Kerberos中继攻击新变种：利用DNS CNAME记录绕过防护

1. Kerberos中继攻击的演变与防护困境

Kerberos协议作为企业内网最广泛使用的身份认证机制，其安全性一直备受关注。传统的中继攻击（Relay Attack）需要攻击者能够拦截或重定向Kerberos认证流量，这在现代网络环境中通常受到以下限制：

• 网络分段和防火墙策略限制了横向移动
• SMB签名等协议级防护措施增加了攻击难度
• 现代操作系统默认启用的安全特性（如EPA扩展保护）阻断了大部分中继尝试

然而，安全研究人员最新发现的这种攻击变种，通过巧妙利用DNS基础设施中的CNAME记录，成功绕过了这些防护措施。这种攻击方式的独特之处在于：

1. 它不需要直接拦截网络流量，而是通过操纵DNS解析过程间接影响Kerberos认证
2. 攻击者可以利用合法的DNS更新机制，使得攻击行为看起来像是正常的网络操作
3. CNAME重定向可以跨安全区域实施，突破了传统网络分段的防护效果

2. DNS CNAME记录在攻击中的作用机制

2.1 CNAME记录的正常用途与特性

CNAME（Canonical Name）记录是DNS系统中用于实现域名别名的重要机制。在正常业务场景中，它通常用于：

• 将多个服务子域指向同一个后端集群（如www.example.com → lb.example.com）
• 实现CDN流量调度和故障转移
• 简化复杂基础设施的DNS管理

CNAME记录的关键特性包括：

• 解析时会递归查询直到获得最终A/AAAA记录
• TTL（生存时间）控制着记录的缓存时长
• 可以被动态更新（通过DNS UPDATE协议）

2.2 攻击者如何滥用CNAME特性

在这种新型攻击中，攻击者利用以下CNAME特性实施攻击：

1. 动态更新漏洞：如果内网DNS服务器配置不当，允许未经严格认证的DNS记录更新，攻击者可以注入恶意CNAME记录

2. TTL操控：通过设置极短的TTL，迫使客户端频繁重新查询，增加攻击窗口期

3. 解析链污染：构造特殊的CNAME链，将服务名称解析指向攻击者控制的机器

具体攻击步骤示例：

code复制1. 攻击者在内网获取一个立足点（如通过钓鱼攻击）
2. 探测目标网络的DNS服务器配置弱点
3. 为关键服务（如SQLServer）添加恶意CNAME记录：
   sqlserver.contoso.com → attacker.contoso.com
4. 等待Kerberos认证发生时客户端解析该名称
5. 获取到认证请求后实施中继攻击

3. 攻击技术细节与PoC分析

3.1 Kerberos认证流程中的薄弱环节

Kerberos协议在以下环节容易受到这种攻击影响：

1. 服务名称解析阶段：客户端在请求服务票据(TGS)前需要解析服务SPN对应的主机名

2. TGS-REQ构造过程：客户端使用解析得到的主机名构造服务请求，而KDC不会验证该名称是否与SPN注册的真实名称一致

3. 网络层认证：即使服务端启用了签名等保护措施，如果攻击者能够通过DNS重定向使客户端直接连接到恶意服务器，这些保护可能被绕过

3.2 PoC实现的关键技术点

根据已公开的PoC代码，攻击实现依赖几个关键技术：

1. DNS动态更新伪造：

python复制# 示例：伪造DNS更新请求
update = dns.update.Update('contoso.com')
update.add('sqlserver', 300, 'CNAME', 'attacker.contoso.com.')
response = dns.query.tcp(update, 'dns.contoso.com')

2. Kerberos流量拦截：

• 使用Raw Socket捕获本地网络流量
• 过滤出KRB5协议数据包（通常目的端口88）

3. 中继逻辑实现：

• 修改TGS-REQ中的服务名称字段
• 保持其他认证信息不变的情况下重放请求

3.3 攻击效果验证

在测试环境中，该攻击可以达成：

• 普通用户权限提升至域管理员（如果中继到域控服务）
• 绕过网络访问控制列表(ACL)限制
• 突破防火墙策略隔离的区域
• 规避大多数基于签名的入侵检测系统

4. 防御措施与缓解方案

4.1 DNS层面的防护加固

1. 严格DNS动态更新策略：

   • 仅允许安全认证的更新请求（如使用TSIG签名）
   • 实施基于IP/MAC的更新限制
   • 对关键服务记录设置更新保护

2. CNAME使用规范：

   • 禁止对关键基础设施服务使用CNAME
   • 对重要服务实施A/AAAA记录固定
   • 设置合理的TTL值平衡安全与可用性

3. DNS监控与告警：

   • 监控异常CNAME记录变更
   • 建立关键服务名称解析基线
   • 对解析目标IP突变进行告警

4.2 Kerberos协议强化配置

1. 强制使用EPA扩展保护：

   powershell复制# 域控上设置
   Set-ADDCCloningExcludedApplicationList -ServicePrincipalNames "TERMSRV/*"
   

2. 服务SPN管理最佳实践：

   • 定期审计SPN注册情况
   • 禁止过度权限的SPN注册
   • 实施SPN注册审批流程

3. 协议级防护：

   • 启用SMB签名等传输保护
   • 配置Kerberos委派限制
   • 使用AES加密而非RC4

4.3 网络架构防御建议

1. 网络分段策略优化：

   • 关键系统使用专用VLAN
   • 实施微隔离策略
   • 限制DNS服务器的网络可达性

2. 异常流量检测：

   • 监控Kerberos请求的源-目的异常
   • 建立Kerberos流量行为基线
   • 部署具备协议分析能力的IDS/IPS

3. 应急响应准备：

   bash复制# 快速检测可疑CNAME记录
   dig +short CNAME sqlserver.contoso.com
   nslookup -type=CNAME sqlserver.contoso.com
   

5. 企业环境中的实战防护建议

在实际企业环境中实施防护时，建议采用分层防御策略：

1. 资产发现与分类：

   • 识别所有Kerberos依赖服务
   • 建立关键服务资产清单
   • 标注高价值攻击目标

2. 权限最小化：

   • 遵循零信任原则配置访问控制
   • 限制DNS管理员权限
   • 实施Just-In-Time权限提升

3. 检测规则示例（SIEM/Splunk）：

   sql复制index=dns (query_type="CNAME" AND query IN ("sqlserver*","exchange*","domaincontroller*")) 
   | stats count by src_ip query response
   | where count > threshold
   

4. 红队对抗测试：

   • 定期模拟此类攻击手法
   • 验证防御措施有效性
   • 测试应急响应流程

6. 未来攻击演变预测与前瞻防护

根据Kerberos协议和DNS系统的发展趋势，预测未来可能出现：

1. 跨协议中继攻击：

   • 结合HTTP/3等新协议特性
   • 利用DoH/DoT加密通道隐蔽攻击

2. 云环境下的变种：

   • 滥用云DNS API进行记录篡改
   • 利用云服务元数据API构造攻击链

3. 防御规避技术：

   • 基于ML的TTL动态调整
   • 利用合法CDN服务作为中继跳板

建议的前瞻性防护措施包括：

• 部署DNSSEC确保解析完整性
• 实施端到端服务身份绑定
• 开发基于行为的异常检测模型
• 参与威胁情报共享计划获取最新攻击特征

在企业安全体系建设中，应该将此类攻击手法纳入常规威胁建模范畴，定期评估防护体系的有效性，建立从预防、检测到响应的完整防御链条。