## 引言

 在 Active Directory 域环境中，Kerberos 是核心身份认证协议。攻击者一旦掌握高权限账户、委派配置或关键服务账户，就可能借助票据机制实现横向移动、权限提升以及长期权限维持。其中，黄金票据通常依赖 `krbtgt` 账户密钥，而约束委派则提供了一条通过服务委派关系间接获取高权限票据的特殊路径。

常规黄金票据需要获取 `krbtgt`​ 哈希，门槛较高；但在特定历史版本域控环境中，如果能够将服务账户配置为对 `krbtgt/deadeye.org` 进行约束委派，则可借助 S4U 流程请求高权限用户的 TGT，形成一种“变种黄金票据”式的权限维持方式。

本文围绕“利用约束委派和变种黄金票据维持权限”展开，依次介绍 Kerberos 与约束委派原理、实验环境、利用前提、操作流程、验证方式、攻击链路总结以及防御排查建议，帮助读者系统理解该技术的利用条件与风险控制要点。

‍

## 1 技术原理概述

在 Kerberos 身份验证过程中，用户通常需要通过 AS-REQ 向 KDC 的 AS 服务申请 TGT。AS 服务会使用 `krbtgt`​ 账户的密钥对 TGT 进行加密和签名，因此 `krbtgt` 是域内票据体系的核心信任根。

传统黄金票据攻击的关键在于获取 `krbtgt`​ 账户哈希，然后离线伪造任意用户的 TGT。与此不同，本文所述方式并不是直接窃取 `krbtgt`​ 哈希，而是通过配置约束委派，使指定服务账户可以委派到 `krbtgt/deadeye.org` 服务。当攻击者掌握该服务账户后，即可借助 S4U 相关流程向 KDC 请求目标用户票据，从而达到类似黄金票据的权限维持效果。

需要注意的是，将委派目标配置为 `krbtgt` 本身属于极高风险配置，通常需要较高权限才能完成。因此，该技术更适合作为已经取得域管权限后的权限维持方式，而不是初始突破手段。

## 2 实验环境说明

本次实验环境如下：

- DC：`WIN-730BLJRE1TH.deadeye.org`。
- 开启委派的服务账户：`user2`。
- 委派的目标服务：`krbtgt/deadeye.org`。
- 目标高权限用户：`Administrator`。
- 域名：`deadeye.org`。
- 域控 IP：`172.16.4.132`。

注意：利用约束委派制作变种黄金票据的方式主要适用于 DC 为 Windows Server 2008 R2 及以下版本的历史环境。在新版本系统中，相关限制与安全机制可能导致该方法无法直接复现。

## 3 利用前提与限制条件

在实际利用前，需要满足以下条件：

1. 攻击者需要具备修改目标服务账户委派属性的权限，通常需要域管理员权限或等效权限。
2. 目标服务账户需要被配置 `msDS-AllowedToDelegateTo`​ 属性，并指向 `krbtgt/deadeye.org`。
3. 委派方式需要设置为“使用任何身份验证协议”，否则无法正常进行 S4U2Proxy。
4. 攻击者需要掌握服务账户 `user2` 的凭据或哈希。
5. 域环境版本需要满足该技术可用条件，尤其需要关注 DC 版本和补丁状态。

从攻击链视角看，该方法的核心价值在于：即使后续清理了部分常规后门，只要该委派关系和服务账户凭据仍然有效，攻击者仍可能继续通过票据申请恢复高权限访问能力。

## 4 配置服务账户到 krbtgt 的约束委派

首先在 DC 上为服务账户 `user2`​ 配置到 `krbtgt/deadeye.org`​ 的约束委派。这里需要使用 `Import-Module ActiveDirectory`​ 导入 Active Directory 模块，然后通过 `Get-ADUser`​ 获取用户对象，最后使用 `Set-ADObject`​ 写入 `msDS-AllowedToDelegateTo` 属性，如图1-1所示。

```powershell
Import-Module ActiveDirectory

$user = Get-ADUser user2

Set-ADObject $user -Add @{ "msDS-AllowedToDelegateTo" = @("krbtgt/deadeye.org") }
```

注意：DC 默认通常包含 Active Directory PowerShell 模块；如果在域成员主机上没有该模块，可补充安装 RSAT 或导入 `Microsoft.ActiveDirectory.Management.dll` 后再执行相关操作。

