T00ls-2023苏州沙龙PPT：AD域渗透之跨域攻击（rootkie）

SID（安全标识符）是Windows环境中所有安全主体（用户、计算机、组、服务账户）都有的唯一ID。在每一个域中默认的内置组如成员administrator的RID都是500。

SID过滤确保从受信任域收到的传入认证请求将从不属于受信任域的SID中剥离。即防止受信域声称用户是域外组的成员。在域森林中开启SID历史记录会降低域的安全性，但是并不会导致SID过滤的关闭。

众所周知，在Kerberos协议中有两种票据，一种是TGT，另外一种是TGS。黄金票据就是伪造的TGT票据，因为伪造的是TGT票据以及TGT加密是使用的krbtgt哈希，所以会用到krbtgt的哈希。如图所示图是关于PAC的结构图，根据前面的介绍我们知道PAC的作用是鉴权。整个PAC最外层的ad-type为AD-IF-RELEVANT，ad-data还是一个AuthorizationData结构。这个AuthorizationData的ad-type 为AD-WIN2K-PAC，ad-data为一段连续的空间，这段空间包含一个头部PACTYPE以及若干个PAC_INFO_BUFFER。头部PACTYPE包括cBuffers,版本以及缓冲区，PAC_INFO_BUFFER为key-value。其中有一个跟黄金票据有关的结构就是KERB_VALIDATION_INFO。