**1. 干什么** NTLM 为挑战响应协议，Kerberos 为基于 KDC 票据的协议，二者分别完成身份证明。密码哈希或票据材料的存放位置决定可抓取的凭据形态。 **2. 谁在调** * 用户态主体：LSA、SSPI 客户端、访问远程资源的进程。 * 系统层封装：安全支持提供程序 SSPI、NTLMSSP、Kerberos 包。 * 服务主体：DC 上的 KDC、目标机认证服务。 **3. 做什么业务** NTLM：目标机发送随机 challenge，客户端用密码哈希对 challenge 运算得 response 返回，目标机以自身存储的哈希同算比对，密码哈希不上线，协议本身不提供会话加密。challenge-response 可被中继或离线爆破。Kerberos：客户端先以哈希向 KDC 换取 TGT（票据授予票据），访问服务时凭 TGT 换 ST（服务票据），递交目标机由其与 KDC 约定验证。哈希不过网，票据有时效、目标与加密。 **4. 组件清单** * NTLM challenge/response * KDC、TGT、ST * 客户端票