一场悄无声息的域控沦陷实录
说真的，要不是亲眼看到那台域控服务器上的日志，我到现在都不敢相信——一个看似普通的Kerberos票据，居然能把整个Active Directory环境搅得天翻地覆，今天这篇文章，我就掏心窝子跟你聊聊必看黄金票据后门植入这件事，真的，搞域渗透的朋友们，这篇你要是划走了,回头准得拍大腿！
事情的起因，其实特别不起眼
上个月帮一个客户做内网安全评估，前期打点都挺顺利的，拿到普通域用户权限之后，我本来想着随便看看就收工，结果你猜怎么着？翻域内ACL的时候，发现一个业务账号居然对krbtgt账户有GenericAll权限——哎哟喂，当时我眼睛都亮了！这不就是黄金票据后门植入的绝佳入口嘛。
很多新手可能还不太明白，我先用大白话解释一下哈：Kerberos认证里头，KDC签发TGT用的密钥，就是从krbtgt账户的NTLM哈希来的，也就是说，只要我拿到了这个哈希，我就能自己伪造任意用户的TGT——管你是域管理员还是企业管理员，想冒充谁就冒充谁，而且签名合法、时间戳随便设，域控那边根本查不出毛病，这就是圈里人常说的"黄金票据"，听着是不是挺唬人的？但它的威力,真的比名字还唬人。
必看黄金票据后门植入，到底怎么落地？
拿到权限之后，我的操作路径其实不算复杂,但每一步都得稳：
第一步，用那个业务账号的权限，通过DCSync把krbtgt的哈希拖下来，这里得说一句，DCSync这玩意儿真是好东西，只要权限给到位，一条命令的事儿,连登录域控都不用。
第二步，把哈希拿到手之后，用Mimikatz的kerberos::golden模块伪造票据，SID、域名、目标用户这些参数填好，票据就生成出来了，这里我一般会把票据有效期设得长一点，你懂的，后门嘛,总得留得久一些。
第三步，把票据注入到当前会话里，然后就能直接访问域内任意资源了，什么域控、文件服务器、Exchange，统统畅通无阻，说实话，第一次成功的时候，我盯着屏幕愣了好几秒——这也太顺了吧？
为什么说这个后门"必看"？因为它太隐蔽了
这里我得重点唠唠。黄金票据后门植入最可怕的地方，不是它能提权，而是它几乎不留痕迹，你想啊，票据是本地伪造的，认证请求直接发给KDC，KDC验证签名通过就放行，整个过程跟正常登录一模一样，事件日志里你翻半天，也就看到一条平平无奇的TGT请求,连个告警都不会触发。
更绝的是，就算管理员把域管理员密码改了、把那个业务账号删了，只要krbtgt的哈希没换，我手里的票据照样能用，这就是为什么安全圈把它叫做"后门"——它藏在Kerberos协议的信任链条里，你不动krbtgt,它就一直在。
防御？说几句掏心窝子的话
当然啦，咱写这篇文章不是为了教人使坏，纯粹是给做防守的兄弟们提个醒，想防住黄金票据后门植入,关键就几点：
krbtgt账户的哈希，一年至少重置两次，而且得重置两遍才算数,这点很多管理员都容易漏；- 域内ACL一定要定期审，别让普通账号莫名其妙拿到
GenericAll这种高危权限； - 部署Kerberos流量监控，盯紧那些TGT有效期异常长的请求,这往往是黄金票据的典型特征；
- DCSync行为一定要重点告警,这玩意儿是拖哈希的重灾区。
最后啰嗦两句
写这篇文章的时候，我脑子里一直回放着那台域控的日志画面，安全这事儿吧，真的就是这样——你以为固若金汤的环境，可能就败在一个不起眼的权限配置上。必看黄金票据后门植入，不是危言耸听，是实打实的攻防现实，希望做防守的兄弟们看完能有所收获，也欢迎在评论区跟我交流,咱们下篇见！
相关阅读推荐（内链已建设，助力SEO权重传递）：