前往小程序，Get更优阅读体验！
立即前往
文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
首页
学习
活动
专区
工具
TVP最新优惠活动
返回腾讯云官网
社区首页 >专栏 >SPN服务主体名称

SPN服务主体名称

作者头像
谢公子
发布于 2023-10-28 16:31:09
4220
发布于 2023-10-28 16:31:09
举报
文章被收录于专栏：谢公子学安全谢公子学安全

SPN(ServicePrincipal Names)服务主体名称，是服务实例(如：HTTP、SMB、Exchange等服务)的唯一标识符。Kerberos身份验证使用SPN将服务实例与服务登录帐户相关联。如果在整个林或域中的计算机上安装多个服务实例，则每个实例都必须具有自己的 SPN。如果客户端使用多个名称进行身份验证，则给定服务实例可以具有多个SPN。SPN 始终包含运行服务实例的主机名，因此服务实例可以为其主机的每个名称或别名注册SPN。一个用户账户下可以有多个SPN，但一个SPN只能注册到一个账户。如果想使用 Kerberos 协议来认证服务，那么必须正确配置SPN。

在 Kerberos 身份验证服务使用 SPN 对服务进行身份验证之前，必须在服务实例用于登录的帐户对象上注册 SPN。 只能在一个帐户上注册给定的 SPN。 对于 Win32 服务，服务安装程序在安装服务实例时指定登录帐户。 然后，安装程序将编写 SPN，并作为帐户对象的属性写入 Active Directory 数据库中。 如果服务实例的登录帐户发生更改，则必须在新帐户下重新注册 SPN。 当客户端想要连接到某个服务时，它将查找该服务的实例，然后连接到该服务并显示该服务的 SPN 以进行身份验证。

在内网中，SPN扫描通过查询向域控服务器执行服务发现。这对于红队而言，可以帮助他们识别正在运行重要服务的主机，如Exchange服务器等。SPN的识别是kerberoasting攻击的第一步。

下面通过一个例子来说明SPN的作用：

Exchange邮箱服务在安装的过程中，就会在活动目录中注册一个Exchange的SPN。当用户需要访问Exchange邮箱服务时，系统会以当前用户的身份向域控查询SPN为Exchange的记录。当找到该SPN记录后，用户会再次与KDC通信，将KDC发放的TGT作为身份凭据发送给KDC，并将需要访问的SPN发送给KDC。KDC中的TGS服务对TGT进行解密。确认无误后，由TGS将一张允许访问该SPN所对应的服务的ST服务票据和该SPN所对应的服务的地址发送给用户，用户使用该票据即可访问Exchange邮箱服务。

SPN分为两种类型：

  • 一种是注册在活动目录的机器帐户(Computers)下，当一个服务的权限为 Local System 或 Network Service时，则SPN注册在机器帐户(Computers)下。域中的每个机器账户都会注册两个SPN：HOST/主机名 和 HOST/主机名.xie.com
  • 另一种是注册在活动目录的域用户帐户(Users)下，当一个服务的权限为一个域用户，则SPN注册在域用户帐户下。

如图所示，可以看到机器win2008下注册的SPN和hack用户下注册的SPN。

这里以SQLServer服务注册为例：

SQLServer在每次启动的时候，都会去尝试用自己的启动账号注册SPN。但是在Windows域里，默认普通机器账号有权注册SPN，但是普通域用户账号是没有权注册SPN的。这就会导致这样一个现象，SQL Server如果使用“Local System account”来启动，Kerberos就能够成功，因为SQL Server这时可以在DC上注册SPN。如果用一个域用户来启动，Kerberos就不能成功，因为这时SPN注册不上去。

解决办法：

  • 可以使用工具Setspn来手动注册SPN。但是这不是一个最好的方法，毕竟手工注册不是长久之计。如果SPN下次丢了，又要再次手动注册。
  • 所以比较好的方法，是让SQL Server当前启动域账号有注册SPN的权力。要在DC上为域账号赋予 “Read servicePrincipalName” 和 “Write serverPrincipalName” 的权限即可。

