域滲透實戰指南

苗春雨，博士，杭州安恒信息技術股份有限公司（簡稱“安恒信息”）首席人才官、高級副總裁、數字人才創研院院長，安恒信息國家級博士後科研工作站企業博士後導師。中國網絡空間安全人才教育聯盟專職委員，工業信息安全產業發展聯盟人才促進工作組副組長。擁有15年以上網絡安全從業經歷，目前的研究興趣主要集中於網絡安全防護體系、泛在物聯網安全，培養實戰型人才，主持和參與國家級、省部級科研項目6項，主編教材和專著8本，主導開發網絡安全演訓產品5款，獲得發明專利和軟件著作權30余項，發表學術論文50余篇。榮獲中國產學研合作促進會產學合作創新獎、教育部網絡空間安全教指委產學合作優秀案例一等獎、新安盟金石工匠獎等多個獎項。

章正宇，安恒信息數字人才創研院高級安全研究工程師，主要從事內網滲透、域滲透、免殺方向的研究和創新工作。參與編撰了《安全實戰之滲透測試》。榮獲“浙江省技術能手”“杭州市技術能手”、2023年全國網絡安全技能大賽二等獎等榮譽。持有CCRC-CSERE、CSE、CCSK、OSCE3/OSEP/OSWE/OSED/OSCP等系列證書。

葉雷鵬，安恒信息數字人才創研院教研部經理、恒星實驗室負責人。杭州市葉雷鵬網絡與信息安全管理技能大師工作室領銜人。榮獲“全國優秀共青團員”“浙江工匠”“浙江省技術能手”“浙江省青年崗位能手”等稱號。曾受邀參加國家一類、二類職業技能競賽命題工作，多次帶隊參與各級攻防演練、競賽，並取得優異成績。

任一支，博士，教授，博士生導師，杭州電子科技大學網絡空間安全學院（浙江保密學院）副院長，網絡空間安全省級實驗教學示範中心主任，網絡空間安全省級重點支持現代產業學院副院長，“信息安全”國家一流專業建設點負責人，浙江省大學生網絡與信息安全競賽委員會秘書長，浙江省行業網絡安全等級保護專家，浙江省信創專家，浙江省電子政務項目評審專家等。主要研究領域有數據安全、人工智能安全等。近年來，主持和參與國家重點研發計劃、國家自然科學基金、工信部網絡安全技術應用試點示範項目、中央網信辦研究項目、中國工程院咨詢項目等國家級項目10余項，以及“尖兵”“領雁”研發攻關計劃等省部級課題10余項。曾擔任30余個國際會議主席或程序委員會委員。在IEEE TIFS等重要期刊和會議上發表學術論文70余篇。獲得浙江省研究生教育成果二等獎1項、教育部網絡空間安全產學協同育人優秀案例二等獎1項、校教學成果一等獎和二等獎各1項，以及IEEE TrustCom 2018最佳論文獎、IEEE AINA 2011最佳學生論文獎、IEEE CSS TC 2009最佳學生論文獎。

王倫，杭州安恒信息技術股份有限公司教研總監，杭州市濱江區王倫信息安全測試員技能大師工作室領銜人，杭州市葉雷鵬網絡與信息安全管理技能大師工作室核心成員。曾獲杭州職業技術學院信息工程學院兼職教授、浙江經濟職業技術學院數字信息技術學院行業導師、廣東財貿職業學院產業導師等專家聘書。曾獲“浙江省技術能手”“浙江工匠”稱號，第46屆世界技能大賽網絡安全項目浙江省選拔賽第一名、“強網杯”全國網絡安全挑戰賽三等獎、中華人民共和國第一屆職業技能大賽網絡安全項目優勝獎等大賽獎項。持有多項國際國內權威認證，並參與起草國家標準、撰寫多本網絡安全圖書。

吳鳴旦，信息安全專業高級工程師，杭州安恒信息股份有限公司副總裁、數字人才創研院副院長。從事網絡安全行業15年以上，曾主持開發多款網絡安全檢測、教學類產品，現負責人才培養工作。發表5篇論文，參與編寫2本圖書，獲得省級教學成果獎2項，申報專利8項，授權6項。先後被聘為江蘇省產業教授、哈爾濱工業大學企業導師、杭州電子科技大學碩士生企業導師、電子科技大學網絡空間安全研究院客座研究員。

