黄金票据与白银票据攻防教学

20XX/XX/XX黄金票据与白银票据攻防教学汇报人:XXXCONTENTS目录01

课程导入：Kerberos认证基础02

黄金票据的核心概念03

黄金票据的攻击与利用04

白银票据的核心概念CONTENTS目录05

白银票据的攻击与利用06

两类票据攻击对比总结07

黄金与白银票据防御方案08

课程总结与拓展思考课程导入：Kerberos认证基础01Kerberos认证流程回顾

客户端请求票据许可票据（TGT）客户端向KDC发送包含自身身份的请求，KDC验证后生成含会话密钥的TGT返回给客户端。

客户端获取服务票据（ST）客户端用会话密钥加密请求发送给KDC，KDC生成服务票据，供客户端访问目标服务。

客户端验证服务身份并建立连接客户端向服务发送服务票据与认证信息，服务验证后与客户端建立安全会话连接。身份合法性校验Kerberos认证中，TGT票据可验证用户身份，避免非法用户冒用身份访问企业内部系统。权限范围界定服务票据明确用户可访问的服务资源，如企业OA系统，防止越权操作保障数据安全。会话安全加密票据携带会话密钥，可对用户与服务端的通信加密，像金融系统登录会话防信息窃听。票据在认证中的作用黄金票据的核心概念02黄金票据的定义

基于Kerberos协议的伪造票据黄金票据是攻击者伪造的Kerberos协议中的TGT票据，可绕过身份验证获取域内最高权限。

域内权限提升的恶意凭证它是一种用于Windows域环境权限提升的恶意凭证，知名案例如APT组织利用其入侵企业内网。黄金票据的生成前提

获取域控制器权限攻击者需先获取域控制器的管理员权限，如利用MS14-068等漏洞攻陷域控系统。

掌握KRBTGT账户哈希需获取域内KRBTGT账户的NTLM哈希值，这是生成黄金票据的关键核心数据。

知晓域名称与SID信息要提前掌握目标域的完整名称以及域的安全标识符（SID），确保票据生成准确。黄金票据的攻击原理

伪造Kerberos票据获取权限攻击者利用域内账户哈希伪造黄金票据，绕过身份认证，直接获取域管理员级别的系统访问权限。

破解KRBTGT账户哈希通过窃取或破解域控制器中KRBTGT账户的哈希值，为后续伪造黄金票据提供关键的加密凭证。跨域访问权限黄金票据可突破域信任限制，在多域环境中随意访问不同域内的资源，曾被用于攻击企业跨域业务系统。高权限伪装特性能伪装成域内任意高权限账户，比如域管理员，无需验证即可获取域内核心服务器的完全控制权。权限持久化特性一旦生成可长期留存使用，即便目标域更改普通账户密码，也不会影响黄金票据的权限有效性。黄金票据的权限特性黄金票据的攻击与利用03常见攻击场景梳理域内服务器权限窃取攻击攻击者借助黄金票据伪造域管理员身份，入侵域内数据库服务器，窃取核心业务数据与账号权限。跨域资源非法访问攻击利用黄金票据绕过跨域认证机制，攻击者非法访问集团下属子域的财务系统，转移涉密资金数据。域控制器篡改攻击通过黄金票据获取域控制器最高权限，攻击者篡改域内用户登录规则，批量创建隐藏恶意账号。获取所需票据信息方法域控服务器日志提取通过分析域控服务器的安全日志，可提取出域SID、域管理员用户名等关键票据生成信息。LSASS内存Dump获取借助Mimikatz工具读取LSASS进程内存Dump文件，能直接获取明文或哈希形式的票据信息。域内主机钓鱼诱捕构造伪装成办公文件的钓鱼邮件，诱使域内用户点击，进而窃取其终端存储的票据相关数据。黄金票据伪造步骤

获取域内关键信息需收集域名称、域SID、KRBTGT账户哈希等核心数据，可借助Mimikatz等工具提取。

构造伪造票据利用获取的信息，通过Mimikatz工具生成伪造的黄金票据，注入到内存中。

验证票据有效性使用伪造票据尝试访问域内敏感资源，如域控制器共享文件夹，确认攻击效果。权限维持效果说明跨域持久化权限控制借助黄金票据，攻击者可实现跨域权限维持，如在企业域环境中长期操控不同子域内的服务器资源。绕过常规身份验证黄金票据能跳过域内常规登录验证，攻击者可长期以高权限身份访问系统，避开企业日常安全检测。隐藏攻击操作痕迹利用黄金票据维持权限时，攻击痕迹极难被察觉，可像某跨国企业遭入侵案例中那样长期潜伏于系统内。白银票据的核心概念04基于Kerberos协议的伪造票据白银票据是攻击者伪造的Kerberos协议中的服务票据，可绕过身份认证直接访问目标服务。针对特定服务的权限凭证它是一种仅针对单个服务的权限凭证，无法用于访问域内其他未授权的服务资源。利用哈希生成的仿冒凭证攻击者通过获取服务账户NTLM哈希生成该票据，无需与域控制器交互即可完成伪造。白银票据的定义白银票据的生成前提