SPN的配置

SPN 在注册它的林中必须是唯一的。 如果它不唯一，身份验证将失败。 SPN 语法包含四个元素：两个必需的元素和两个其他元素，其中<service class> 和 <host> 为必须元素。如有必要，可以使用这些元素生成下表中列出的唯一名称。如下是SPN的格式：

代码语言：javascript
复制
<service class>/<host>:<port>/<service name>
  • <service class>：服务类，用于标识服务常规类的字符串;例如，"HOST"。 有一些已知的服务类名称，例如 Web 服务的"WWW"或目录服务的"LDAP"。 一般情况下，可以是服务类唯一的任何字符串。 请注意，SPN 语法使用正斜杠 (/) 分隔元素，因此此字符不能出现在服务类名中。
  • <host>：运行服务的计算机的名称。 这可以是完全限定的 DNS 名称(FQDN)或 NetBIOS 名称。 请注意，不确保 NetBIOS 名称在林中是唯一的，因此，包含 NetBIOS 名称的 SPN 可能不是唯一的。
  • <port>：一个可选端口号，用于区分单个主计算机上同一服务类的多个实例。 如果服务使用服务类的默认端口，则省略此组件。
  • <service name>：可复制服务SPN中使用的可选名称，用于标识服务或服务所服务的域提供的数据或服务。 此组件可以具有以下格式之一：
    • 服务中对象的可分辨名称或 objectGUID Active Directory 域，例如 SCP (连接) 。
    • 为整个域提供指定服务的服务的域的 DNS 名称。
    • SRV 或 MX 记录的 DNS 名称。

基于主机的服务

对于基于主机的服务，将省略"服务名称"组件，因为服务由服务类和安装该服务的主机名唯一标识。

代码语言：javascript
复制
<service class>/<host>

仅服务类就足以为客户端标识服务提供的功能。可以在多台计算机上安装服务类的实例，并且每个实例都提供使用其主计算机标识的服务。 FTP 和 Telnet 是基于主机的服务的示例。 如果服务使用非默认端口，或者主机上有多个服务实例，则基于主机的服务实例的 SPN 可以包含端口号。

代码语言：javascript
复制
<service class>/<host>:<port>

如下所示，是系统自动注册的基于主机服务的SPN。

各个SPN代表的服务如下：

代码语言：javascript
复制
#Host服务
HOST/WIN2008        
HOST/WIN2008.xie.com

#RDP服务
TERMSRV/WIN2008
TERMSRV/Win2008.xie.com

#WSMan/WinRM/PSRemoting服务
WSMAN/Win2008
WSMAN/Win2008.xie.com

#RestrictedKrbHost服务
RestrictedKrbHost/WIN2008
RestrictedKrbHost/WIN2008.xie.com

可复制的服务

对于可复制服务，可以有一个或多个服务实例 (副本) ，并且客户端不会区分它们连接到哪个副本，因为每个实例都提供相同的服务。 每个副本的 SPN具有相同的"服务类"和"服务名称"组件，其中"服务名称"更明确地标识服务提供的功能。 只有<host>和可选的<port>组件因 SPN 而异。

代码语言：javascript
复制
<service class>/<host>:<port>/<service name>

可复制服务的一个示例是提供对指定数据库的访问的数据库服务的实例。 在这种情况下，标识数据库应用程序，标识特定数据库。 可以是包含数据库连接数据的 SCP的可分辨名称。

代码语言：javascript
复制
MyDBService/host1.example.com/CN=hrdb,OU=mktg,DC=example,DC=com
MyDBService/host2.example.com/CN=hrdb,OU=mktg,DC=example,DC=com
MyDBService/host3.example.com/CN=hrdb,OU=mktg,DC=example,DC=com

可复制服务的另一个示例是向整个域提供服务。 在这种情况下，<service name>组件是所服务的域的 DNS 名称。 Kerberos KDC 是此类可复制服务的示例。

