一、域内用户枚举

1、域内用户枚举原理

域内用户枚举可以在无域内有效凭据的情况下，枚举出域内存在的用户名，并对其进行密码喷洒攻击，以此获得域内的有效凭据，在 Kerberos 协议认证的 AS-REQ 阶段，客户端向 AS 发送的请求包中，cname字段对应的值是用户名，AS对用户名进行验证，当用户状态分别为用户存在且启用（需要密码认证）、用户存在但被禁用、用户不存在时，AS-REP返回的数据包各不相同，如下图所示，会产生3种状态的数据包，利用这一点，可以对目标与域进行域内用户枚举。

用户状态	AS-REP返回包信息
用户存在且启用，但是没有提供密码	KRB5DC_ERR_PREAUTH_REQUIRED（需要额外的预认证）
用户存在但禁用	KRB5DC_ERR_CLIENT_REVOKED NT Status: STATUS_ACCOUNTDISADLED（用户状态不可用）
用户不存在	KRB5DC_ERR_C_PRINCIPAL_UNKNOWN（在Kerberos数据库中找不到此用户）

2、域内用户枚举抓包分析

为了更直观的查看各种用户状态，接下来对各种状态的用户使用工具向AS请求TGT票据，在该过程中使用WireShark进行抓包，查看对于不同用户状态其AS-REP返回包信息。这里用域内用户枚举工具kerbrute针对以下用户进行枚举，并抓包分析

用户	用户状态
Mary	用户存在且启用，但是没有提供密码
Guest	用户存在但禁用
Unknow	用户不存在

在用户字典中放入Mary、Guest、Unknow3个用户名使用用户枚举工具kerbrute进行用户名枚举，在该过程使用WireShark抓包，kerbrute该工具使用方法如下:

kerbrute.exe userenum -d god.org usernames.txt
# 参数
username    	# 用户枚举模式
-d        		# 指定域名
usernames.txt   # 用户名字典文件，用户名可以不加域名后缀

kerbrute工具项目地址：https://github.com/ropnop/kerbrute

使用kerbrute工具进行用户名枚举，指定的域名为god.org，枚举的用户名字典为usernames.txt，可以看到枚举出的有效域用户名Mary

通过WireShark在枚举过程中抓包，数据包如下：
138、139两个数据包是用户Unknow的枚举，从AS-REP包可以看到返回状态为KRB5DC_ERR_C_PRINCIPAL_UNKNOWN，对应的是用户不存在状态。
140、142两个数据包是用户Mary的枚举，从AS-REP包可以看到返回状态为KRB5DC_ERR_PREAUTH_REQUIRED，对应的是用户存在且启用，但是没有提供密码，需要额外的预认证。
141、143两个数据包是用户Guest的枚举，从AS-REP包可以看到返回状态为KRB5DC_ERR_CLIENT_REVOKED NT Status: STATUS_ACCOUNTDISADLED，对应的是用户存在但禁用状态。

3、域内用户枚举工具

• kerbrute
  Kerbrute是一款使用Go语言编写的域内用户名枚举和密码喷洒工具，上面已经使用过了。

  kerbrute.exe userenum --dc <域控IP> -d <域名> <用户名字典>
  

• pyKerbrute
  pyKerbrute是一款使用Python编写的域内用户名枚举和密码喷洒工具。它可以通过TCP和UDP两种模式进行工作，用户名字典中的用户名格式不需要加域名后缀。域内用户名枚举命令如下：

  python2 EnumADUser.py <域控IP> <域名> <用户名字典> udp     # UDP模式
  python2 EnumADUser.py <域控IP> <域名> <用户名字典> tcp     # TCP模式
  

  

4、域内用户枚举攻击防御

由于域内用户名枚举是发送大量的 AS-REQ 包，根据返回包的内容筛选出存在的域用户，因此可通过以下方法进行检测。

• 流量层面：可通过检测同一IP在短时间内是否发送了大量的AS-REQ包来判断。如果同一IP在短时间内发送大量的AS-REQ包（如1min内大于30个AS-REQ包），则可判断为异常。
• 日志层面：默认情况下域内用户名枚举并不会对不存在的用户名发起的AS-REQ包产生任何事件日志，因此日志层面不太好检测。

