内网安全：PTH、PTK与PTT哈希票据攻击策略解析

内网安全-域横向PTH、PTK和PTT哈希票据传递是针对Windows域环境中的一种高级渗透技术。Kerberos协议是核心环节，它涉及以下几个步骤： 1. **密码哈希传递** (PTH): 用户的明文密码首先经过NTLM哈希，与时间戳一起加密，使用krbtgt密码哈希作为共享密钥。这个过程发生在客户端（如用户计算机）向域控制器（KDC，Key Distribution Center）请求Ticket-Granting Ticket (TGT)。 2. **Ticket-Granting Ticket (TGT)**: KDC验证了用户身份后，会生成一个TGT，这是一种临时凭证，包含用户的加密信息。TGT仅限域用户krbtgt能读取，确保了安全。 3. **TGT的使用与TGS请求**: 客户端收到TGT后，将其发送给KDC以获取Ticket-Granting Service (TGS)票证。此票证用于访问特定的域资源，如其他用户或服务账户。 4. **PTK（PasstheKey）攻击**: 在某些情况下，如安装了KB2871997补丁的系统（Windows 7/2008 R2/8/2012），攻击者可以利用AESkeys代替传统的NTLMHash发起PTK攻击，这意味着非管理员账户可能也需要特定密钥才能访问。 5. **PTH和PTT攻击的演变**: - PTH：即使在补丁前，只要支持NTLM认证，攻击者可以通过LMHash和NTLMHash进行远程连接。 - PTK：补丁后，非管理员账户只能通过AES256加密的钥匙进行连接，降低了攻击难度。 - PTT：更复杂的攻击手段，利用Kerberos协议中的漏洞（如MS14-068）进行攻击。MS14-068允许攻击者获取具有更高权限的Golden Ticket（黄金票据）和Silver Ticket（白银票据），这些技术主要用来维持攻击者的权限并绕过正常认证流程。 6. **MS14-068漏洞影响**: 这个漏洞使得域内攻击者能够获取用户的TGS票证，进而模拟高权限用户行为，导致潜在的信息泄露或恶意操作。 总结，内网安全中的PTH、PTK和PTT攻击展示了黑客如何利用Kerberos协议的脆弱性进行攻击。为了保护网络环境，组织应定期更新补丁，限制不必要服务的访问，并实施多层防御策略，以降低这些威胁的可能性。同时，教育用户和管理员关于密码策略的重要性，如定期更换复杂密码，启用多因素认证，也是保障安全的重要措施。