服务账号哈希加密生成 TGS 票据，返回客户端；
5. 客户端把 TGS 票据提交给目标服务；
6. 服务验证 TGS 票据通过，允许访问。

2. TGT、TGS、PAC 通俗拆解，读懂票据结构

理解三大攻击，必须先看懂三张 “票据”。

2.1 TGT 票据授予票据 Ticket‑Granting‑Ticket

• 作用：证明 “我是域内某个合法用户”，是向 KDC 换取服务票据的凭证。
• 生成方式：用户首次认证成功后，KDC 使用KRBTGT 账号的 NTLM 哈希对 TGT 签名加密。
• 有效期：默认 10 小时，可续期。
• 关键：TGT 由 krbtgt 哈希保护。一旦攻击者拿到 krbtgt 哈希，就可以自己伪造任意 TGT，这也是黄金票据的核心。

2.2 TGS 服务票据 Service Ticket

• 作用：访问某个具体服务（如 MSSQL、SMB、HTTP）的凭证。
• 生成方式：用户拿着 TGT 向 KDC 请求某服务 SPN，KDC 使用该服务账号的 NTLM 哈希加密 TGS。
• 关键：TGS 由目标服务账号哈希保护。拿到某个服务账号哈希，就可以伪造访问该服务的 TGS，白银票据的核心。

2.3 PAC 权限属性证书 Privilege Attribute Certificate

• 作用：PAC 封装在 TGT 和 TGS 里面，携带用户的 SID、所属组 SID、权限信息。
• 目标服务解密 TGS 之后，从 PAC 读取用户是谁、属于哪些组（是否 Domain Admins），决定授予什么权限。
• 关键：PAC 是权限判断的关键载体。黄金票据伪造时会把 Domain Admins 的 SID 写入 PAC，让服务认为你是域管理员。
• 安全机制：PAC 有签名校验，部分票据有附加的 PAC 签名（KDC、服务双签名）。不过对于特定服务（白银票据场景），部分旧版本服务不校验附加 PAC 签名，只校验服务密钥签名。

3. 三大票据攻击整体对比总览

先建立整体框架，三者核心区别：

核心记忆：

• 黄金票据= 伪造 TGT，靠 krbtgt 哈希，权限最大，覆盖整个域；
• 白银票据= 伪造 TGS，靠服务账号哈希，只能访问特定服务；
• Kerberoasting= 不伪造，合法请求 TGS，离线爆破服务账号密码。

4. Kerberoasting 攻击完整详解

Kerberoasting 是最常见、门槛最低的域内提权手段，普通域用户就可以执行，不需要任何管理员权限。

4.1 攻击原理

域内很多服务（MSSQL、IIS、文件服务、第三方应用）以域用户账号运行，并注册 SPN。例如 MSSQL 服务以svc_mssql账号运行，注册 SPNMSSQLSvc/sql01.corp.local:1433。

Kerberos 认证第 4 步，任何用户都可以向 KDC 请求某个 SPN 的 TGS 服务票据，KDC 不会校验用户对该服务的访问权限，就会返回 TGS 票据。而TGS 票据是由服务账号 svc_mssql 的 NTLM 哈希加密的。

攻击者把 TGS 票据保存下来，TGS 中包含服务账号的 NTLM 哈希加密的加密信息，攻击者本地对 TGS 做离线暴力破解，尝试不同密码，直到还原出服务账号密码。整个过程不接触服务端，不需要和目标服务建立连接，纯 LDAP 查询 + KDC 票据请求，噪声低。

简单总结：任何域用户→请求某服务 SPN 的 TGS→拿到用服务账号哈希加密的票据→离线爆破出服务账号密码。

4.2 利用前置条件

1. 域内存在 SPN 挂载在域用户账号（不是计算机账号）；
2. 拥有任意一个域用户账号（普通域用户即可）；
3. 网络可达 KDC（域控 88 端口）；
4. 服务账号密码不够复杂（弱密码才能爆破成功）。

关键点：SPN 必须挂载在域用户上才能 Kerberoasting；如果 SPN 挂载在计算机账号（机器账户密码随机且极复杂），爆破没有意义。

4.3 Kerberoasting 获取方式

Windows Rubeus：

Rubeus.exe kerberoast Rubeus.exe kerberoast /outfile:hashes.txt

Linux Impacket：

impacket‑GetUserSPNs.py corp.local/user01:Password@ -dc‑ip 192.168.1.10 -request

4.4 离线爆破

拿到 TGS hash 后，用 hashcat 爆破：

# Kerberoasting hashcat模式13100 hashcat -m 13100 hash.txt wordlist.txt

爆破成功，拿到服务账号明文密码，如果服务账号是高权限账号（比如域管理员运行服务），直接横向到高权限。

4.5 Kerberoasting 特点

1. 普通域用户即可，门槛极低；
2. 基于 LDAP+Kerberos，不接触服务端，隐蔽；
3. 成功率取决于服务账号密码强度，企业服务账号常用简单密码，成功率较高；
4. 爆破服务账号，可能获得数据库、文件服务器、甚至管理员账号。

