CVE-2020-17049: Kerberos Bronze Bit Attack – Theory

CVE-2020-17049 实战利用：掌握服务账户密码哈希后，攻击者可绕过 Protected Users 组与 TrustedToAuthForDelegation 限制，沿 Kerberos 委派路径实施横向移动，补丁分批推送至 2021 年 2 月。

CVE-2020-17049（Bronze Bit）攻击原理概述：攻击者利用 Kerberos 约束委派缺陷篡改服务票据的 forwardable 标志位，进而冒充 Protected Users 组等被标记为禁止委派的敏感用户。

基于资源的约束委派（RBCD）：通过 msDS-AllowedToActOnBehalfOfOtherIdentity 按资源粒度委派权限、降低提权风险；文章介绍启用方式、场景与滥用隐患。

Kevin Robertson 总结攻击者视角下利用 Active Directory MachineAccountQuota 的十条规则：默认低权限用户可添加 10 个机器账户，结合 Powermad 与 Kerberos 非约束委派等场景可用于攻击，防御上建议将 MAQ 设为 0。

发布 Invoke-MassMimikatz-PsRemoting 脚本：结合 SPN 服务发现、PowerShell Remoting 与 Invoke-Mimikatz，自动定位开启 WinRM 的域内主机并批量收集凭据，支持替代凭据与非域机器发起。

保护 Tier Zero 依然关键，但身份风险早已超出核心目录范围：攻击者利用合法凭据与信任关系横向移动，目标直指备份恢复基础设施、受监管数据和关键业务负载。攻击路径管理（APM）可帮助安全团队持续映射身份关系、识别高影响关键节点并在混合环境中压缩攻击路径。