域渗透：SPN(ServicePrincipal Names)的利用

SPN 简介：服务主体名称（SPN：ServicePrincipal Names）是服务实例（可以理解为一个服务，比如 HTTP、MSSQL）的唯一标识符。Kerberos 身份验证使用 SPN 将服务实例与服务登录帐户相关联。如果在整个林或域中的计算机上安装多个服务实例，则每个实例都必须具有自己的 SPN。如果客户端可能使用多个名称进行身份验证，则给定服务实例可以具有多个 SPN。SPN 始终包含运行服务实例的主机的名称，因此服务实例可以为其主机的每个名称或别名注册 SPN。

SPN分为两种，一种注册在AD上机器帐户(Computers)下，另一种注册在域用户帐户(Users)下

当一个服务的权限为Local System或Network Service，则SPN注册在机器帐户(Computers)下

当一个服务的权限为一个域用户，则SPN注册在域用户帐户(Users)下

如果用一句话来说明的话就是如果想使用 Kerberos 协议来认证服务，那么必须正确配置 SPN。

---

SPN的格式：serviceclass/host:port/servicename

说明：

1、serviceclass可以理解为服务的名称，常见的有www, ldap, SMTP, DNS, HOST等
2、host有两种形式，FQDN和NetBIOS名，例如server01.test.com和server01
3、如果服务运行在默认端口上，则端口号(port)可以省略

---

如何查看已经注册的SPN

查找top.pentest.top域下注册的SPN：

setspn -T top.pentest.top -Q */*

查看当前域内的所有SPN：

setspn -Q */*

---

SPN 扫描：

介绍：在一个大型域中通常会有不止一个的服务注册 SPN，所以可以通过「SPN 扫描」的方式来查看域内的服务。

优点：比如想知道域内哪些主机安装了什么服务，我们就不需要再进行批量的网络端口扫描。相对于通常的网络端口扫描的优点是不用直接和服务主机建立连接，且隐蔽性更高。

扫描工具：

1.GetUserSPNs.ps1：

GetUserSPNs 是 Kerberoast 工具集中的一个 powershell 脚本，用来查询域内注册的 SPN。

2.GetUserSPNs.vbs：

cscript .\GetUserSPNs.vbs

---

Kerberoasting

Kerberoasting 是域渗透中经常使用的一项技术，是通过爆破 TGS-REP 实现。

利用方法：

由于域内的任何用户都可以向域内的任何服务请求TGS，知道相关服务的SPN后，可以用SPN申请一张票据 ST，如果Kerberos 协议设置票据为 RC4加密，则可通过爆破的方式得到服务对应用户的密码。

第一种利用方法：
首先，申请票据，在powershell上。

Add-Type -AssemblyName System.IdentityModelNew-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "MSSQLSvc/mssql.cate4cafe.com:1433"

使用klist查看票据申请是否成功。接着可使用mimikatz导出票据，再通过hashcat爆破即可。或者使用。

第二种利用方法：

Invoke-Kerberoast.ps1导出转换成 John the Ripper 或者 HashCat 能够直接爆破的字符串。

Invoke-Kerberoast -OutputFormat Hashcat | Select hash | ConvertTo-CSV -NoTypeInformation

然后再通过hashcat进行密码破解

在我们取得了 SPN 的修改权限后，可以为指定的域用户添加一个 SPN，这样可以随时获得该域用户的 TGS ，经过破解后获得明文口令，可以作为一个后门使用。

例如为域用户Administrator添加SPN fps/top.pentest.top Administrator，参数如下：

setspn.exe -U -A fps/top.pentest.top Administrator

删除SPN的参数如下：

setspn.exe -D fps/top.pentest.top Administrator

---

总结SPN利用流程：
1、查询SPN，找到有价值的SPN，需要满足以下条件：
---该SPN注册在域用户帐户(Users)下
---域用户账户的权限很高
2、请求TGS
3、导出TGS
4、暴力破解

参考文章：https://www.freebuf.com/articles/system/196434.html
参考文章：https://3gstudent.github.io/3gstudent.github.io/%E5%9F%9F%E6%B8%97%E9%80%8F-Kerberoasting/