Mimikatz与Kerberoast：AD凭据提取与破解实战指南

Mimikatz与KerberoastAD凭据提取与破解实战指南【免费下载链接】Active-Directory-Exploitation-Cheat-SheetA cheat sheet that contains common enumeration and attack methods for Windows Active Directory.项目地址: https://gitcode.com/gh_mirrors/act/Active-Directory-Exploitation-Cheat-SheetActive Directory (AD) 凭据提取与破解是网络安全渗透测试中的关键环节而Mimikatz和Kerberoast则是该领域最强大的工具组合。本文将详细介绍这两款工具的核心功能、实战应用场景及防御策略帮助安全从业者全面掌握AD环境下的凭据安全攻防技术。一、MimikatzWindows凭据提取神器Mimikatz是由Benjamin Delpy开发的一款功能强大的Windows凭据提取工具能够从内存中获取各种敏感信息包括NTLM哈希、Kerberos票据、明文密码等。它支持多种攻击技术如Pass-the-Hash、Pass-the-Ticket和Golden Ticket等是渗透测试人员的必备工具。1.1 Mimikatz核心功能与应用场景Mimikatz的主要功能模块包括sekurlsa从内存中提取凭证如NTLM哈希、明文密码等lsadump从LSA本地安全机构中提取凭证和密钥kerberosKerberos相关操作如票据生成、注入等dpapi解密受DPAPI保护的数据如浏览器保存的密码在实际渗透测试中Mimikatz常用于以下场景本地管理员权限下的凭证提取域控制器权限获取如DCSync攻击黄金票据Golden Ticket和白银票据Silver Ticket生成进程注入与权限提升1.2 实战案例使用Mimikatz提取凭证以下是使用Mimikatz提取本地凭证的基本命令# 提升权限 privilege::debug # 提取内存中的凭证 sekurlsa::logonpasswords # 提取LSA中的凭证 lsadump::lsa /patch # 导出所有Kerberos票据 kerberos::list /exportMimikatz还可以通过PowerShell模块进行内存加载避免直接将可执行文件写入磁盘提高隐蔽性。相关脚本位于Z - Tool Box/PowerSploit-Dev/Recon/Invoke-Kerberoast.md。二、Kerberoast针对Kerberos的密码破解技术Kerberoast是一种针对Kerberos协议的攻击方法通过请求服务票据并对其进行离线破解从而获取服务账户的明文密码。这种攻击方式不需要管理员权限且难以被传统安全设备检测。2.1 Kerberoast攻击原理Kerberoast攻击利用了Kerberos协议中AS-REP和TGS-REP过程的设计缺陷。攻击者可以向KDC请求特定服务的TGS票据然后对票据中的加密部分进行离线破解。由于服务账户密码通常具有较长的有效期且复杂度不高这种攻击方法往往能取得较好效果。2.2 实施Kerberoast攻击的关键步骤识别易受攻击的服务账户寻找配置了SPN服务主体名称的用户账户请求服务票据使用工具向KDC请求目标服务的TGS票据提取票据哈希从内存中提取票据并转换为可破解的格式离线破解使用密码破解工具如Hashcat对提取的哈希进行破解三、Mimikatz与Kerberoast协同攻击实战将Mimikatz与Kerberoast结合使用可以形成强大的AD凭据攻击链。以下是一个典型的协同攻击流程3.1 信息收集与目标识别首先使用BloodHound等工具分析AD环境识别具有SPN的用户账户即Kerberoastable用户。在BloodHound中可以通过Find All Users with an SPN查询快速定位目标。3.2 使用Kerberoast获取服务票据使用PowerSploit中的Invoke-Kerberoast模块请求并提取服务票据# 加载Invoke-Kerberoast模块 Import-Module .\Invoke-Kerberoast.ps1 # 请求服务票据并提取哈希 Invoke-Kerberoast -OutputFormat Hashcat | Out-File -Encoding ASCII kerberoast_hashes.txt3.3 使用Mimikatz导出票据如果无法直接获取票据可使用Mimikatz从内存中导出已缓存的Kerberos票据# 导出所有票据 Invoke-Mimikatz -Command kerberos::list /export3.4 离线破解票据哈希使用Hashcat对提取的票据哈希进行破解hashcat -m 13100 kerberoast_hashes.txt /usr/share/wordlists/rockyou.txt3.5 利用获取的凭据进行横向移动成功破解服务账户密码后可使用Mimikatz进行Pass-the-Hash攻击获取目标系统的访问权限Invoke-Mimikatz -Command sekurlsa::pth /user:svc_account /domain:lab.local /ntlm:hash /run:powershell.exe四、攻击演示与结果分析下图展示了使用PowerShell进行反向连接的实战场景这是获取初始访问权限后常用的技术之一通过这种方式攻击者可以在获取凭证后快速建立与目标系统的交互会话为后续的横向移动和权限提升奠定基础。五、防御策略与最佳实践针对Mimikatz和Kerberoast攻击建议采取以下防御措施最小权限原则严格限制服务账户权限避免使用高权限服务账户定期密码更换实施强密码策略并定期更换服务账户密码启用Kerberos预认证防止AS-REP Roasting攻击监控异常票据请求通过SIEM工具监控异常的TGS票据请求部署EDR解决方案利用端点检测与响应工具检测可疑的内存操作限制凭证缓存通过组策略限制凭证在内存中的缓存时间六、工具获取与学习资源项目中提供了完整的Mimikatz和Kerberoast工具集可通过以下命令获取git clone https://gitcode.com/gh_mirrors/act/Active-Directory-Exploitation-Cheat-Sheet相关工具位于以下路径Mimikatz工具Z - Tool Box/Mimikatz/Kerberoast工具Z - Tool Box/Kerberoast/PowerSploit模块Z - Tool Box/PowerSploit-Dev/总结Mimikatz与Kerberoast的组合为AD环境下的凭据攻击提供了强大能力。安全从业者应深入理解这些工具的工作原理掌握其防御方法以有效保护企业网络安全。通过实施最小权限原则、强密码策略和持续监控可以显著降低凭据被窃取和滥用的风险。【免费下载链接】Active-Directory-Exploitation-Cheat-SheetA cheat sheet that contains common enumeration and attack methods for Windows Active Directory.项目地址: https://gitcode.com/gh_mirrors/act/Active-Directory-Exploitation-Cheat-Sheet创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考