请注意，如果计算机的 DNS 名称发生更改，系统将更新林中该主机的所有已注册的SPN的元素。

使用SetSPN注册SPN

在客户端使用 SPN 对服务实例进行身份验证之前，必须在服务实例上将用于登录的用户或计算机帐户注册 SPN。 通常，SPN 注册由通过域管理员权限运行的服务安装程序来完成。但是我们也可以手动使用Setspn.exe程序来注册SPN，setspn.exe是Windows自带的一个二进制文件，该二进制文件可以用于SPN的查看、添加和删除。

如图所示，查看setspn的帮助说明。

我们可以使用 -S 参数来注册SPN。

  • 如果是注册在域用户下，还可以使用-U -A参数注册
  • 如果是注册在机器用户下，可以使用-C -A参数注册

SPN注册权限

只有机器账号或域管理员账号有权限注册SPN，普通域用户注册SPN会提示特权不够，不能执行该操作。而使用机器账号注册SPN时，注册的SPN的必须为当前主机的DNS名称。使用域管理员账号注册SPN无任何限制！

如图所示，通过切换到本地System权限窗口来使用机器账号注册SPN，注册的SPN的为当前主机的DNS名称。

如果使用机器账号注册SPN，注册的SPN的不为当前主机的DNS名称，会提示失败。如图所示：

使用普通域用户执行如下命令注册SPN，由于权限不足，所以提示失败！

代码语言：javascript
复制
setspn -S MySQL/win7.xie.com:3306 hack

如图所示，使用普通域用户注册SPN。

如果想让普通域用户也拥有注册SPN权限的话，需要在域控上手动为域账号赋予“读取 servicePrincipalName” 和 “写入serverPrincipalName” 的权限。具体操作如下：

如图所示，打开ADSI 编辑器（adsiedit.msc），找到要修改的hack用户，右键——>属性。

找到安全选项卡，点击高级。如图所示：

然后点击添加，如图所示：

点击选择主体，然后输入SELF。如图所示：

接着勾选“读取 servicePrincipalName” 和 “写入serverPrincipalName” 选项。如图所示：

然后应用、确定即可。如图所示：

然后就可以使用普通域用户注册SPN了。执行如下命令在hack域账号下注册SPN。

代码语言：javascript
复制
setspn -S MySQL/win7.xie.com:3306 hack

如图所示，可以看到hack用户成功注册SPN。

但是即使为域账号了赋予“Read servicePrincipalName” 和 “Write serverPrincipalName” 的权限，当前账户也只能将SPN注册在当前用户下，而无法注册在其他用户下。

如图所示，hack用户将SPN注册于其它用户下，提示权限拒绝。

以下我们注册SPN均是在域管理员administrator身份下进行注册。

将SPN注册在域账号下

运行如下命令使用-S参数或-U -S参数将SPN注册在域用户hack下：

代码语言：javascript
复制
setspn -S SQLServer/win7.xie.com:1433/MSSQL hack 
或 
setspn -U -S SQLServer/win7.xie.com:1443/MSSQL hack

#查询hack用户注册的SPN
setspn -L hack

如图所示，使用不同命令将SPN注册于hack用户下。

将SPN注册在机器账号下

运行如下命令使用-S参数或-C -S参数将SPN注册在机器账号win7下：

代码语言：javascript
复制
setspn -S SQLServer/win7.xie.com:1433/MSSQL win7  
或 
setspn -C -S SQLServer/win7.xie.com:1443/MSSQL win7 

#查询win7机器注册的SPN
setspn -L win7

如图所示，使用不同命令将SPN注册于机器账号win7下。

SPN的查询和发现

由于每台服务器都需要注册用于Kerberos身份验证服务的SPN，因此这为在不进行大规模端口扫描的情况下收集有关内网域环境的信息提供了一个更加隐蔽的方法。

如下使用不同的工具探测域内的SPN：

setspn

可以通过Windows系统自带的setspn执行如下命令查询域内的SPN。

代码语言：javascript
复制
#查看当前域内所有的SPN
setspn -Q */*

#如果在域林中，则可以使用如下命令查看指定域xie.com内的SPN。如果指定域不存在，则默认切换到查找本域的SPN
setspn -T xie.com -Q */*

