域渗透排错手册：Kerberos 各类错误码含义汇总，快速定位失败原因-育师

🔒免责声明：本文仅供授权渗透测试、红蓝对抗、安全运维学习，所有实验操作务必在自建隔离靶场完成。未经授权对企业 AD 域开展渗透测试属于违法行为，请严格遵守网络安全相关法律法规。

前言

在内网域渗透工作中，Kerberos 几乎贯穿全部攻击链路：TGT 票据申请、Kerberoasting 烤鸡、AS‑REP Roasting、约束委派、非约束委派、RBCD 资源型约束委派、黄金票据白银票据、S4U2Self/S4U2Proxy 攻击。很多渗透人员复制网上 payload 命令，执行直接抛出一大段 Kerberos 错误，面对一堆 KDC_ERR_、KRB_AP_ERR_错误码无从下手，网上零散资料碎片化，查半天找不到对应根因，大量时间浪费在盲调上。

很多失败不是工具 bug，而是环境配置、时间不同步、SPN 错误、账号属性、AD 复制延迟、加密算法、账号策略、PAC 校验、敏感账号不能被委派等问题。Impacket、Rubeus、kinit、GetUserSPNs、GetNPUsers、bloodyAD 执行失败输出的错误，本质都是 KDC 返回标准 Kerberos v5 协议错误码。

本文万字排错手册，把域渗透实战高频遇到 Kerberos 错误码整理成册，每个错误包含：错误名称、十六进制错误码、实战复现场景、根因分析、排错步骤、修复 / 绕过思路。同时梳理通用排错方法论、域控对应审计事件 ID、工具踩坑，覆盖 Windows Rubeus、Linux Impacket 全套实战场景，遇到报错可以直接对照定位问题。

MITRE ATT&CK 映射：T1558 Kerberos 票据滥用，T1558.001 黄金票据，T1558.002 白银票据，T1558.003 Kerberoasting，T1558.004 AS‑REP Roasting。
涉及工具清单：Rubeus、Impacket 套件 (GetUserSPNs/GetNPUsers、getST)、kinit、klist、kdestroy、bloodyAD、netexec。

一、Kerberos 基础前置知识（排错必备基础）

1.1 AS‑REQ / TGS‑REQ 两个请求阶段

AS‑REQ：向 KDC 域控申请 TGT 票据，对应攻击 AS‑REP Roasting，事件 ID 4768/4771。
TGS‑REQ：拿着 TGT 申请服务 TGS 票据，Kerberoasting、S4U 委派攻击全部走这个阶段，事件 ID 4769。

AS 阶段失败：拿不到 TGT，后续所有操作全部无法进行。
TGS 阶段失败：TGT 正常，但是申请服务票据失败，烤鸡、委派攻击报错。
AP 阶段：客户端拿着 TGS 访问业务服务，服务端解密票据失败，常见白银票据、SPN 冲突问题。

1.2 排错必看域控审计事件 ID

事件 ID	含义	排错价值
4768	请求 TGT (AS‑REQ)	看 TGT 申请失败错误码，AS‑REP 攻击失败看该日志
4771	Kerberos 预认证失败	密码错误、预认证相关报错，密码喷洒大量产生该日志
4769	请求 TGS 票据	Kerberoasting、S4U 委派攻击全部记录在这里，Failure Code 字段就是 Kerberos 错误码
4772	账号锁定 Kerberos	账号密码错误多次触发锁定
4	系统日志 Kerberos 客户端报错	KRB_AP_ERR_MODIFIED 这类服务解密错误在这里记录

重点：4768、4769 事件内Failure Code十六进制字段，和工具输出 KDC 错误码一一对应，内网排错优先看域控这两类安全事件日志。

1.3 Kerberos 硬性前置条件（80% 报错根源）

时间同步：客户端攻击机和域控时间差必须小于 5 分钟，超过直接各种报错（KRB_AP_ERR_SKEW）。Linux 可以使用faketime临时修改时间测试；Windows 修改系统时间。
DNS 解析正常：攻击机可以正常解析域控 FQDN，krb5.conf 配置正确 Realm 域名（大写）。
端口可达：TCP/UDP 88 (Kerberos)，LDAP 389，很多防火墙拦截 88 端口直接请求超时。
加密算法兼容：AES256、AES128，现代 AD 默认禁用 DES，使用 DES 会返回KDC_ERR_ETYPE_NOTSUPPMIT。
AD 复制同步：多域控环境，修改账号委派、RBCD 权限，需要等待 AD 复制，立刻向另一台 DC 发起请求返回 BADOPTION 错误，属于复制延迟，不是配置写错。
账号属性：账号禁用、账号过期、登录时间限制、工作站登录限制，都会拒绝发放票据。