5. 黄金票据 Golden Ticket 完整详解

黄金票据是最强大、危害最高的域攻击，拿到它等于拿到整个域的控制权。

5.1 攻击原理

TGT 票据由krbtgt 账号的 NTLM 哈希加密签发。如果攻击者拿到 krbtgt 哈希，就可以自己伪造一张 TGT 票据，任意指定票据里的用户名、SID、组信息，把自己伪装成 Domain Admins 域管理员甚至任意用户，不需要密码，不需要登录域控，就可以访问域内所有资源。

通俗理解：KRBTGT 是 KDC 签发 TGT 的 “私章”。偷到私章，就能自己随便盖假票据，造出 “我是域管理员” 的通行证。

5.2 利用前置条件（门槛很高）

1. 拿到 krbtgt 账号的 NTLM 哈希（或 AES 密钥）；
2. 拿到域 SID；
3. 伪造 TGT 时指定一个目标用户名（通常 Domain Admins 成员或 Administrator）。

krbtgt 哈希从哪里拿：

• 已经拿下域控权限，从 ntds.dit 导出；
• DCSync 远程导出（需要高权限账号）；
• 从域控内存 /lsass 抓取。

注意：krbtgt 哈希是域控制器的核心，除非域控沦陷或拿到 DCSync 权限，否则拿不到。黄金票据是域控被攻陷后的 “权限维持与提权”，不是初始打点手段。

5.3 黄金票据为什么那么强

1. 权限最大：伪造 TGT，用户可以访问域内所有服务（SMB、HTTP、MSSQL 等）；
2. 可长期维持：票据有效期可设置为数年；
3. 可重复使用：只要 krbtgt 哈希不变，票据一直有效；
4. 无法轻易检测：用户不直接修改 AD 数据，只是票据层面伪装。

5.4 黄金票据的伪装 SID

伪造 TGT 时，把 PAC 中的 SID 写成：

• 域管理员组 SID（Domain Admins 的 RID 512）；
• 甚至企业管理员 SID（Enterprise Admins RID 519）。
  这样被访问服务认为你是域管理员。

关键：黄金票据伪造的是 TGT，用 krbtgt 哈希签名；它绕过的是 KDC 签发环节，直接伪造初始身份。

6. 白银票据 Silver Ticket 完整详解

白银票据比黄金票据范围小，但更隐蔽。

6.1 攻击原理

TGS 服务票据由目标服务账号的 NTLM 哈希加密。如果攻击者拿到某个服务账号的哈希，就可以伪造访问该服务的 TGS 票据，直接向该服务提交，服务验签通过就放行，整个过程完全绕过 KDC，不需要和域控交互。

通俗理解：黄金票据伪造 “进入酒店总台的身份卡”（TGT）；白银票据伪造 “进入某个具体房间的门卡”（TGS），直接刷特定服务。

6.2 利用前置条件

1. 拿到目标服务账号的 NTLM 哈希（该服务运行的账号）；
2. 知道目标服务 SPN；
3. 知道域 SID（可选，某些服务需要）。

服务账号哈希来源：

• 域控 ntds.dit 导出（该服务账号哈希）；
• 目标机器本地 dump/lsass 内存抓取；
• 其他攻击（Kerberoasting 爆破出服务账号密码后，得到哈希）。

6.3 白银票据能访问什么

• 特定服务的访问凭证，例如 SMB（C$ 共享）、HTTP（IIS）、MSSQL、WMI；
• 只能访问该服务账号运行的服务，不能像黄金票据覆盖整个域。

6.4 白银票据 vs 黄金票据对比

关键记忆：黄金票据控制整个域，白银票据控制单个服务；黄金用 krbtgt，白银用服务账号。

7. 三种攻击复现全过程（靶场实操）

靶场环境：本地 AD 域 corp.local，域控 DC01 (192.168.1.10)，域用户 user01，服务账号 svc_mssql，域管理员 Administrator。