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/9336d442b28b49aaeb31a4b63818ae29.jpg)

图1-1 给 user2 配置到 krbtgt 的约束委派  
:::

配置完成后，还需要确认该委派被设置为“使用任何身份验证协议”。如果仅允许 Kerberos，则可能导致 S4U2Proxy 流程无法完成。

## 5 使用 getST 请求 Administrator 的 TGT

完成委派配置后，可以使用 Impacket 工具包中的 `getST.exe`​ 向 KDC 发起请求，利用 `user2`​ 的凭据模拟 `Administrator`​，并请求 `krbtgt/deadeye.org` 对应票据，如图1-2所示。

```cmd
getST_windows.exe -dc-ip 172.16.4.132 -spn krbtgt/deadeye.org -impersonate Administrator deadeye.org/user2:a102938@
```

该命令中的关键参数说明如下：

- `-dc-ip 172.16.4.132`：指定域控 IP。
- `-spn krbtgt/deadeye.org`：指定目标服务主体名称。
- `-impersonate Administrator`：指定需要模拟的目标用户。
- `deadeye.org/user2:a102938@`：指定域、服务账户和对应密码。

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/58ef94641bab45804e58fe4c80bdc55c.jpg)

图1-2 使用 getST 向 KDC 请求 Administrator 的 TGT  
:::

执行成功后，会在当前目录生成与目标用户相关的 ccache 文件。该文件可作为后续 Kerberos 认证的凭据来源。

## 6 清空当前内存票据并验证普通权限访问

为了便于验证票据导入前后的权限差异，可以先使用 `klist purge`​ 清空当前系统内存中的 Kerberos Ticket。随后使用普通上下文访问 DC 的管理共享，例如访问 `\\WIN-730BLJRE1TH.deadeye.org\c$`，如图1-3所示。

```cmd
klist purge

dir \\WIN-730BLJRE1TH.deadeye.org\c$
```

如果当前用户不具备足够权限，则访问管理共享会失败。这一步主要用于对比后续导入高权限票据后的访问效果。

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/20f74335a6833f5a0a25a0ba5f48b95f.jpg)

图1-3 清空内存 Ticket 并验证普通权限访问  
:::

## 7 导入高权限 ccache 并访问目标主机

接下来将前面获取到的高权限 ccache 文件导入当前会话环境。可以通过 `set KRB5CCNAME`​ 指定 ccache 文件，然后使用 `smbexec.exe` 结合 Kerberos 认证访问目标主机，如图1-4所示。

```cmd
set KRB5CCNAME=Administrator.ccache

smbexec.exe -no-pass -k administrator@WIN-730BLJRE1TH.deadeye.org -dc-ip 172.16.4.132
```

其中：

- `set KRB5CCNAME=Administrator.ccache`：指定当前 Kerberos 缓存文件。
- `-no-pass`：表示不使用明文密码认证。
- `-k`：表示使用 Kerberos 认证。
- `administrator@WIN-730BLJRE1TH.deadeye.org`：指定以 Administrator 身份访问目标主机。

:::center  
​![](https://developer.qcloudimg.com/http-save/yehe-1277458/484908245c894e95ad4579a7fd0c1058.jpg)

图1-4 导入高权限 ccache 并访问 SMB 服务  
:::

如果命令成功执行，说明攻击者已经能够借助委派获取到的高权限票据访问目标服务，从而实现类似黄金票据的权限维持效果。

## 8 攻击链路总结

该技术的完整攻击链路可以概括为以下步骤：

1. 攻击者获得足以修改委派属性的高权限身份。
2. 将受控服务账户 `user2`​ 的 `msDS-AllowedToDelegateTo`​ 属性配置为 `krbtgt/deadeye.org`。
3. 确保委派方式为“使用任何身份验证协议”。
4. 使用 `getST.exe`​ 结合 `user2`​ 凭据，模拟高权限用户 `Administrator` 请求票据。
5. 将生成的 ccache 文件导入当前会话。
6. 通过 Kerberos 认证访问域控或其他目标服务。
7. 在委派配置和服务账户凭据未失效的情况下，持续恢复高权限访问能力。

与传统黄金票据相比，该方法不依赖直接持有 `krbtgt`​ 哈希，但依赖异常且高危的委派配置。因此，在排查时不能只关注 `krbtgt` 哈希是否泄露，还应重点审计服务账户委派属性是否存在异常指向。

