kerberos认证及黄金票据与白银票据

焱文819

已于 2024-05-22 14:53:38 修改

阅读量993

点赞数 29

分类专栏：网络攻击文章标签：数据库网络

于 2024-05-22 14:14:52 首次发布

本文链接：https://blog.csdn.net/qq_64951792/article/details/139118037

版权

网络攻击专栏收录该内容

8 篇文章 0 订阅

订阅专栏

kerberos认证

1、名词解释：

KDC（Key Distribution Center）密钥分发中心
KDC是由两部分组成：AS（Authentication Service）身份验证服务和TGS（Ticket Granting Service）票据授权服务
AD（Account Database）账户数据库

2、域认证过程：

在域条件下，Kerberos认证过程通常涉及到三个主体：客户端（Client）、密钥分发中心（Key Distribution Center，KDC）和服务服务器（Service Server）。以下是Kerberos在域条件下的认证过程：

客户端向KDC的AS认证服务器发送TGT认购权证请求，客户端发送AS-REQ包
认证服务器验证客户端的身份，并生成一个称为票据授予票据（Ticket Granting Ticket，TGT）的凭证，并使用客户端与认证服务器之间共享的密钥进行加密。
认证服务器将TGT发送给客户端，AS服务端发送AS-REP包
客户端收到TGT后，使用自己的密码对TGT进行解密，并将其保存以备后续使用，这里将解密后的TGT称为票据授予授予票据（Ticket Granting Grant，TGG）。
客户端向TGS发送请求ST服务票据，请求访问特定服务。请求中包含TGG和目标服务的标识。客户端发送TGS-REQ包。
TGS验证客户端的身份和TGG的有效性，如果通过验证，则生成一个称为服务票据（Service Ticket）的凭证，并使用TGS与目标服务之间共享的密钥进行加密。
TGS将服务票据发送给客户端。TGS服务端发送TGS-REP包。
客户端收到服务票据后，再次向目标服务发送请求，请求中包含服务票据。
目标服务验证客户端的身份和服务票据的有效性，如果通过验证，则向客户端授予访问权限。

在这个过程中，Kerberos通过票据的颁发和加密机制实现身份认证和安全通信，确保通信双方的身份真实性和数据的保密性。这种基于票据的认证方式在域条件下提供了更高的安全性和灵活性。

3、单主机认证过程：

在没有域条件下，单主机认证过程通常采用基于主机和用户之间共享的密钥进行认证。具体而言，在Kerberos协议中，单主机认证过程可以简化为以下步骤：

用户向主机发送身份验证请求。
主机生成一个随机数，称为票据授予票据（Ticket Granting Ticket，TGT），并使用用户与主机之间约定的密钥对TGT进行加密。
主机将TGT发送给用户。
用户收到TGT后，使用自己的密码对TGT进行解密，并获得一个称为票据授予授予票据（Ticket Granting Grant，TGG）的凭证。
用户再次向主机发送请求，但这次请求是使用TGG进行加密，证明用户确实知道密码并且是合法用户。
主机收到TGG后，验证其有效性，如果通过验证，则向用户授予访问权限。

在这个过程中，用户和主机之间通过共享的密钥进行身份认证，保证了通信双方的身份真实性和数据的机密性。虽然这种单主机认证方式相对简单，但仍然能够提供一定程度的安全性保障。

黄金票据

Kerberos黄金票据（Golden Ticket）是指一种高级的攻击技术，利用 Kerberos 认证协议中的漏洞，允许攻击者在获得域控制器的 Kerberos 服务帐户（krbtgt）的哈希值后，生成伪造的 Kerberos 票据授予票据（TGT）。这种伪造的 TGT 可以被用来访问域中的任意资源，甚至可以授予自己域管理员权限，通常在渗透测试和高级持续性威胁（APT）攻击中被使用。