tgs

0x01 为什么要理解windows 安全认证机制: 加深对后续各种漏洞利用的理解深度,还是那句话,要知其然,更要知其所以然,不废话,咱们直接开始 0x02 windows认证协议主要有以下两种: 基于ntlm的认证方式,主要用在早期的windows工作组环境中,认证的过程也相对比较简单 另一种是基于Kerberos的认证方式,主要用在域环境中,下面就这两种不同的认证方式做些简要的通信流程说明 0x03 关于ntlm认证流程简要说明,如下: 0x04 从图中我们可以清晰的看到,ntlm在域中的认证过程主要分为以下几步: 第一步,首先在client输入username,password和domain,然后client会把password hash后的值先缓存到本地 第二步,之后,client把username的明文发送给server(DC) 第三步,DC会生成一个16字节的随机数,即challenge(挑战码),再传回给client 第四步,当client收到challenge以后,会先复制一份出来,然后和缓存中的密码hash再一同混合hash一次,混合后的值称为response,之后client再将challenge,response及username一并都传给server 第五步,server端在收到client传过来的这三个值以后会把它们都转发给DC 第六步

概要 接入控制只允许授权接入网络的用户所使用的终端接入网络，相应的协议PPP协议（其中PPP本身是载体协议，口令鉴别协议PAP、挑战握手协议CHAP，IP控制协议IPCP）；802.1X标准/WPA2（其中扩展鉴别协议EAP）。访问控制只允许每一个用户访问授权该用户访问的网络资源，由Kerberos协议实现。接入控制的核心的身份鉴别，访问控制的核心是身份鉴别和授权。 接入控制 身份鉴别 身份鉴别定义：验证主题真实身份与其所声称的身份是否符合符合的过程，主体可以是用户、进程和主机。（身份鉴别过程也实现防重放、防假冒） 身份鉴别分类：单向鉴别，双向鉴别、三方鉴别。 主体身份标识信息：秘钥、用户名和口令、证书和私钥。 PPP实现接入控制过程： 点对点协议（PPP）既是基于点对点信道的链路层协议，又是接入控制协议。接入控制设备完成对终端的接入控制过程中需要与终端交换信息，由于终端与控制设备之间的传输路径是点对点语音信道，因此，需要将终端和接入控制设备之间的相互交换的信息封装成适合点对点语音信道传输的格式，PPP就很合适。 物理链路停止： 物理链路停止状态表明没有建立终端A与接入控制设备之间的语音信道，终端A和接入控制设备在用户线上检测不到载波信号。该状态既是PPP开始的状态，也是PPP结束状态。 PPP链路建立： 终端A与接入控制设备之间的点对点语音信道建立之后

前些日子为了搞清楚Kerberos原理，把 MIT的Kerberos经典对话 看了几遍，终于有了一个稍微清晰的认识，这里稍微记录下，因为Kerberos是使用传统加密技术实现的一个认证机制，所以顺便备忘下关于加密的一些知识概念。本文组织如下： ===关于Kerberos=== ===认证授权=== ===加密术语=== ===单点登录=== ===Kerberos术语=== ===Kerberos原理=== ===经典对话手记=== ============================================================== 关于Kerberos 什么是Kerberos？ 一句话，Kerberos是一种认证机制。 它的目的：通过密钥系统为客户端/服务器应用程序提供强大的认证服务：保护服务器防止错误的用户使用，同时保护它的用户使用正确的服务器，即支持双向验证； Kerberos协议的整个认证过程实现不依赖于主机操作系统的认证，无需基于主机地址的信任，不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意地读取、修改和插入数据。 说白了， Kerberos通过 传统的加密技术 （共享密钥）实现了一种可信任的第三方 认证 服务。 认证授权 认证授权（Anthentication and Authorization

一、背景说明 最早听说KDC和Kerberos应该是大三的《应用密码学》，当时感觉这套对称密钥分发机制比非对称密钥的PKI分发机制要好理解。但几年下来由于现实中使用SSL的场景比较比（主要是https）接触得也就比较多所以对PKI的认识反倒超过了KDC。 Kerberos的接触印象中只有某运营商大数据平台一主机要ssh到其他主机时需要先kinit申请票据一把，具体原理不是很清楚，也没有深入探究。这几天一是比较有空二是感觉以后用得上所以来探究一番，本文可以认为是 本链接 文档的一次实现。 另外，首先要明确Kerberos是KDC思想的一个具体实现，正如当下的数字签名证书是PKI思想的一个具体实现一样；只是他们都实现得都比较好，以至于与各自的思想基本成为同义词。 二、Kerberos+SSH安装配置 2.1 安装配置Kerberos 2.1.1 前置操作 将当前用户设置成sudo免密码。编缉/etc/sudoers文件追加以下内容（ls是我当前用户，操作时请改成自己的）： ls ALL=(ALL) NOPASSWD: ALL 将后续要使用的域名/主机名指向本地。编缉/etc/hosts写入以下内容（192.168.220.143是我电脑当前的IP，改成自己的；最后的ls-virtual-machine是我电脑当前的主机名，改成自己的；另外如果/etc