获取目标服务的NTLM哈希需获取目标Windows服务的NTLM哈希，如SQLServer服务的哈希，这是生成票据的核心密钥材料。

知晓目标服务的SPN标识要准确掌握目标服务的服务主体名称（SPN），如MSSQLSvc/:1433这类格式标识。

拥有域用户身份凭据需具备有效的域用户账号凭据，即使是普通域用户，也可用于构造白银票据的基础身份信息。白银票据的攻击原理伪造合法服务票据攻击者利用获取的NTLM哈希，伪造对应服务的白银票据，绕过Kerberos认证直接访问目标服务。绕过KDC身份验证白银票据无需向密钥分发中心（KDC）请求，直接凭借伪造的票据与目标服务完成会话建立。利用服务权限漏洞若目标服务权限配置宽松，攻击者可通过伪造的白银票据获取高权限，如篡改服务器核心数据。与黄金票据的核心差异

依赖权限基础不同黄金票据依赖域管理员权限生成，白银票据仅需普通用户权限即可伪造，门槛差异显著。

认证依托对象不同黄金票据依托域控制器的KRBTGT账户，白银票据则依赖目标服务账户权限进行伪造。

有效作用范围不同黄金票据可全域通行访问域内所有资源，白银票据仅能访问对应目标服务的特定资源。白银票据的攻击与利用05域内普通账号窃取白银票据攻击者利用域内低权限普通账号，伪造白银票据访问特定服务，如Exchange邮件服务器获取敏感数据。域控制器离线时的票据伪造攻击域控制器离线期间，攻击者借助已获取的服务账户哈希，伪造白银票据接管文件服务器核心权限。典型攻击场景梳理白银票据伪造步骤01获取目标服务账户SID与NTLM哈希通过域内信息收集工具，获取目标服务账户的SID及NTLM哈希，这是伪造票据的核心基础数据。02构造并签署白银票据利用Mimikatz等工具，填入SID、NTLM哈希等信息，构造并签署符合格式要求的白银票据。03注入票据至内存并验证权限将伪造好的白银票据注入本地内存，随后尝试访问目标服务，验证票据是否伪造成功。攻击利用的优势特点

无需域管理员权限白银票据攻击无需获取域管理员权限，普通域用户权限即可发起，降低攻击门槛。

伪造服务票据便捷可伪造多种服务类别的票据，如SQL、Exchange等，适配不同业务场景的攻击需求。

规避常规检测机制攻击过程中流量特征不明显，能规避多数传统入侵检测系统的监控与告警。两类票据攻击对比总结06适用场景差异对比

针对小型企业的攻击场景黄金票据更适用于攻击小型企业，这类企业权限管控宽松，易获取域管理员权限完成伪造。针对大型集团的攻击场景白银票据更适配大型集团，无需域管理员权限，可针对单一服务伪造票据精准渗透。触发条件差异黄金票据依赖域管理员权限生成，白银票据仅需普通用户权限即可利用漏洞发起攻击。伪造凭据差异黄金票据伪造的是KRBTGT哈希值，白银票据则伪造特定服务的ST票据，目标针对性更强。影响范围差异黄金票据可获取域内全权限，白银票据仅能访问指定服务，影响范围相对更窄。攻击特征差异对比黄金与白银票据防御方案07基础防护配置措施启用Kerberos账户密钥定期轮换企业可效仿微软官方安全建议，每90天轮换域内账户密钥，降低密钥泄露后被伪造票据的风险。限制高权限账户登录范围通过组策略限制域管理员等高权限账户仅能在指定服务器登录，避免被攻击者获取权限生成票据。开启Kerberos事件审计启用Windows事件日志中Kerberos相关审计项，及时发现异常票据请求、伪造等可疑操作行为。攻击检测排查方法

异常票据日志分析重点排查域控制器日志中票据请求的时间、频次，如出现非工作时段大量请求需警惕异常。

票据权限交叉验证对比票据标注权限与账号实际权限，像某企业曾通过此发现伪造的高权限白银票据。

终端进程关联核查监测终端中与票据生成相关的可疑进程，比如非授权的Kerberos票据生成工具运行痕迹。应急处置响应流程

异常事件快速识别依托日志监控系统，实时检测票据请求频次、权限异常，如某企业曾通过该方式识破伪造票据攻击。

票据攻击快速遏制立即暂停涉事票据相关权限，隔离可疑访问节点，阻止攻击者进一步窃取或伪造票据信息。

攻击溯源与取证调取全链路日志，结合蜜罐数据追踪攻击路径，像微软曾通过此方法定位票据攻击源头。

系统恢复与加固重置合法票据密钥，修复权限漏洞，同步更新防御规则，避免同类攻击再次发生。课程总结与拓展思考08核心知识点回顾黄金票据伪造核心逻辑

需掌握利用Kerberos协议漏洞，伪造可任意访问域内资源的票据，典型案例为2017年某企业域渗透事件。白银票据生成关键步骤

要熟悉基于ServiceTicket的伪造流程，需精准定位目标服务SPN，如Exchange、SQLServer等服务。攻防对抗核心策略差异

需明确防御方通过监控票据请求日