委派攻击怎么使用？我踩了三天坑，终于摸清这套路数了！
哎呀,说到这个话题，我真是一把辛酸泪啊！委派攻击怎么使用——这个问题我足足研究了三天，翻遍了国内外几十篇技术文档，好不容易才把这玩意儿给捋顺了，今天我就用大白话，把我踩过的坑、总结的经验，一股脑儿全倒给你们！
先别急着上手，咱得搞明白这是啥
说实话,我第一次听到"委派攻击"这四个字的时候，脑子里全是问号，这玩意儿到底是啥？跟域渗透有啥关系？后来我才慢慢品出味儿来——委派攻击，说白了就是利用Windows域环境里的委派机制，让攻击者伪装成高权限用户去访问其他服务。
你可能会问："这跟普通提权有啥区别？"哎，区别可大着呢！委派攻击玩的是"信任"两个字，系统信任了某个服务账户，结果被咱们给钻了空子，想想是不是挺气人的？但这恰恰是它的魅力所在啊！
实操环节：委派攻击怎么用？
好啦好啦,我知道你们最想看这个，不过丑话说在前头，这玩意儿得在特定环境下才能玩得转，别拿个普通环境硬试啊！
第一步：侦察环境（这步不做好，后面全白搭）
我刚开始就吃了这亏,啥也不管直接冲，结果碰了一鼻子灰，首先你得用BloodHound或者Adfind这类工具，把域内的委派关系扒个底朝天，重点看啥呢？就看那些设置了"受信任委派"或者"基于资源的约束性委派"的账户。
诶,这儿我得提醒一句——千万别忽略服务账户和机器账户！很多新手都盯着用户账户看，但真正容易出问题的往往是那些默默无闻的服务账户，一个不小心就能让你拿到域管权限，啧啧啧。
第二步：选择攻击手法（这可分好几种呢）
委派攻击可不是一招鲜吃遍天,至少得区分下面这几种情况：
- 非约束性委派：这是最老的玩法了，攻击成功率其实挺高的，关键是找到那些开启了非约束性委派的机器，然后诱导高权限用户来访问，通过抓TGT就能冒充人家了。
- 约束性委派：稍微有点难度，但也不是没办法，重点在于利用S4U2Self和S4U2Proxy这两个扩展协议，拿到ST票据后继续转发。
- 基于资源的约束性委派：哎呀，这个可是最近的热门啊！要是你拿到了普通域用户的hash，直接配置指向域管的委派，操作空间就大多了。
记住我说的话：变通才是王道，死磕一种方法可不行！
第三步：实操攻击（重点来了！）
我先说说我试得最顺的非约束性委派,前提是你已经拿到了一台支持非约束性委派的主机权限，然后就可以用Rubeus或者Mimikatz来钓鱼了。
Rubeus.exe monitor /interval:5 /filteruser:Administrator这步是监听有没有高权限用户来访问你这台机器,一旦监听到，马上用Rubeus.exe dump把票据抓下来，然后导入内存就能用了，整个过程就像钓鱼——你只需要放好饵，等鱼上钩就行，嘿嘿！
如果目标是约束性委派,那思路就得变一变了，比如目标服务账户的SPN是HTTP/target-server，你可以这样做：
Rubeus.exe s4u /user:svc_account /rc4:xxxx /impersonateuser:Administrator /msdsspn:HTTP/target-server /ptt看到没？impersonateuser参数就是模拟高权限用户的，就这么一下，你就成了域管理员了！是不是觉得有点东西？
坑点提醒（这些都是血泪教训）
哎呀,写到这里，我突然想起自己踩过的好多坑，必须跟你们唠唠：
杀软拦截，我第一台测试机就装了360，结果票据还没导出呢，就被拦了个正着，所以啊，实操之前先把免杀做好，别傻乎乎地直接上。
时间同步问题，Kerberos对时间可是敏感得很，时间差超过5分钟就废了，记得先把靶机的时间同步搞好了，不然你会怀疑人生的！
权限别搞太大，咱们做测试归做测试，别真把生产环境搞得鸡飞狗跳的，不然管理员找上门来，那滋味可不好受。
防御建议（虽然我们是攻方，但防守也得懂）
诶,这话可能说得有点晚了，但会攻不会防，迟早要吃亏，如果你是防守方，有几个简单实用的点：
- 别让服务账户随便设置委派,尤其是高权限账户；
- 定期用BloodHound检查委派关系,发现问题及时清理；
- 开启Kerberos策略审计,有事儿能第一时间发现。
最关键的还是那句老话——最小权限原则，权限给得越少，委派攻击能玩的花样就越少。
最后唠两句
好啦好啦,该说的我基本都说了，委派攻击怎么使用？答案其实就藏在环境、方法和工具这三者的结合里，刚开始上手的时候可能会有点懵，但只要多实验几次，慢慢就会找到感觉的。
顺便说一句,如果你真要在实战中用，建议先把靶场练熟了再动手，毕竟纸上谈兵容易，真刀真枪的难度可大着呢！
有什么问题欢迎在评论区问我,咱们一起探讨探讨！我最近也在研究基于资源的约束性委派的新玩法，等我摸透了再来跟你们分享哈！