Kerberos网络认证协议的理解

01

—

名词解释

大体流程

（一）、Kerberos认证大体流程

• Client先向AS请求TGT

• 通过核验后,AS返回TGT

• Client用TGT去请求TGS

• 使用ST访问服务器其他服务

（二）、Kerberos认证大体交互

1.Client与AS的交互    AS_REQ    AS_REP2.Client与TGS的交互    TGS_REQ    TGS_REP3.Client与Server交互    CS_REQ    CS_REP4.Server与KDC交互    PAC_REQ    PAC_REP

（三）、流程图

（四）、Wireshark大体交互图

Kerberos交互详解

（一）、Client与AS的交互

1.AS-REQ

请求过程：

• 域内某个用户（Client）要想访问域上的服务，输入用户名和密码（NTLM HASH）

• 本机的Kerberos会发起跟AS的一个请求

• 该请求会将用户（Client）的用户名、主机名、加密类型、用户NTLM HASH加密的时间戳-AT 一起发送给AS

  
  

请求发送的内容：

客户端的用户名、主机名、加密类型、加密时间戳-AT

抓包交互图：

2.AS-REP

响应过程：

• 在Client用户请求过去的时候，AS会去AD里面查找该用户是否为白名单里面的用户

• 如果在白名单里面，AS会将用户的NTLM HASH去解密加密时间戳

• 解密成功则用户名密码正确

• 并且校验是否在该时间戳是否在范围内（这里的时间戳要保持在五分钟之内），如果用户名密码正确，时间戳没过期

• 则生成一个加密的SK-as、TGT-as、PAC-as发送回Client。

注意：

SK-as：是由Client用户的NTML HASH加密的Session KeyTGT-as：是krbtgt用户的HASH+TimeStamp（时间戳）加密的PAC-as：是用户的SID、用户所在组的一些信息

响应返回的内容：

SK-as、TGT-as、PAC

交互抓包图：

（二）、Client与TGS的交互

• 通过Client与AS进行的交互中，Client手里有加密SK-as、TGT-as、PAC-as

• Client使用自身的NTLM HASH将加密SK-as解密成不加密的SK

• 现在Client本地缓存有TGT-as和Session Key

• Client虽然认证成功了，但是他想访问服务的话还是没有权限的，因为他的NTLM HASH是解不开TGT的，所以他要向TGS去请求到一个ST。

1.TGS-REQ

请求过程：

• Client带着自己的客户端信息（包括Session Key）、Session Key加密的时间戳-AT、TGT-as、要访问的服务名等信息去与TGS请求来换取访问服务的票据-ST

  
  

请求发送的内容：

客户端信息、SK加密的时间戳-AT、TGT-as、访问的服务名

交互抓包图：

、

2.TGS-REP

响应过程：

• TGS收到Client发来的请求信息后，TGS首先会检查是否有客户端访问的服务，如果有

• 则使用KDC用户krbtgt的HASH去解密TGT

• 然后再利用Session Key去解密Session Key加密时间戳-AT得到TimeStamp

• 核对时间戳是否在时间区间内和原始地址跟TGT保存的是否一致，如果时间戳没问题则认证成功

• TGS会将SK-as加密成SSK（Service Session Key）作为Client和Server安全会话密钥

• 最后TGS会用Client访问服务的NTLM HASH进行加密生成ST，跟SSK一起返回给客户端。

  
  

注意：

ST：包含PAC-客户端信息和原始SSK就算客户端没有去访问某个服务，该ST也会正常产生

响应返回的内容：

SSK、ST

交互抓包图：

（三）、Client与Server交互

1. CS-REQ

   
   

请求过程：

• Client现在收到TGS哪里获取到ST、SSK，

• 然后带着SSK加密的时间戳-AT、ST、SSK去请求Server。

注意：

这里的加密时间戳是客户端和服务器产生的会话密钥->SSK去加密的

请求发送的内容：

ST、SSK、SSK加密的时间戳-AT

2.CS-REP

响应过程：

• Server收到Client发来的ST、SSK、SSK加密的时间戳-AT后

• 会去查找自身的Client想访问的服务，找到该服务后会用服务的NTLM HASH去解密ST，解密成功后会获得用户信息和SSK

• 然后再通过SSK去解密SSK加密的时间戳AT得到TimeStamp

• 核对时间戳是否过期，如果没过期进行下一步

• 查看TGS中的PAC来判断其中是否存在匹配的组SID，以便确定访问权限。

• 登录成功，客户端用户可以访问HOST服务主体

• Server会成功将Client想访问的服务响应给Client

注意：

这里Server跟TGS还有一个PAC请求，用来确认客户端信息是否准确

响应返回的内容：

客户端请求的服务

Kerberos协议下常见的攻击类型

参考连接：

http://cn-sec.com/archives/138107.htmlhttps://www.cnblogs.com/0x7e/p/14964508.html https://mp.weixin.qq.com/s/-zcK5mOVQgW_5_dILK2KWQ https://blog.csdn.net/weixin_45007073/article/details/115724813 https://blog.csdn.net/qq_45510720/article/details/107207277

今天的文章就介绍到这里，欢迎师傅们三连&补充