การเข้าถึงถูกปฏิเสธการแชร์ IPC $ บน Windows Domain Controller เมื่อมีการตั้งค่าเซสชัน SMB ด้วย Kerberos 5
ฉันกำลังเขียนระบบที่ดำเนินการเข้าสู่ระบบของผู้ใช้และให้การเข้าถึงแบบครั้งเดียวสู่การใช้ SMB ที่ใช้ร่วมกันภายในเครือข่าย การเข้าสู่ระบบของผู้ใช้เสร็จสิ้นกับ Kerberos 5 เพื่อยืนยันตัวตนของผู้ใช้และรับตั๋ว TGT เมื่อเข้าถึงการแชร์ SMB ตั๋ว TGT จะถูกใช้เพื่อรับตั๋ว TGS สำหรับเซิร์ฟเวอร์ที่โฮสต์ถูกแชร์และการตั้งค่าเซสชันจะดำเนินการกับ TGS นั้น (โดยการบรรลุ SSO) ทำงานได้ดีจนกว่าผู้ใช้จะพยายามเข้าถึงการแชร์ SMB บน DC ในกรณีนั้น DC จะคืนค่า STATUS_ACCESS_DENIED ให้กับคำขอเชื่อมต่อแบบต้นไม้ดังที่แสดงในลิงค์ด้านล่าง จับภาพ Wireshark ผู้ใช้เป็นสมาชิกของกลุ่ม Domain Admins ดังนั้นควรเข้าถึง IPC $ ได้ สิ่งที่น่าสนใจคือถ้าแทนที่จะทำการเซ็ตอัพเซสชันด้วย TGS ฉันจะใช้ NTLMSSP (ใช้ข้อมูลประจำตัวของผู้ใช้เดียวกัน) DC อนุญาตให้เชื่อมต่อกับการแชร์ได้ ทำไมสิทธิ์ต่าง ๆ ที่กำหนดให้กับเซสชัน SMB ขึ้นอยู่กับการรับรองความถูกต้องที่ดำเนินการ (NTLMSSP …