黄金票据.

使用 krbtgt 账户哈希签名伪造的 Kerberos TGT,使攻击者可在整个域中冒充任意主体。 它属于网络安全的 攻击与威胁 分类。

使用 krbtgt 账户哈希签名伪造的 Kerberos TGT,使攻击者可在整个域中冒充任意主体。

黄金票据(Golden Ticket)是攻击者在获取 krbtgt 账户哈希(通常通过 DCSync 复制攻击或攻陷域控)后,在脱机环境中伪造的 TGT。由于域内所有 TGT 都由 krbtgt 签名,拥有该哈希的攻击者可以为任意用户、任意组、任意有效期生成票据,从而获得对域的持久控制权。MITRE ATT&CK 将其归为 T1558.001(Steal or Forge Kerberos Tickets: Golden Ticket)。常见缓解措施包括域控被攻陷后两次轮换 krbtgt 密码、限制并审计 DCSync 权限、实施 Tier-0 分层管理,以及检测有效期异常或逻辑上不可能的 TGT。

针对 黄金票据 的防御通常结合技术控制与运营实践,详见上方完整定义。