李昦1. 攻击技术背景与核心发现
近期安全研究团队披露了一种针对Kerberos协议的新型中继攻击手法，该技术通过滥用DNS CNAME记录成功绕过了现有防护机制。这种攻击方式之所以引起广泛关注，是因为它突破了传统Kerberos中继攻击的防御边界，使得攻击者能够在企业内网中实现横向移动。
Kerberos作为企业域环境中最广泛使用的身份认证协议，其安全性直接关系到整个网络架构的防护水平。传统中继攻击通常受限于SPN（Service Principal Name）绑定机制和协议本身的保护措施，而这次发现的攻击方法通过DNS层面的配置漏洞实现了突破。
关键发现：攻击者利用CNAME记录将服务请求重定向到受控机器，使得Kerberos票据可以被中继到攻击者指定的目标系统，整个过程完全避开了常规的安全检测。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 攻击原理深度解析
2.1 Kerberos认证流程的薄弱环节
在标准Kerberos认证过程中，客户端首先向KDC（Key Distribution Center）请求TGT（Ticket Granting Ticket），然后使用TGT获取特定服务的ST（Service Ticket）。传统防御机制主要关注以下方面：
- SPN与主机名的严格绑定
- 协议扩展如S4U2Self/S4U2Proxy的限制
- 加密强度与票据有效期控制
然而，这些防护都假设服务端身份验证是基于直接的主机名解析。新型攻击手法的突破点在于：当客户端解析服务名称时，会遵循DNS中的CNAME记录进行跳转，而Kerberos协议本身并不验证这个解析过程中的重定向行为。
2.2 DNS CNAME的滥用机制
攻击者在内网中通过以下步骤实现攻击：
- 控制一台已加入域的机器作为中继节点
- 在DNS服务器上为目标服务添加恶意CNAME记录
- 诱导客户端访问被CNAME重定向的服务
- 截获Kerberos票据并中继到攻击目标
技术细节示例：
text复制# 合法记录
sqlserver.contoso.com. 3600 IN A 192.168.1.100
# 攻击者添加的恶意记录
backupdb.contoso.com. 3600 IN CNAME sqlserver.contoso.com.
当用户访问back