1.4 通用排错步骤模板（遇到 Kerberos 报错优先按这套流程）

检查时间，确认和域控时差 < 5 分钟；
确认 88 端口 TCP/UDP 连通性；
确认 DNS 解析域控 FQDN 正常；
切换指定‑dc‑ip 参数，固定单台域控 IP，规避 DNS 轮询多 DC 复制延迟坑；
核对账号状态：账号是否启用、是否过期、是否锁定；
看工具输出错误码，对照手册定位；
去域控查看 4768/4769 事件，确认域控侧返回真实错误码；
清理本地票据缓存：Windowsklist purge；Linuxkdestroy，旧损坏缓存票据会带来大量诡异报错。

二、AS‑REQ 阶段高频错误码（申请 TGT 阶段，GetNPUsers、kinit 报错）

场景：执行 kinit、Impacket GetNPUsers AS‑REP Roasting，向 KDC 发送 AS‑REQ 请求获取 TGT 票据，下面是该阶段高频错误。

KDC_ERR_PREAUTH_REQUIRED (0x10)

含义：需要 Kerberos 预认证
实战场景：执行 GetNPUsers.py 对普通账号发起 AS‑REP Roasting 返回该错误。
根因：目标账号开启预认证（默认 AD 全部账号开启），不能直接拿到 AS‑REP 哈希。
排错：该报错不是故障，属于预期结果。LDAP 查询该账号 userAccountControl，确认 DONT_REQ_PREAUTH (4194304) 是否真正开启。只有该标记开启才可以 AS‑REP Roasting。
误区：很多人以为命令写错，实际就是目标账号不可 AS‑REP 攻击。

KDC_ERR_PREAUTH_FAILED (0x18)

含义：预认证校验失败，账号密码错误
场景：kinit、Rubeus asktgt 提供错误密码 / 错误 NTLM 哈希。域控产生 4771 事件。
根因：账号存在，但是密码、AES/NTLM 哈希填写错误；哈希复制不全、大小写问题。多次触发会账号锁定。
排错：核对账号凭据；确认账号没有被锁定；不要复制漏掉哈希字符。

KDC_ERR_C_PRINCIPAL_UNKNOWN (0x14)

含义：客户端主体不存在，域内找不到这个账号
场景：kinit、GetNPUsers 执行提示找不到账号。
根因：账号名写错、域名 Realm 写错、混淆 samAccountName 和 UserPrincipalName；填写机器账号忘记末尾 $ 符号。
排错：LDAP 确认账号 sAMAccountName；机器账号格式COMPUTERNAME$；Realm 大写，域名不要写反。

KDC_ERR_CLIENT_REVOKED (0x17)

含义：客户端凭据被吊销，账号禁用 / 锁定 / 过期
场景：账号被管理员禁用，执行 asktgt 直接返回。
排错：LDAP 查看 userAccountControl，确认账号状态，账号是否过期，是否被锁定。

KDC_ERR_ETYPE_NOTSUPP (0x1B)

含义：不支持该加密类型MIT
场景：老靶场 DES 算法，现代 AD 环境默认禁用 DES，Rubeus 使用 DES 密钥请求票据直接报错。
根因：客户端请求 KDC 使用 DES，域控 KDC 策略禁用 DES 加密；krb5.conf 强制关闭 DES。
排错：优先使用 AES256/AES128 哈希，尽量不要使用 DES。

KDC_ERR_PADATA_TYPE_NOSUPP (0x1F)

含义：KDC 不支持该预认证类型
场景：Shadow Credentials 攻击，PKINIT 预认证报错，域控没有部署 AD‑CS 证书服务，无法处理 PKINIT 请求。
根因：目标域没有 CA 证书服务器，不能使用 PKINIT 预认证方式申请 TGT。
排错：放弃 Shadow Credentials，更换其他攻击路径。

