Kerberoasting

Kerberoasting ialah serangan yang menyasarkan akaun perkhidmatan dalam Active Directory. Mana-mana pengguna domain yang disahkan boleh meminta tiket perkhidmatan untuk akaun yang mempunyai Nama Prinsipal Perkhidmatan (SPN).

Sebahagian tiket itu disulitkan dengan cincangan kata laluan akaun perkhidmatan, jadi penyerang boleh memecahkannya di luar talian tanpa menyentuh akaun tersebut.

Apabila pengguna meminta tiket perkhidmatan (TGS), KDC menyulitkan sebahagian daripadanya dengan cincangan NTLM kata laluan akaun perkhidmatan.

Oleh sebab mana-mana pengguna domain boleh meminta tiket ini, dan tiada keistimewaan khas diperlukan, penyerang hanya mengumpulkan tiket lalu memecahkannya dengan tenang pada mesin mereka sendiri.

Mula-mula, hitung akaun yang mempunyai SPN ditetapkan. Akaun ini biasanya ialah akaun perkhidmatan yang menjalankan SQL, web, atau perkhidmatan lain.

Akaun pengguna (bukan akaun mesin) dengan SPN ialah sasaran yang ideal kerana kata laluannya sering ditetapkan oleh manusia dan jarang ditukar.

Rubeus ialah alat C# yang popular untuk penyalahgunaan Kerberos. Perintah kerberoast meminta tiket TGS bagi akaun SPN dan mengeluarkannya dalam format yang boleh dipecahkan.

Langkah ini senyap: ia kelihatan seperti trafik Kerberos biasa daripada pengguna yang sah.

Dari Linux, Impacket melalui GetUserSPNs.py melaksanakan serangan yang sama dari jauh menggunakan kelayakan domain yang sah.

Ini berguna semasa tugasan luaran atau tugasan yang menganggap pelanggaran telah berlaku, apabila anda sudah memiliki satu set kelayakan berkeistimewaan rendah.

Tiket yang ditangkap disimpan dalam format yang dikenali Hashcat sebagai mod 13100 (Kerberos 5 TGS-REP etype 23, RC4).

Setiap cincangan bermula dengan $krb5tgs$23$, diikuti SPN, akaun, dan gumpalan yang disulitkan. Inilah yang anda masukkan ke dalam alat pemecah cincangan.

Pemecahan luar talian menggunakan senarai perkataan (selalunya bersama peraturan) terhadap cincangan yang ditangkap. Oleh sebab tiket RC4 pantas untuk diuji, kata laluan perkhidmatan yang lemah cepat dipecahkan.

Inilah sebabnya kata laluan akaun perkhidmatan hendaklah panjang dan rawak, sebaik-baiknya diuruskan oleh Akaun Perkhidmatan Terurus Kumpulan (gMSA).

Jika akaun menyokong RC4 (etype 23), pemecahan adalah pantas. Jika akaun hanya membenarkan AES (etype 17/18), pemecahan jauh lebih perlahan tetapi masih boleh dilakukan (mod Hashcat 19600/19700).

Penyerang juga mungkin menurunkan taraf jenis penyulitan yang diminta untuk memaksa tiket RC4 yang lebih lemah.

Pihak pertahanan memantau jumlah permintaan TGS yang luar biasa, khususnya untuk tiket RC4 (ID peristiwa 4769). Langkah pengurangan risiko termasuk:

• Kata laluan akaun perkhidmatan yang panjang dan rawak (25 aksara atau lebih).
• Menggunakan akaun gMSA dengan penggiliran automatik.
• Melumpuhkan RC4 dan menguatkuasakan AES.

Akaun perkhidmatan menarik kerana akaun ini kerap menjadi ahli kumpulan berkeistimewaan, mempunyai kata laluan yang sudah lama tidak ditukar, dan tidak terikat kepada seorang manusia tertentu yang akan menyedari kejanggalan.

Memecahkan satu akaun sedemikian mungkin memberi anda akses Pentadbir Domain jika akaun perkhidmatan itu diberikan keistimewaan secara berlebihan tanpa cermat.

Kerberoasting biasanya dilakukan tidak lama selepas memperoleh sebarang pijakan dalam domain. Teknik ini ialah penghitungan yang menghasilkan sedikit bunyi serta pemecahan luar talian, jadi jarang mencetuskan amaran.

Akaun perkhidmatan yang berjaya dipecahkan sering memberikan pergerakan sisi atau peningkatan keistimewaan, menjadikannya teknik asas dalam ujian penembusan dalaman dan operasi pasukan merah.

Anda kini memahami Kerberoasting:

• Sesiapa sahaja pengguna domain boleh meminta TGS tickets untuk akaun SPN.
• Tiket disulitkan menggunakan cincangan akaun perkhidmatan dan dipecahkan luar talian.
• Alat: Rubeus, Impacket GetUserSPNs.py, dan pemecahan menggunakan Hashcat mode 13100.
• Lindungi sistem dengan kata laluan panjang, gMSA, dan penyulitan AES sahaja.

Seterusnya, anda akan menggunakan semula kelayakan secara terus dengan Pass-the-Hash.