#查找本域内重复的SPN 
setspn -X

#删除指定SPN：
setspn -D MySQL/win7.xie.com:1433/MSSQL hack

#查找指定用户/主机名注册的SPN
setspn -L username/hostname

如图所示，查询域内所有的SPN。

如图所示，查询注册于hack用户和win7机器帐户下的SPN。

impacket

impacket中的GetUserSPNs.py脚本可以在域外查询指定域的SPN，使用该脚本只需要提供一个有效的域凭据。

使用GetUserSPNs.py脚本执行如下命令查询域控10.211.55.4所在的域内注册于用户下的SPN。

代码语言：javascript
复制
python3 GetUserSPNs.py -dc-ip 10.211.55.4 xie.com/hack:P@ss1234

如图所示，查询到注册域用户下的SPN两2个，分别为 MySQL/win7.xie.com:3306和SQLServer/win7.xie.com:1533/MSSQL。

PowerShellery

PowerShellery下有各种各样针对服务SPN探测的脚本。其中一些只需要PowerShell v2.0的环境，而有一些则需要PowerShell v3.0环境。如下是PowerShellery下不同脚本的使用：

代码语言：javascript
复制
#Powershellery/Stable-ish/Get-SPN/ 下Get-SPN.psm1脚本的使用,需要powershell3.0及以上版本才能使用
Import-Module .\Get-SPN.psm1
Get-SPN -type service -search "*"
Get-SPN -type service -search "*" -List yes | Format-Table
 
#Powershellery/Stable-ish/ADS/ 下Get-DomainSpn.psm1脚本的使用
Import-Module .\Get-DomainSpn.psm1
Get-DomainSpn

如图所示，使用Get-SPN.psm1脚本查询域内所有的SPN。

PowerShell-AD-Recon

该工具包提供了一些发现指定SPN的脚本，例如指定Exchange，Microsoft SQLServer等服务的SPN。但其实对于Kerberoasting攻击第一步SPN的发现意义不大，因为该脚本并没过滤出注册于域用户下的SPN。

如下是 不同脚本的使用。

代码语言：javascript
复制
#探测域内注册的SQLServer服务的SPN
Import-Module .\Discover-PSMSSQLServers.ps1;
Discover-PSMSSQLServers
 
#探测域内注册的Exchannge服务的SPN
Import-Module .\Discover-PSMSExchangeServers.ps1;
Discover-PSMSExchangeServers
 
#扫描域中所有的SPN信息
Import-Module .\Discover-PSInterestingServices.ps1;
Discover-PSInterestingServices

如图所示，是PowerShell-AD-Recon中不同脚本的使用。

END

本文参与 腾讯云自媒体同步曝光计划，分享自微信公众号。
原始发表：2023-10-24，如有侵权请联系 cloudcommunity@tencent.com 删除
数据库
服务
脚本
权限
主机

本文分享自 谢公子学安全 微信公众号，前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ，欢迎热爱写作的你一起参与！

数据库
服务
脚本
权限
主机
评论
登录后参与评论
0 条评论
热度
最新
登录 后参与评论
推荐阅读
LV.
文章
0
获赞
0
相关产品与服务
数据库
云数据库为企业提供了完善的关系型数据库、非关系型数据库、分析型数据库和数据库生态工具。您可以通过产品选择和组合搭建，轻松实现高可靠、高可用性、高性能等数据库需求。云数据库服务也可大幅减少您的运维工作量，更专注于业务发展，让企业一站式享受数据上云及分布式架构的技术红利！
产品介绍
领券

腾讯云开发者

扫码关注腾讯云开发者

扫码关注腾讯云开发者

领取腾讯云代金券

热门产品

热门推荐

更多推荐

Copyright © 2013 - 2024 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有 

深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

腾讯云计算（北京）有限责任公司 京ICP证150476号 |  京ICP备11018762号 | 京公网安备号11010802020287

问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档

Copyright © 2013 - 2024 Tencent Cloud.

All Rights Reserved. 腾讯云 版权所有

登录 后参与评论