KDC_ERR_POLICY (0xC)

含义：KDC 策略拒绝发放票据，账号登录策略限制
根因：账号设置登录工作站限制、登录时间段限制、智能卡登录强制。账号即使密码正确也拒绝 TGT。
排错：LDAP 读取账号登录限制属性，确认账号登录策略。

三、TGS‑REQ 阶段高频错误码（申请服务票据，Kerberoasting、委派 S4U 攻击）

该阶段 TGT 本身合法，拿着 TGT 向 KDC 请求 TGS 服务票据。Kerberoasting (GetUserSPNs)、约束委派 S4U2Self、S4U2Proxy、RBCD 资源约束委派全部是 TGS‑REQ 流程，域控事件 ID4769 记录失败码。

KDC_ERR_S_PRINCIPAL_UNKNOWN (0x15)

含义：服务主体 SPN 不存在，KDC 数据库找不到这个 SPN
场景 1：GetUserSPNs.py 指定‑request‑user，目标账号没有注册任何 SPN，返回该错误。
场景 2：S4U2Proxy 指定一个不存在 SPN。
根因：你请求的 servicePrincipalName 在 AD 没有注册到任何账号。
排错：LDAP 查询确认 SPN 是否真实存在；核对 SPN 拼写，区分大小写；FQDN 域名写错也会触发；不要自己虚构 SPN。

KDC_ERR_BADOPTION (0x1D)【委派攻击最高频报错】

含义：KDC 不接受请求中的 KdcOptions 标记，委派攻击头号坑报错Microsoft …
实战高频场景：约束委派、RBCD 资源约束委派执行 getST 返回 KDC_ERR_BADOPTION。
根因有 4 种情况，按排查优先级排序：

AD 复制延迟（最常见）：刚刚写入 RBCD 的 ACE 权限，但是向另一台域控发起 S4U 请求，DC 还没有同步新权限配置，直接拒绝请求。
目标账号标记为【此账户敏感，不能被委派】(1048576)，禁止 S4U 委派，直接返回 BADOPTION。
S4U2Proxy 请求的 SPN 不在 msDS‑AllowedToDelegateTo 委派列表内（约束委派）。
请求的 TGT 不具备 FORWARDABLE 可转发标记，S4U 攻击需要可转发 TGT。

排错方案：

攻击命令增加‑dc‑ip，指定刚刚修改属性的那一台域控 IP，规避复制延迟；等待 AD 复制间隔（15‑60 秒）再执行；
LDAP 检查被模拟账号 userAccountControl 是否开启敏感账号不能委派标记；高权限域管账号经常开启该标记；
核对约束委派 msDS‑AllowedToDelegateTo 列表 SPN；
Rubeus 申请 TGT 带上/forwardable参数，获取可转发 TGT。

KDC_ERR_NOKEY (0x1E)

含义：KDC 数据库没有该主体对应密钥。
场景：请求计算机 SPN，但是计算机账号密钥丢失、损坏；GMSA 账号异常。
排错：检查目标账号状态，机器账号是否正常，GMSA 账号密码是否正常更新。

KDC_ERR_TGT_REVOKED (0x20)

含义：TGT 票据已经被吊销作废
场景：使用黄金票据，KRBTGT 密码修改过，旧黄金 TGT 票据失效；账号注销 TGT 会话。
根因：生成黄金票据使用旧 KRBTGT 哈希，域管理员已经修改 KRBTGT 密码，全部旧 TGT 作废。
排错：获取最新 KRBTGT NTLM/AES 密钥，重新生成黄金票据；清理本地旧票据缓存。

KDC_ERR_CLIENT_NOT_TRUSTED (0x3E)

含义：客户端不被信任，RBCD 资源约束委派 ACE 权限缺失。
根因：目标计算机对象msDS‑AllowedToActOnBehalfOfOtherIdentity没有写入攻击者控制账号 SID。
排错：LDAP 读取该属性确认 ACE 配置是否写入成功；确认修改之后 AD 复制完成；确认 SID 填写正确。

四、AP 阶段错误码（拿着 TGS 票据访问目标服务，白银票据、双重跳转）

AP 阶段，客户端将 TGS 票据提交给业务服务器，服务器解密票据失败，报错出现在客户端，域控 KDC 不会记录，Windows 系统日志事件 ID4 记录该类报错。