第 1部分 基礎篇

第 1章 環境搭建 3

11 環境拓撲和配置說明 3

12 配置根域dbapplab的服務器 4

13 安裝輔域和Active Directory證書服務 11

131 安裝輔域 11

132 安裝Active Directory證書服務 16

14 添加客戶端 24

141 添加域用戶 24

142 添加域主機 25

15 安裝子域subdbapplab 29

16 配置根域dbsecuritylab的服務器 33

17 建立林信任關系 35

第 2章 域滲透工具 41

21 Mimikatz 41

211 kerberos 41

212 lsadump 43

213 sekurlsa 43

22 Kekeo 45

221 AS請求 45

222 TGS請求 46

23 Rubeus 46

231 asreproast 46

232 kerberoast 47

233 asktgt 48

234 asktgs 48

235 golden 48

236 silver 49

237 ptt 50

238 monitor 50

239 s4u 51

24 impacket 52

241 KRB5CCNAME 52

242 secretsdumppy 53

243 wmiexecpy 53

244 psexecpy 54

245 ticketerpy 54

246 getTGTpy 55

247 getSTpy 55

248 ntlmrelayxpy 55

249 GetADUserspy 56

2410 GetNPUserspy 56

2411 GetUserSPNspy 57

2412 smbpasswdpy 57

2413 findDelegationpy 58

2414 rbcdpy 58

2415 ticketConverterpy 59

25 Certipy 59

251 account參數 60

252 find參數 61

253 req參數 61

254 auth參數 62

26 PowerView 63

261 Get-DomainUser 63

262 Get-DomainComputer 63

第 2部分 協議與認證篇

第3章 NTLM 67

31 工作組 67

311 工作組的實現 67

312 工作組的優點 67

313 工作組的局限性 68

32 Windows操作系統中的端口與協議 69

321 135端口和RPC協議 69

322 WMI 70

323 139/445端口和SMB協議 71

324 PsExec 71

325 5985端口和WinRM協議 72

326 Windows基礎協議和第三方工具 73

33 NTLM基礎 74

331 LM哈希值和NTLM哈希值 74

332 NTLM認證協議 75

333 域環境下的NTLM認證 77

334 Net-NTLM 77

34 NTLM的哈希傳遞漏洞 78

341 哈希傳遞漏洞復現註意點 79

342 哈希傳遞漏洞復現準備 80

343 使用msfconsole復現 80

344 使用Mimikatz復現 81

345 使用impacket復現 81

35 發起NTLM請求 82

351 UNC路徑 82

352 打印機漏洞 84

353 PetitPotam漏洞 85

354 DFSCoerce 86

36 Net-NTLM利用 87

361 Net-NTLM中繼漏洞利用 87

362 其他中繼 87

第4章 LDAP 96

LDAP和Active Directory 96

411 LDAP數據結構 96

412 Active Directory 97

413 Active Directory查詢 98

414 Active Directory查詢工具 100

42 Windows組 104

421 用戶組 104

422 常見的組 105

423 組策略 106

424 OU與組策略使用 108

43 用戶與權限 113

431 域用戶 114

432 計算機賬戶 117

433 域權限 118

第5章 Kerberos 122

51 Kerberos認證流程 122

52 Kerberos的基礎概念 123

53 AS請求和響應流程 124

54 AS請求相關安全問題 127

541 Kerberos預身份驗證 127

542 黃金票據 129

55 TGS請求和響應流程 133

551 委派 135

552 非約束委派 136

553 約束委派 138

554 基於資源的約束委派 140

56 TGS請求相關安全問題 140

561 Kerberoasting 140

562 白銀票據 143

563 非約束委派漏洞利用 148

564 約束委派漏洞利用 151

565 基於資源的約束委派漏洞利用 157

第3部分 應用篇

第6章 Active Directory證書服務 167

61 PKI 167

62 Active Directory證書服務的使用 167

63 證書服務相關安全問題 170

631 ESC1 170

632 ESC8 174

第7章 域信任 181

71 域信任關系 181

711 單向信任/雙向信任 182

712 內部信任/外部信任 182

72 域信任信息收集與訪問 182

73 域信任相關安全問題 184

731 SID版跨域黃金票據 184

732 SID版跨域黃金票據原理 186

733 SID版跨域黃金票據復現準備 186

734 本地復現方法 188

735 遠程復現方法 189

第8章 域內漏洞 190

81 CVE-2014-6324漏洞 190

811 PAC 190

812 TGT與偽造的PAC 190

813 CVE-2014-6324漏洞的原理 191

814 CVE-2014-6324漏洞的復現準備 191

815 CVE-2014-6324漏洞的復現流程 192

82 CVE-2020-1472漏洞 193

821 Netlogon服務 193

822 CVE-2020-1472漏洞的原理 193

823 CVE-2020-1472漏洞的復現準備 194

824 CVE-2020-1472漏洞的復現流程 194

83 CVE-2021-42278和CVE-2021-42287組合漏洞 197

831 CVE-2021-42278漏洞的原理 197

832 CVE-2021-42287漏洞的原理 197

833 組合漏洞的原理 197

834 CVE-2021-42287漏洞的復現準備 197

835 CVE-2021-42287漏洞的手動復現方式 198

836 CVE-2021-42287漏洞的自動復現方式 200

84 CVE-2022-26923漏洞 201

841 CVE-2022-26923漏洞的原理 201

842 CVE-2022-26923漏洞的復現準備與流程 202