(1)Client:访问服务的客户机

(2)Server:提供服务的服务器

(3)KDC(Key Distribution Center):密钥分发中心 

(4)KDC中分成两个部分:Authentication Service和Ticket Granting Service
    Authentication Service(AS):身份验证服务
    Ticket Granting Service(TGS):票据授予服务

    AS和TGS如下：

    Authentication Service：AS的作用就是验证Client端的身份，验证通过之后，AS就会给TGT票据(Ticket Granting Ticket)给Client.
    Ticket-granting cookie(TGC):存放用户身份认证凭证的cookie，在浏览器和CAS Server间通讯时使用，是CAS Server用来明确用户身份的凭证。TGT封装了TGC值以及此Cookie值对应的用户信息.
    Ticket-granting ticket(TGT):TGT对象的ID就是TGC的值，在服务器端，通过TGC查询TGT.


    Ticket Granting Service(TGS)：TGS的作用是通过AS发送给Client的TGT换取访问Server端的ST(Server Ticket)给Client.
    SEerver Ticket(ST):ST服务票据，由TGS服务发布.


(5)Active Directory(AD):活动目录

(6)Domain Controller(DC):域控制器

(7)Ticket-granting cookie(TGC):存放用户身份认证凭证的cookie，在浏览器和CAS Server间通讯时使用，是CAS Server用来明确用户身份的凭证。TGT封装了TGC值以及此Cookie值对应的用户信息.

(8)Ticket-granting ticket(TGT):TGT对象的ID就是TGC的值，在服务器端，通过TGC查询TGT.

疫情期间，小明去拿一个重要包裹，由于包裹是来自海外的，所以需要严格登记：
（1）拿包裹的时候，为了证明自己是合法公民，小明先把身份证给工作人员
（2）快递点的身份认证系统通过身份认证后，给小明一张身份认证通过证明
（3）小明拿着身份认证通过证明，来到快递收发处等一张拿快递的号码牌
（4）售票处给了张号码牌
（5）小明拿着号码牌拿快递去了
（6）在拿快递时，小明拿出自己的身份认证材料给快递点的工作人员，工作人员向快递公司的数据管理中心发了消息，问问小明是不是有包裹要拿
（7）数据管理中心将小明的快递单号，身份信息等发了过来
（8）工作人员将数据管理中心发来的信息与小明给的材料对比，得出小明是好公民，有一个重要包裹，于是带着小明来到仓库的金库，把装有老魔杖的包裹给了小明

1.client 访问服务的客户机
2.Server 提供服务的服务器
3.KDC(Key Distribution Center) 密钥分发中心 
    KDC服务会默认安装在一个域的域控中，所以可以直接理解为，AD与KDC均为域控制器,KDC服务框架中包含一个KRBTGT账户，它是在创建域时系统自动创建的一个账号。

(1)Client向KDC的AS认证服务请求TGT票据=>AS_REQ
(2)Client通过认证后，KDC将会发放TGT票据=>AS_REP
(3)Client带上TGT票据，向TGS认证服务请求ST服务票据=>TGS_REQ
(4)Client通过了TGS认证服务后，TGS将会发放ST服务票据=>TGS_REP
(5)Client使用ST服务票据向服务端请求服务=>AP_REQ
(6)Server拿到PAC询问KDC，Client是否有权限
(7)KDC将Client的权限信息发给Server
(8)Server根据KDC返回的权限信息对比，判断Client是否有权限访问该服务，并把结果返回给Client=>AP_REP

域中每个用户的Ticket都是由krbtgt的密码Hash来计算生成的,因此只要我们拿到了krbtgt的密码Hash,就可以随意伪造Ticket,进而使用Ticket登陆域控制器,使用krbtgt用户hash生成的票据被称为Golden Ticket,此类攻击方法被称为票据传递攻击。

（1）AS如何验证Client的身份？
    AS与Client之间的认证使用AS_REQ&AS_REP模块

Pvno  kerberos协议版本号：05（Hex）
5MSG-TYPE 类型 AS_REQ对应（krb-as-req）0a（Hex）
PA-DATA  预认证信息数据 一个列表，包含若干个认证消息用于认证，每个认证消息有type和value。
AS_REQ 阶段主要用到的有两个
　　1.ENC_TIMESTAMP
　　这个是预认证，就是用用户hash加密时间戳，作为value 发送给AS服务器。然后AS服务器那边有用户hash，使用用户hash进行解密，获得时间戳，如果能解密，且时间戳在一定的范围内，则证明认证通过。
　　2.PA_PAC_REQUEST
　　这个是启用PAC支持的扩展。PAC(Privilege Attribute Certificate)并不在原生的kerberos里面，是微软引进的扩展。PAC包含在AS_REQ的响应body(AS_REP)。这里的value对应的是include=true或者include=false(KDC根据include的值来判断返回的票据中是否携带PAC)。
REQ_BODY 
　　1.cname
　　PrincipalName 类型。PrincipalName包含type和value。
　　KRB_NT_PRINCIPAL = 1 means just the name of the principal 如daizhibin
　　KRB_NT_SRV_INST = 2 service and other unique instance (krbtgt) 如krbtgt，cifs
　　KRB_NT_ENTERPRISE_PRINCIPAL = 10 如 [email protected]
　　在AS_REQ里面cname 是请求的用户,这个用户名存在和不存在，返回的包有差异，可以用于枚举域内用户名。
　　2.sname
　　PrincipalName 类型，在AS_REQ里面sname是krbtgt，类型是KRB_NT_SRV_INST
　　3.realm 域名
　　4.from 发送时间
　　5.till 到期时间，rubeus和kekeo都是20370913024805Z，这个可以作为特征来检测工具。
　　6.nonce
　　随机生成的一个数kekeo/mimikatz nonce是12381973，rubeus nonce是1818848256，这个也可以用来作为特征检测工具。
　　7.etype
　　加密类型
这个地方要注意的是如果在配置里面选择用hash(不是plaintext)的话，hash的加密类型，要跟etype一样。因为KDC是按照etype类型选择用户对应加密方式的hash，如果是选择明文(plaintext)，那么client 会按照etype里面的加密方式将明文加密成hash

在这一阶段，Client与KDC之间的交互在于AS认证服务，主要是为了获得TGT认证票据，以及Login Session Key，经过该阶段后，Client将会使用自身密码的NTML hash解密Login Session Key得到原始的Login Session Key。然后它会在本地缓存TGT票据和原始Login Session Key

（2）Client如何获取ST？
    Client与TGS之间认证使用TGS_REQ&TGS_REP模块

padding:0
kdc-options:用于与KDC约定一些选项设置
realm:域名
sname:这里是要请求的服务
till:到期时间
    rebeus和kekeo都是20370913024805Z，可用于作为特征值检验用
nonce:随机生成数 
    kekeo/mimikatz的nonce为12381973，rubeus的nonce为1818848256,可用于作为特征值检验    用
etype:加密类型