KRB_AP_ERR_MODIFIED (0x41)【白银票据经典报错】

含义：服务端解密 TGS 票据失败，票据完整性校验失败。
高频场景：白银票据生成失败；SPN 注册到错误账号；提供错误账号密钥生成白银票据。
根因分类：

生成白银票据使用的 NTLM/AES 密钥，不是 SPN 所属账号真正密钥（白银票据最常见）。
SPN 被重复注册到两个不同 AD 对象，SPN 冲突，服务账号和 SPN 归属不一致。
票据目标 SPN 和实际访问服务 SPN 不匹配。
PAC 签名校验失败（Windows 新版本安全补丁强化 PAC 校验）。

排错：

LDAP 确认 SPN 属于哪个账号，拿到该账号真实哈希再生成白银票据；
查询 AD 确认该 SPN 是否重复注册；
核对白银票据指定 SPN 和访问目标完全一致；
新版域环境注意 CVE‑2021‑42287 PAC 安全补丁影响。

KRB_AP_ERR_SKEW (0x42)

含义：时钟偏移过大，时间不同步
根因：攻击机器和域控时间差超过 5 分钟，Kerberos 拒绝票据。
排错：同步系统时间和域控时间；Linux 可以 faketime 临时欺骗时间做测试。这是新手最高频踩坑。

KRB_AP_ERR_BADADDR (0x43)

含义：票据内 IP 地址和客户端实际 IP 地址不匹配。
场景：NAT 代理、隧道代理转发 Kerberos 流量；黄金 / 白银票据手动指定错误 IP。
排错：生成票据不强制填写 IP，让 KDC 自动填充；避免 NAT 转发 Kerberos 流量。

KRB_AP_ERR_NOT_US (0x44)

含义：该 TGS 票据不是给当前这个服务使用的。
根因：拿 A 服务 TGS 票据去访问 B 服务，SPN 不匹配。
排错：重新向 KDC 申请对应目标 SPN 的 TGS 票据。

五、实战工具专属报错与坑（Impacket / Rubeus / GetUserSPNs / GetNPUsers）

很多时候不是标准 Kerberos 错误，而是工具参数、环境问题，大量新手踩坑。

场景 1：Impacket GetUserSPNs 执行无报错，但是没有输出任何 TGS 票据

LDAP 查询确认目标账号确实存在 servicePrincipalName 属性；
部分 SPN 属于计算机账号，默认 GetUserSPNs 只查询用户账号，增加参数‑computers读取计算机 SPN；
账号开启敏感账号不能被委派标记，虽然存在 SPN，KDC 拒绝发放 TGS 票据；
多域控复制延迟，LDAP 读取 SPN 来自 DC‑A，Kerberos 请求发送到 DC‑B，数据还未同步；加上‑dc‑ip固定同一台域控 IP。

场景 2：Rubeus execute /ptt 导入票据成功，但是访问目标依旧拒绝访问

Windows 票据缓存冲突，旧票据残留，执行klist purge全部清空再 ptt 导入；
TGT 和 TGS 缓存混淆，ptt 导入 TGS 票据，但是缺少有效的 TGT；
目标开启 SMB 签名强制，工具 smbexec 无法连接；Kerberos 票据没问题，是 SMB 层拒绝。

场景 3：kinit：Cannot find KDC for realm

krb5.conf 中 Realm 名字写错，Realm 必须大写；
DNS 无法解析 KDC 域控主机名；
88 端口防火墙拦截，TCP/UDP 全部需要可达。

解决：krb5.conf 手动写 kdc = x.x.x.x，不要依赖 DNS SRV 记录自动发现。

场景 4：RBCD 资源约束委派，ACE 已经写入，getST 依旧返回 BADOPTION

AD 复制延迟，务必‑dc‑ip指定刚刚修改 LDAP 的那一台域控 IP；等待几十秒复制；
被模拟用户（也就是我们要冒充的管理员账号）开启 “此账户敏感，不能被委派”，该条件会直接阻止 S4U2Self，返回 BADOPTION，很多人忽略这个账号属性；
攻击者使用的 TGT 没有 FORWARDABLE 标记，Rubeus asktgt 必须带/forwardable参数。

