从“小透明”到“域控大佬”的必经之路，哎哟不错哦！
嘿，朋友们！今天咱们来聊聊一个在AD域环境里既让人头疼又让人着迷的话题——约束委派，说实话，我刚开始接触这玩意儿的时候，心里是有点懵圈的，啥叫“委派”啊？感觉就像是把自己手里的权限“借”给别人用，但又怕借出去收不回来，那种又爱又怕的感觉，你们懂吧？😅
为什么我突然想聊这个？
事情是这样的，前几天有个哥们在群里吐槽，说他们公司的域环境被搞了，攻击者就是利用了一个配置不当的约束委派，直接拿到了域管的权限，我当时一看，好家伙，这不就是我之前一直想深挖的点吗？所以今天咱们不聊虚的，直接上干货，把约束委派从理论到实战,掰开了揉碎了讲清楚！
约束委派到底是个啥？
先打个比方啊，大家就好理解了。约束委派就像是你给了一个“金牌代理”一张限定清单，上面写着：“嘿，你只能代表我去做A、B、C这三件事，其他的想都别想！” 这比那些“无约束委派”可安全多了——无约束委派就像是直接给了万能钥匙，谁拿着都能开你家门,太危险了！
在微软的AD环境里，约束委派（Constrained Delegation）允许服务账号通过Kerberos协议，以用户身份去访问指定的服务，它有两个版本：一个是传统的基于“用户或计算机账户”的约束委派；另一个是基于资源的约束委派（Resource-Based Constrained Delegation，简称RBCD），这是Windows Server 2012之后加入的新特性，配置起来更灵活，但也引来了无数“黑客”的觊觎。
进阶第一步：别掉进“协议转换”的坑！
哎呀，这里我要重点敲黑板！因为90%的菜鸟（包括曾经的我）都会忽略这个细节，约束委派默认只支持Kerberos协议，如果你用过期的“S4U2Self”或者“S4U2Proxy”扩展，而服务端不支持，那就会直接认证失败，那叫一个尴尬啊！当你配置完委派后，一定要记得在服务上启用协议转换（Protocol Transition），否则你前面做的全是无用功，白忙活一场,气不气？
实操小技巧：打开“Active Directory 用户和计算机”，找到你的服务账号，右键属性 -> 委派选项卡，勾选“仅信任此用户对指定服务的委派”，然后点击“使用任何身份验证协议”，这一下，就把协议转换的坑填平了,嘿嘿。
进阶第二步：谁能委派？别乱授权力！
朋友们，这里我要郑重提醒一下，约束委派权限可不是白菜价，你要是为了图省事，直接给了域管组或者允许委派给“任何服务”，那简直就是在内网里裸奔！攻击者分分钟钟就能通过委派滥用拿到你的密码哈希。
我自己的血泪教训是：委派权限要做到“最小化授权”，并且一定要定期审计！你可以用PowerShell命令 Get-ADObject -Filter {msDS-AllowedToDelegateTo -like "*"} 来筛查哪些账户在偷偷委派，发现异常的直接禁用，绝不留情！别觉得麻烦，安全这种事情，一懒毁所有啊！😤
进阶第三步：基于资源的约束委派（RBCD）实战！
重头戏来了！RBCD是新时代的“后门”最爱，说个场景你就明白了：假设你是一个普通域用户，想搞到一台服务器的SYSTEM权限，利用RBCD，你可以通过Set-ADComputer命令，把你的计算机账号的“msDS-AllowedToActOnBehalfOfOtherIdentity”属性，设置为指向那台高权限服务器，这样,你就拥有了向它发起委派请求的合法资格。
不过！这里有个大bug，如果你没开启“基于资源的约束委派”的一整套流程（也就是需要高权限的账户来修改目标机器的属性），那你也就只能干瞪眼，攻击者通常会通过钓鱼或者漏洞先拿到一个能写目标机器的低级权限，然后一步步提权，这本质上就是一场权限博弈，你进我退,看谁先眨眼。
进阶第四步：如何防御和检测？别光顾着进攻啊！
咱们不能只学“矛”，还得学会“盾”，对于防御方来说，开启Kerberos 事件日志审计是关键中的关键，你会发现，当有人在执行S4U2Proxy的时候，事件ID 4769会记录得很清楚，如果发现某条记录里的“用户账户”和“目标服务”根本不搭调，那就赶紧拉响警报吧,八成是被盯上了！
我还喜欢定期用klist命令查看本机的票据缓存，看看有没有多出来不该有的“转发票据”，一旦发现异常，别犹豫，立刻撤销那个账户的委派权限，并强制重置密码，安全运维永远不是一劳永逸的活儿,得过且过只会让你哭着修漏洞。
最后碎碎念
哎，说了这么多，其实约束委派就是一把双刃剑，用得好，它能实现像“报销系统自动代表用户访问HR系统”这样的功能；用不好，它就是内网横向移动的“特快专列”，我强烈建议各位，在实验环境里一定要亲手搭建一个域控，然后按照上面的步骤走一遍，你会发现很多“原来如此”的感叹。
好了，今天就聊到这儿吧，希望对你有帮助！如果你在实操中碰到啥诡异的问题，欢迎评论区留言，咱们一起探讨，毕竟“纸上得来终觉浅，绝知此事要躬行”嘛！咱们下期见啦，拜拜！👋
相关阅读推荐：