T1558: 窃取或伪造 Kerberos 票据

摘要

攻击者可能试图通过窃取或伪造 Kerberos 票据来颠覆 Kerberos 身份验证，以启用[传递票据](https://attack.mitre.org/techniques/T1550/003)。Kerberos 是一种广泛用于现代 Windows 域环境的身份验证协议。在 Kerberos 环境（称为“领域” realm）中，有三个基本参与者：客户端、服务和密钥分发中心（KDC）。(Citation: ADSecurity Kerberos Ring Decoder) 客户端请求对服务的访问，并通过交换源自 KDC 的 Kerberos 票据，在成功通过身份验证后被授予访问权限。KDC 负责身份验证和票据授予。攻击者可能试图通过窃取票据或伪造票据来滥用 Kerberos，以实现未经授权的访问。 在 Windows 上，内置的 <code>klist</code> 实用工具可用于列出和分析缓存的 Kerberos 票据。(Citation: Microsoft Klist)