场景 5：黄金票据生成成功 ptt 导入，访问域控报错 KDC_ERR_TGT_REVOKED

KRBTGT 密码已经被域管理员修改，你使用的是旧 KRBTGT 哈希。

注意：修改一次 KRBTGT 不会作废旧票据；微软安全规范要求修改两次 KRBTGT，全部历史黄金票据失效。应急响应中检测到黄金票据后门，需要连续修改两次 KRBTGT 密码。

六、域渗透常见业务场景故障分析（完整复现案例）

案例 1：AS‑REP Roasting 失败

现象：GetNPUsers.py 执行目标账号返回KDC_ERR_PREAUTH_REQUIRED。
排错流程：

LDAP 过滤(&(objectClass=user)(userAccountControl:1.2.840.113556.1.4.803:=4194304))确认账号 DONT_REQ_PREAUTH 属性是否开启。
返回该错误代表属性关闭，该账号不能 AS‑REP Roasting，更换其他目标账号。

案例 2：Kerberoasting 烤鸡失败

现象：GetUserSPNs.py 提示 KDC_ERR_S_PRINCIPAL_UNKNOWN。
排错：

LDAP 查询确认 servicePrincipalName 确实存在该 SPN；
确认使用‑dc‑ip，LDAP 查询和 Kerberos 请求同一台 DC，避免复制不同步；
如果 SPN 挂载在计算机账号，增加参数‑computers。

案例 3：约束委派 S4U2Proxy 攻击返回 KDC_ERR_BADOPTION

排错步骤：

LDAP 读取账号msDS‑AllowedToDelegateTo，确认目标 SPN 在列表内；
LDAP 读取被模拟管理员账号 userAccountControl，检查是否开启敏感账号不可委派；
确认 TGT 票据是 FORWARDABLE 可转发；
指定‑dc‑ip，操作同一台域控，等待 AD 复制；
确认不是跨域场景，跨域委派有额外林信任限制。

案例 4：白银票据生成完成，ptt 导入成功，但是访问 C$ 返回 STATUS_ACCESS_DENIED

查看系统事件 ID4，确认报错 KRB_AP_ERR_MODIFIED；
LDAP 查询该 SPN 归属账号，重新导出该账号正确 NTLM/AES 密钥；
新版本域环境 PAC 校验补丁，白银票据会校验 PAC 签名，导致直接拒绝访问；

注意：新版 Windows Server，单纯伪造白银票据已经很难直接利用，PAC 校验增强。

案例 5：RBCD 攻击，已经写入 msDS‑AllowedToActOnBehalfOfOtherIdentity，攻击失败

最常见多域控复制延迟，指定 dc‑ip；
确认写入 SID 是攻击者账号完整 SID，不是账号名；
确认被模拟账号没有开启敏感不能被委派标记。

七、蓝队视角：基于 Kerberos 错误码入侵分析

红蓝对抗中，域控 4768、4769 事件里面 Failure Code 就是 Kerberos 错误码，大量入侵行为会产生特征性错误日志：

大量 4771 事件，错误码 0x18 KDC_ERR_PREAUTH_FAILED：密码喷洒暴力破解行为，短时间大量账号预认证密码错误。
大量 AS‑REQ 请求返回 0x10 KDC_ERR_PREAUTH_REQUIRED：攻击者批量 AS‑REP Roasting 扫描环境账号。
大量 TGS‑REQ 请求，返回 0x15 KDC_ERR_S_PRINCIPAL_UNKNOWN：攻击者批量暴力枚举 SPN（Kerberoasting 扫描）。
反复出现 0x1D KDC_ERR_BADOPTION：攻击者尝试 S4U 委派攻击（RBCD / 约束委派）。
出现 0x20 KDC_ERR_TGT_REVOKED：疑似使用作废的黄金票据。

SIEM 告警规则可以基于上面错误码做检测，很多防守人员只关注登录成功事件，忽略 Kerberos 失败事件，大量红队侦察行为全部藏在失败日志中。

注意：需要开启域控安全审计策略，开启审计 Kerberos 票据请求，否则 4768、4769 事件不会生成。

八、高频认知误区总结

误区 1：Kerberoasting 拿到 TGS 票据就一定可以爆破出明文密码

❌错误。拿到 TGS 只是拿到哈希，如果密码复杂度很高，hashcat 爆破不一定跑出明文；返回 TGS 不代表漏洞一定可以拿到权限。

误区 2：RBCD 写入 ACE 权限立刻就可以执行攻击

❌错误。多域控环境 AD 复制存在延迟，如果 LDAP 修改在 DC‑1，Kerberos 请求发送到 DC‑2，会直接返回 BADOPTION，看起来配置错误，实际只是还没有同步过来。排错优先指定‑dc‑ip 参数。