7.1 Kerberoasting 完整复现

1. 使用域用户 user01 登录，确认能访问域控 LDAP；
2. Linux 攻击机使用 Impala：

impacket‑GetUserSPNs.py corp.local/user01:Password@ -dc‑ip 192.168.1.10 -request

3. 命令输出 svc_mssql 账号的 SPN，并返回 TGS 票据 hash；
4. 保存 hash，hashcat 爆破：

hashcat -m 13100 hash.txt rockyou.txt

5. 爆破成功，拿到 svc_mssql 明文密码，尝试用该密码横向到数据库 / 其他服务。

7.2 黄金票据完整复现

1. 已拿下域控权限，使用 Mimikatz 导出 krbtgt 哈希和域 SID：

mimikatz # lsadump::dcsync /domain:corp.local /user:krbtgt

或从 ntds.dit 提取。

2. 拿到 krbtgt NTLM 哈希、域 SID；
3. 用 Mimikatz 伪造黄金票据：

mimikatz # kerberos::golden /user:Administrator /domain:corp.local /sid:S‑1‑5‑21‑xxx /krbtgt:hash /ptt

4. 票据注入内存，直接访问域控 C$、SMB，验证管理员权限；
5. 可以请求访问域内任意服务，验证黄金票据生效。

7.3 白银票据完整复现

1. 拿到某个服务账号哈希（如 svc_mssql 或机器账号哈希）；
2. Mimikatz 伪造白银票据：

mimikatz # kerberos::golden /domain:corp.local /sid:S‑1‑5‑21‑xxx /target:sql01.corp.local /service:MSSQLSvc /rc4:服务hash /ptt

3. 票据注入，直接访问目标 SQL 服务；
4. 验证能访问该服务，但其他服务（如 SMB 共享）可能仍被拒。

8. 三种攻击利用前置条件与失败原因排查

很多新手复现失败，往往是前置条件不满足。列出常见失败排查：

Kerberoasting 失败

1. 域内没有 SPN 挂载在域用户账号 → 无可爆破目标；
2. 服务账号密码太复杂，爆破不成功 → 换更大字典或放弃；
3. 账号密码输入错误，LDAP 查询失败；
4. 域控防火墙封了 88 端口，无法请求 TGS。

黄金票据失败

1. krbtgt 哈希、域 SID 错误 → 票据无效；
2. 伪造时用户、SID 填写错误；
3. 目标机器存在 PAC 签名强校验（新版 Windows），部分服务会校验 PAC，导致黄金票据被拒。

白银票据失败

1. 服务账号哈希错误，SPN、域名、SID 填写错误；
2. 某些服务（如 SMB）对白银票据 PAC 校验严格，可能需要补充 PAC 附加签名；
3. 目标服务权限范围受限。

重要：票据伪造有有效期（默认 10 小时），注入内存票据过期后失效；重启用会丢失内存票据，需要重新注入。黄金票据没有密码明文，只靠哈希，是纯持久化后门。

9. 红队实战：三者在真实攻击链路中的应用

• Kerberoasting：普通域用户获得后，优先做 SPN 枚举和 Kerberoasting，爆破服务账号，往往是拿到内网控制权的第一步。服务账号可能本身就是数据库管理员、文件服务器管理员，爆破成功直接横向。
• 黄金票据：在已经拿下域控权限后，作为权限维持手段，用 krbtgt 哈希伪造 TGT，长期保持域管理员访问能力，即使账号密码被改，黄金票据依然有效（因为 krbtgt 哈希不变）。
• 白银票据：拿到某服务账号哈希后，伪造特定服务 TGS，绕过 KDC 访问目标服务，隐蔽性强，适合定向攻击，配合其他横向移动。

真实攻击链路：拿到普通域用户 → Kerberoasting 爆破服务账号 → 拿到服务账号哈希 → 白银票据访问目标服务 / 或继续提权 → 拿下域控 → 黄金票据持久化。

10. 蓝队视角：票据攻击的检测与防御加固

检测（如何发现票据攻击）

1. 监控事件 ID4769（Kerberos 服务票据请求）：大量来自同一用户的 TGS 请求，或同一 SPN 被频繁请求，是 Kerberoasting 特征；
2. 监控事件 ID4768（TGT 请求）：异常时间的 TGT 请求、使用 KRBTGT 请求，是黄金票据特征；
3. 监控事件 ID4770/4771：票据续期、预认证失败；
4. 监控域控访问日志：发现 DCSync（目录复制请求）；
5. 监控票据大小：伪造票据（黄金 / 白银）的 PAC、票据大小与正常票据不同；
6. Golden Ticket 检测：TGT 票据有效期异常（如 10 小时以上）、用户 SID 伪造、PAC 签名异常。

