T1558.001: 黄金票据

摘要

拥有 KRBTGT 账户密码哈希的攻击者可以伪造 Kerberos 票据授予票据（TGT），也称为黄金票据。(Citation: AdSecurity Kerberos GT Aug 2015) 黄金票据使攻击者能够为 Active Directory 中的任何账户生成身份验证材料。(Citation: CERT-EU Golden Ticket Protection) 使用黄金票据，攻击者随后能够请求票据授予服务（TGS）票据，从而访问特定资源。黄金票据要求攻击者与密钥分发中心（KDC）交互以获取 TGS。(Citation: ADSecurity Detecting Forged Tickets) KDC 服务在所有属于 Active Directory 域的域控制器上运行。KRBTGT 是 Kerberos 密钥分发中心（KDC）服务账户，负责加密和签署所有 Kerberos 票据。(Citation: ADSecurity Kerberos and KRBTGT) KRBTGT 密码哈希可以使用[操作系统凭据转储](https://attack.mitre.org/techniques/T1003)以及对域控制器的特权访问来获取。