误区 3：出现 KDC_ERR_BADOPTION 就代表 RBCD 配置写错

❌错误。70% 实战场景是复制延迟，其次是被模拟账号开启【敏感账户，不能被委派】，不要第一时间怀疑自己 LDAP 写入命令。

误区 4：时间差几分钟没关系，Kerberos 照样运行

❌错误。Kerberos 协议硬性阈值 5 分钟时差，超过直接全部票据拒绝，KRB_AP_ERR_SKEW，很多靶场虚拟机休眠之后时间错乱。

误区 5：白银票据 ptt 导入成功就代表攻击成功

❌错误。ptt 只是把票据写入本地缓存，不代表服务端认可票据。访问目标服务返回拒绝，要看 AP 阶段错误码，很多是密钥错误，SPN 不匹配，PAC 校验拦截。

误区 6：只要有 TGT 票据就可以执行 S4U 委派攻击

❌错误。S4U 攻击要求 TGT 必须带有 FORWARDABLE 可转发标记，没有该标记直接 BADOPTION。

误区 7：KDC 返回错误全部是工具 Impacket/Rubeus 的 bug

❌错误。绝大多数报错都是 AD 环境属性、网络、时间、复制延迟、账号策略，工具只是把 KDC 原始错误码打印输出。遇到报错优先看域控 4768/4769 日志，确认 KDC 真实返回。

误区 8：高权限账号一定可以被 S4U 模拟

❌错误。很多域管理员账号开启 userAccountControl 标记 1048576（此账户敏感，不能被委派），无论什么委派配置，都拒绝 S4U 模拟，这是 AD 安全保护机制。

九、总结

Kerberos 排错是域渗透非常重要的基本功，很多渗透人员只会复制 exp，遇到报错就卡壳。所有KDC_ERR_错误码都是标准 Kerberos v5 协议返回，不是工具自定义错误。

排错优先检查四大基础条件：时间同步、88 端口连通性、DNS 解析、票据缓存清理。区分 AS‑REQ、TGS‑REQ、AP 三个阶段报错：AS 阶段拿不到 TGT；TGS 阶段 TGT 正常申请服务票据失败；AP 阶段票据提交服务解密失败。

委派攻击头号报错KDC_ERR_BADOPTION，排错顺序：AD 复制延迟 > 账号开启敏感不可委派标记 > TGT 缺少 FORWARDABLE 标记 > SPN 不在委派列表。白银票据头号报错KRB_AP_ERR_MODIFIED优先核对 SPN 归属账号密钥，注意新版 PAC 校验补丁带来限制。

蓝队防守审计重点关注域控 4768、4769 事件的 Failure Code 字段，大量红队侦察、暴力破解、委派攻击行为都会留下 Kerberos 失败事件，很多企业安全设备忽略这部分审计日志。

实战建议：遇到 Kerberos 报错，不要盲目换工具，把错误码复制出来对照手册，同时查看域控对应安全事件日志，定位根因效率会大幅提升。

最后

关于网络安全技术储备

网络安全是当今信息时代中非常重要的一环。无论是找工作还是感兴趣（黑客），都是未来职业选择中上上之选，为了保护自己的网络安全，学习网络安全知识是必不可少的。

如果你是准备学习网络安全（黑客）或者正在学习，下面这些你应该能用得上：

①网络安全学习路线
②20份渗透测试电子书
③安全攻防357页笔记
④50份安全攻防面试指南
⑤安全红队渗透工具包
⑥网络安全必备书籍
⑦100个漏洞实战案例
⑧安全大厂内部视频资源
⑨历年CTF夺旗赛题解析

机会属于有准备的人，这是一个实力的时代。人和人之间的差距不在于智商，而在于如何利用业余时间，只要你想学习，什么时候开始都不晚，不要担心这担心那，你只需努力，剩下的交给时间！

这份完整版的网络安全学习资料已经上传CSDN，朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】