必须双轮重置krbtgt密码并等待10小时复制，再清票据缓存、禁用WDigest与RC4、启用Kerberos Armoring，最后验证时间戳及日志事件ID 4769加密类型。
解决windows运维中因kerberos金票据（golden ticket）攻击导致的管理员权限沦陷，核心不是“清除单个票据”，而是阻断其生成条件、废止已有密钥效力，并重建可信认证链。关键动作必须围绕krbtgt账户哈希展开——这是金票据的唯一密钥来源。
立即执行krbtgt密码双轮重置
金票据依赖krbtgt账户的NTLM哈希长期有效。只要该哈希未变，所有已生成的金票据在默认10年有效期（实际受策略限制）内持续可用。因此首要操作是强制使其失效：
- 在任意域控制器上，使用Active Directory 用户和计算机或PowerShell（
Set-ADAccountPassword）首次重置krbtgt密码 - 等待至少10小时——确保所有域控制器完成AD数据库复制，旧哈希彻底从各DC内存与缓存中清除
- 执行第二次密码重置。AD默认记住24个历史密码哈希，仅一次重置无法覆盖旧值；两次操作可确保当前所有DC使用的krbtgt密钥完全更新
切断金票据落地与复用路径
即使krbtgt哈希已更新，攻击者若已将金票据注入终端或服务进程，仍可能继续使用。需同步清理运行时环境：
- 在所有高权限工作站、服务器及域控制器上，运行
klist purge清除本地票据缓存 - 重启关键服务（如Netlogon、KDC服务），强制其重新向KDC请求新TGT
- 检查并终止异常进程：使用
tasklist /svc定位非标准服务调用LSASS的实例，结合Process Explorer确认是否有mimikatz等工具驻留
加固Kerberos基础策略防止再生
重置只是止损，必须关闭攻击入口，否则krbtgt哈希可能再次泄露：
- 禁用WDigest明文凭据缓存：通过组策略设置
Computer Configuration → Policies → Administrative Templates → System → Credentials Delegation → Disable WDIGEST Authentication，或直接写入注册表HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential = 0 - 强制AES加密与禁用RC4：在域控制器组策略中启用
Network security: Configure encryption types allowed for Kerberos，仅勾选AES128/256_HMAC，取消RC4_HMAC支持 - 启用Kerberos Armoring（FAST）：在域功能级别≥Windows Server 2012 R2时，配置KDC策略启用
Require user-to-user authentication，增加预认证强度
验证与持续监控
操作后需确认防护生效，并建立常态化检测机制：
- 运行PowerShell命令
Get-ADUser krbtgt -Properties PasswordLastSet，确认两次重置时间间隔符合要求，且最新时间戳在24小时内 - 在域控安全日志中重点筛查事件ID 4769（TGS请求），过滤
Service Name为krbtgt且Encryption Type为RC4的记录——出现即说明策略未生效 - 部署EDR或SIEM规则：对非典型IP地址（如办公网段外）发起的4624登录事件，若无前置4768（TGT申请）日志，仅含4769+4624组合，高度疑似金票据使用
