内网安全-Windows域渗透-Kerberos委派（一）

KDC（Key Distribution Center）= 密钥分发中心TGT（Ticket Granting Ticket）= 票据授权票据，票据的票据AS（Authentication Server）= 认证服务器TGS（Ticket Granting Server）= 票据授权服务器SS（Service Server）= 特定服务提供端

消息1：客户端的明文信息1.你的名字/身份证2.请求的服务的名称/ID（在这种情况下，服务是票证授予服务器）3.您的网络地址（可能是多台机器的 IP 地址列表，如果想在任何机器上使用，则可能为空），以及请求的 TGT 有效期的生命周期       Client —> ASAS—>Kerberos DB（查询用户名是否存在）                                                            

消息A：TGT1、您的姓名/身份证2、TGS 名称/ID3、时间戳4、您的网络地址（可能是多台机器的 IP 地址列表，如果想在任何机器上使用，可能为空）5、TGT 的生命周期（可能是您最初要求的，如果您或 TGS 的密钥即将到期，则更低，或者在 Kerberos 设置期间实施的另一个限制）6、TGS 会话密钥使用TGS Secret Key加密，用户hash无法解密#TGS Secret Key 与 TGS会话密钥不同。
消息B：加密的Session Key1、TGS 名称/ID，2、时间戳，3、生命周期（同上），以及TGS 会话密钥
使用该用户的密码hash进行加密。AS—>Client这一步交互信息采用的密钥是用户hash！！！并且存在一个无法解密的TGT即只有在用户hash正确时才能进行下一步交互。

消息2：Authenticator1.您的姓名/身份证，以及时间戳。使用TGS 会话密钥加密
消息3：1.您要访问的请求的 HTTP 服务名称/ID，以及HTTP 服务票证的生命周期此消息明文传输
消息4：加密的TGTClient—>TGS发送了加密的 Authenticator 和 TGT 发送到TGS。

然后 TGS 将执行以下操作：将来自 Authenticator 的客户端 ID 与 TGT 的客户端 ID 进行比较比较来自 Authenticator 的时间戳与 TGT 的时间戳（典型的 Kerberos 系统容差为 2 分钟，但可以以其他方式配置）检查 TGT 是否过期（生命周期元素），检查 Authenticator 是否已经在 TGS 的缓存中（为了避免重放攻击），以及如果原始请求中的网络地址不为空，则将源的 IP 地址与您在 TGT 中的网络地址（或在请求的列表中）进行比较。TGS 随后会随机生成 HTTP Service Session Key，并为您准备 HTTP Service Ticket。然后 TGS 向您发送两条消息。
消息C：加密的HTTP Service Ticket1.您的姓名/身份证，2.HTTP 服务名称/ID，3.您的网络地址（可能是多台机器的 IP 地址列表，如果想在任何机器上使用，则可能为空），4.时间戳，5.机票的有效期，以及HTTP 服务会话密钥，
使用HTTP Service Secret Key对其进行加密
消息D：1.HTTP 服务名称/ID，2.时间戳，3.机票的有效期，以及HTTP 服务会话密钥
使用TGS 会话密钥加密。
这一步交互信息采用的密钥是TGS 会话密钥！！！并且存在一个无法解密的HTTP Service Ticket

消息5另一个 Authenticator（Server_Authenticator）1、您的姓名/身份证，2、时间戳使用HTTP 服务会话密钥加密
消息6无法解密的HTTP Service Ticket
这一步交互信息采用的密钥是HTTP 服务会话密钥！！！并且存在一个无法解密的HTTP Service Ticket

与 TGS 类似，HTTP 服务器将执行以下操作：将来自身份验证器的客户端 ID 与票证的客户端 ID 进行比较；比较来自 Authenticator 的时间戳与 Ticket 的时间戳（典型的 Kerberos 系统容差为 2 分钟，但可以以其他方式配置）；检查票证是否过期（生命周期元素）；检查 Authenticator 是否已经在 HTTP 服务器的缓存中（为了避免重放攻击），以及如果原始请求中的网络地址不为空，则将源的 IP 地址与您的网络地址（或在请求列表中）在票证中进行比较；
然后 HTTP 服务会发送
消息aAuthenticator 消息1.ID和2.时间戳
以便向您确认其身份，并使用HTTP 服务会话密钥进行加密。
最后，您的机器通过使用缓存的HTTP 服务会话密钥解密来读取 Authenticator 消息，并且知道它必须接收带有 HTTP 服务 ID 和时间戳的消息。现在您已通过身份验证，可以使用 HTTP 服务。未来的请求使用缓存的 HTTP 服务票证，只要它没有像生命周期属性中定义的那样过期。

kerberos特点：1、密码无需进行网络传输。基于 Ticket 实现身份认证，保障密钥安全性。2、双向认证。整个认证过程中，不仅需要客户端进行认证，待访问的服务也需要进行身份认证。3、高性能。一旦Client获得用过访问某个Server的Ticket，该Server就能根据这个Ticket实现对Client的验证，而无须KDC的再次参与。4、客户端与其他组件交互是，都将获取到两条信息，其中一条可以通过本地密钥解密出，另外一条将无法解密出。5、KDC拥有所有的hash即Client和Server的密码hash。可以发现其实Server完全不与KDC交互，Server依靠HTTP Service Ticket进行身份认证。