域渗透-AS_REPRoasting
发布网友
发布时间：2024-10-16 03:45
共1个回答
热心网友
时间：2024-10-16 20:33
在AD用户管理界面中，可以看到预认证的开启状态。攻击者会通过Wireshark抓包对比，观察开启和关闭预认证时的请求差异，发现预认证数据(pdata)中的pA-ENC-TIMESTAMP在未开启时缺失。当预认证被禁用时，AS服务器不再验证此时间戳，直接提供TGT票据。
攻击者获取到的AS_REP包中的enc-part部分，包含用用户hash加密的session-key，这是破解的关键。将这个值重新组合，可模拟出Kerberos AS-REP，然后利用hashcat工具进行破解，最终获得明文口令。值得注意的是，即使关闭预认证，指定加密类型为RC4_HMAC时，hashcat仍可尝试解密。
在实际渗透中，很少会开启这个选项，但攻击者可能通过PowerView或kerbrute等工具枚举出受影响的用户，导出hash进行破解。与Kerberoasting和黄金票据不同，AS-REP Roasting侧重于获取用户hash进行暴力破解，而黄金票据则是冒充未知用户访问服务。
在实战中，可以借助如PowerView（在PowerSploit包中）和Rubeus（C#工具）进行攻击。PowerView通过LDAP查询找到用户，Rubeus则具备AS-REP-Roasting功能。通过这些工具，可以枚举并破解用户的hash，进行权限维持。
为了防范此类攻击，管理员应确保域内无开启预认证的用户，并推广复杂口令策略，以增加破解难度。参考文章和资源可以帮助进一步理解和实施防御措施。