防御加固

1. 限制高权限服务账号：服务账号不要使用域管理员等高权限账号运行服务；服务账号密码复杂度高、定期更换；
2. 降低 krbtgt 风险：krbtgt 是域核心，除非业务需要，不要随意导出；定期轮换 krbtgt 密码（降低黄金票据风险）；
3. 启用 PAC 签名校验：新版 Windows 已默认，旧系统需启用 PAC 附加签名；
4. 最小权限：普通域用户不应具有大量服务账号的 TGS 请求权限；限制高危组；
5. 监控与告警：部署 SIEM，监控 4769 异常票据请求；
6. 日志审计：开启 Kerberos 审计，定期分析；
7. 服务账号使用组托管服务账号 gMSA：密码自动托管、自动更换，减少手工密码，降低爆破和票据攻击风险。

11. 常见误区与踩坑总结

1. 误区：黄金票据、白银票据是漏洞
   不是漏洞，是 Kerberos 协议设计特性。攻击者合法使用票据伪造。防御靠监控、密钥轮换、PAC 签名。
2. 误区：Kerberoasting 需要管理员权限
   错误。普通域用户即可，只需 LDAP 查询 + 请求 TGS，门槛极低。
3. 误区：SPN 都可以爆破
   错误。只有 SPN 挂载在域用户账号才能爆破；计算机账号 SPN（机器密码随机且复杂）无法爆破。
4. 误区：拿到 krbtgt 哈希 = 直接 RDP 登录域控
   错误。krbtgt 哈希只能伪造 TGT 票据，不是账号密码，不能直接交互登录，需要配合票据注入。
5. 误区：黄金票据有效期无限
   默认票据有效期有限，需要伪造时设置长有效期，但 Windows 策略限制票据最大生命周期。
6. 误区：白银票据能访问整个域
   错误。白银票据只对特定服务有效，范围比黄金票据小得多。

12. 学习总结

三大票据攻击全部建立在 Kerberos 协议设计之上：

• Kerberoasting：普通域用户合法请求 TGS 票据，离线爆破服务账号密码，门槛最低、最常见；
• 黄金票据 Golden Ticket：拿到 krbtgt 哈希，伪造 TGT，获得整个域管理员权限，用于域控沦陷后的权限维持与提权；
• 白银票据 Silver Ticket：拿到服务账号哈希，伪造特定服务的 TGS，绕过 KDC 访问指定服务，更隐蔽。

理解这三者的关键，在于掌握 Kerberos 的三个核心：TGT（krbtgt 哈希保护）、TGS（服务账号哈希保护）、PAC（权限信息载体）。
攻击成功的前提：拿到对应的密钥哈希（krbtgt 或服务账号），或爆破服务账号密码。
防御思路：服务账号强密码、定期轮换 krbtgt、启用 PAC 签名校验、监控 4769/4768 异常票据请求、使用 gMSA 托管服务账号。

再次提醒：所有票据伪造、凭证窃取操作，仅限授权靶场环境，严禁用于未授权的生产域环境。

最后

网络安全需要学习那些知识

网络安全零基础入门学习路线&规划

初级
1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（一周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（一周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（一周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

恭喜你，如果学到这里，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web 渗透、安全服务、安全分析等岗位；如果等保模块学的好，还可以从事等保工程师。薪资区间6k-15k

到此为止，大概1个月的时间。你已经成为了一名“脚本小子”。那么你还想往下探索吗？

想要入坑黑客&网络安全的朋友，给大家准备了一份：282G全网最全的网络安全资料包免费领取！

7、脚本编程（初级/中级/高级）
在网络安全领域。是否具备编程能力是“脚本小子”和真正黑客的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力.

零基础入门，建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习； 搭建开发环境和选择IDE,PHP环境推荐Wamp和XAMPP， IDE强烈推荐Sublime； ·Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，不要看完； ·用Python编写漏洞的exp,然后写一个简单的网络爬虫； ·PHP基本语法学习并书写一个简单的博客系统； 熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)； ·了解Bootstrap的布局或者CSS。

8、超级黑客
这部分内容对零基础的同学来说还比较遥远，就不展开细说了，贴一个大概的路线。

网络安全工程师企业级学习路线

视频配套资料&国内外网安书籍、文档&工具
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。

一些我自己买的、其他平台白嫖不到的视频教程：

要学习网安其实不难，难的是坚持和相信自己，我的经验是既然已经选定网安你就要相信它，相信它能成为你日后进阶的高效渠道，这样自己才会更有信念去学习，才能在碰到困难的时候坚持下去。

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】