二、域内密码喷洒

1、域内密码喷洒原理

在Kerberos协议认证的AS-REQ阶段，请求包cname对应的值是用户名。当用户名存在时，在密码正确和密码错误两种情况下，AS-REP的返回包不一样。如下图所示为用户密码错误时的返回包状态，所以可以利用这一点对域用户名进行密码喷洒攻击。
这种针对所有用户的自动密码猜测通常是为了避免账户被锁定，因为如果目标域设置了用户锁定策略，针对同一个用户的连续密码猜测会导致账户被锁定，所以只有对所有用户同时执行特定的密码登录尝试，才能增加破解的概率，消除账户被锁定的概率。普通的爆破就是用户名固定来爆破密码，但是密码喷酒是用固定的密码去爆破用户名。

用户状态	AS-REP返回包信息
用户存在密码错误	KRB5KDC_ERR_PREAUTH_FAILED（用户存在密码错误）

2、域内密码喷洒抓包分析

基于以上原理，我们针对webadmin用户在AS-REQ阶段密码正确和错误的情况下，通过Wireshark抓包看看AS-REP的返回状态。这里使用kekeo工具向AS发起TGT票据申请，发送AS-REQ请求包，在该过程使用WireShark抓包

tgt::ask /user:<域用户名> /domain:<域名> /password:<域用户密码>

第 4个是 AS-REQ 包，它是针对用户 webadmin 进行预认证的，第5个是AS-REP包，由于webadmin用户不存在，因此AS-REP包返回KRB5KDC_ERR_PREAUTH_FAILED错误。

第17个AS-REP包，是针对用户 webadmin 密码正确的情况返回的正常的AS-REP包返里面包含TGT票据。

3、域内密码喷洒工具

当攻击者不在域内时，可以先通过域内用户名枚举来枚举出域内存在的用户，然后再进行域内密码喷洒来尝试喷洒出有效的域用户密码。针对域内密码喷洒攻击，网上有很多开源的项目，下面介绍几款域内密码喷洒工具。

• kerbrute
  如果通过net accounts /domain可以查询得知目标域不存在密码锁定策略，则可以针对单个用户进行密码字典爆破
  
  该工具的密码喷洒命令如下:

  kerbrute_windows_amd64.exe passwordspray --dc <域控IP> -d <域名> <用户名字典> <单个密码>    # 适用于有锁定策略的情况
  kerbrute_windows_amd64.exe bruteuser --dc <域控IP> -d <域名> <密码字典> <单个用户名>        # 适用于没有锁定策略的情况，严格来说这种是爆破
  # 参数
  passwordspray			# 密码喷酒模式
  --dc					# 指定域控 IP
  -d						# 指定域名
  

  
• pyKerbrute
  在密码喷洒模式下，可以使用明文密码或密码Hash。密码喷洒命令如下：

  python2 ADPwdSpray.py <域控IP> <域名> <用户名字典> clearpassword <明文密码> tcp/udp
  python2 ADPwdSpray.py <域控IP> <域名> <用户名字典> ntlmhash <ntlmhash> tcp/udp
  

4、域内密码喷洒攻击防御

由于域内密码喷洒是通过发送大量的AS REQ包，根据返回包的内容判断密码是否正确，因此可通过以下方法进行检测。

• 流量层面：可通过检测同一 IP 在短时间内是否发送了大量的AS-REQ包来判断。如果同一IP在短时间内发送大量的AS-REQ包（如1min内大于30个 AS-REQ 包），则可判断为异常。
• 日志层面：当口令爆破成功时，会产生事件ID为4768且结果代码为0x0的审核成功的Kerberos身份验证服务事件日志。而当口令爆破失败时，默认情况下并不记录任何日志，因此日志层面不太好检测。

正常域用户登录主机，我们可以通过 net user /domain来列举出域内的用户。但是当我们用非域用户进行登录时，是不能使用 net user /domain这条命令的。如果当主机不在域内但是能与域控通信时，这种情况我们可以通过域内用户枚举的方式对进行用户枚举。然后利用枚举获取的域用户进行密码喷洒。

参考文档：
《域渗透攻防指南》(谢兆国 张秋圆)