## 9 防御与排查建议

针对该类利用方式，可从以下方面进行防御和检测：

1. **审计异常委派配置**：定期检查域内账户的 `msDS-AllowedToDelegateTo`​ 属性，重点关注是否存在指向 `krbtgt` 的异常 SPN。
2. **限制高权限账户委派**：将域管理员等敏感账户设置为“账户敏感，不能被委派”，降低被 S4U 模拟的风险。
3. **启用 Protected Users 组**：将关键管理员账户加入 Protected Users 组，减少 Kerberos 委派与票据滥用风险。
4. **监控 S4U 相关事件**：关注异常的 Kerberos 服务票据申请行为，尤其是服务账户频繁模拟高权限用户的情况。
5. **最小化服务账户权限**：服务账户不应具备不必要的高权限，更不应长期使用弱口令或固定口令。
6. **清理历史系统风险**：Windows Server 2008 R2 及以下版本域控存在较多历史安全限制，应尽快升级或隔离。
7. **变更疑似泄露账户凭据**：如果发现异常委派，应立即重置相关服务账户密码，并核查其历史登录与票据申请记录。
8. **核查域控安全日志**：重点关注 4769、4770、4771 等 Kerberos 相关事件，结合客户端地址、服务名和账户名进行关联分析。

## 10 实战注意事项

在真实环境中，约束委派相关配置往往会被业务系统使用，因此排查时不能简单地将所有委派视为恶意行为。需要结合以下维度综合判断：

1. 委派目标 SPN 是否符合业务逻辑。
2. 服务账户是否为长期未维护账户。
3. 委派账户是否近期被修改过属性。
4. 是否存在服务账户模拟高权限用户的异常记录。
5. 是否存在来自非常规主机的 Kerberos 请求。

如果发现某个普通服务账户被配置为委派到 `krbtgt`​，应视为严重安全事件进行处置，因为正常业务几乎不需要将服务委派目标设置为 `krbtgt`。

## 11 小结

本文介绍了利用约束委派和变种黄金票据维持权限的原理与实验流程。该方法的核心在于：通过将受控服务账户委派到 `krbtgt/deadeye.org`，再借助 S4U 流程请求高权限用户票据，从而获得近似黄金票据的权限维持能力。

该技术虽然对环境版本和权限条件要求较高，但一旦配置成功，隐蔽性和危害性都较强。防御方应将委派属性审计、敏感账户保护、Kerberos 日志监控和历史域控升级作为重点治理方向，避免攻击者通过异常委派关系长期控制域环境。


引言 在 Active Directory 域环境中，Kerberos 是核心身份认证协议。攻击者一旦掌握高权限账户、委派配置或关键服务账户，就可能借助票据机制实现横向移动、权限提升以及长期权限维持。其中，黄金票据通常依赖 krbtgt 账户密钥，而约束委派则提供了一条通过服务委派关系间接获取高权限票据的特殊路径。 常规黄金票据需要获取 krbtgt​ 哈希，门槛较高；但在特定历史版本域控环境中，

AD域攻防权威指南.九十九.利用约束委派和变种黄金票据维持权限

技术经理

安全

在Active Directory域环境中，攻击者通过将服务账户配置为对krbtgt的约束委派，利用S4U流程请求高权限用户TGT，形成变种黄金票据实现权限维持。该方法不依赖krbtgt哈希，但需高权限配置，适用于Windows Server 2008 R2及以下版本。防御重点是审计异常委派属性、监控Kerberos事件及保护敏感账户。

2026上云采购 | AI焕新·智启新局

cadc

热销域名限时优惠，新客首年免费！


domain

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

在Active Directory域环境中，攻击者通过将服务账户配置为对krbtgt的约束委派，利用S4U流程请求高权限用户TGT，形成变种黄金票据实现权限维持。该方法不依赖krbtgt哈希，但需高权限配置，适用于Windows Server 2008 R2及以下版本。防御重点是审计异常委派属性、监控Kerberos事...

AD域攻防权威指南.九十九.利用约束委派和变种黄金票据维持权限-腾讯云开发者社区-腾讯云

AD域攻防权威指南.九十九.利用约束委派和变种黄金票据维持权限

AD域攻防权威指南.九十九.利用约束委派和变种黄金票据维持权限

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