Kerberoasting

Kerberoasting, Active Directory'deki hizmet hesaplarını hedef alan bir saldırıdır. Kimliği doğrulanmış herhangi bir etki alanı kullanıcısı, Hizmet Asıl Adı (SPN) bulunan bir hesap için hizmet bileti isteyebilir.

Bu biletin bir bölümü, hizmet hesabının parola özetiyle şifrelenir; bu nedenle saldırgan, hesaba hiç dokunmadan bileti çevrimdışı olarak kırabilir.

Bir kullanıcı hizmet bileti (TGS) istediğinde KDC, biletin bir bölümünü hizmet hesabının parolasının NTLM özetiyle şifreler.

Her etki alanı kullanıcısı bu bileti isteyebildiği ve özel ayrıcalık gerekmediği için saldırgan biletleri toplar ve bunları kendi makinesinde istediği zaman kırar.

İlk olarak SPN atanmış hesapları sayın. Bunlar genellikle SQL, web veya diğer hizmetleri çalıştıran hizmet hesaplarıdır.

SPN'lere sahip kullanıcı hesapları (makine hesapları değil) ideal hedeflerdir; çünkü parolaları çoğu zaman insanlar tarafından belirlenir ve nadiren değiştirilir.

Rubeus, Kerberos'un kötüye kullanılmasına yönelik popüler bir C# aracıdır. kerberoast komutu, SPN hesapları için TGS biletleri ister ve bunları kırılabilir bir biçimde çıktı olarak verir.

Bu adım sessizdir: meşru bir kullanıcıdan gelen normal Kerberos trafiği gibi görünür.

Linux'tan Impacket'in GetUserSPNs.py aracı, geçerli etki alanı kimlik bilgilerini kullanarak aynı saldırıyı uzaktan gerçekleştirir.

Bu, dış çalışmalarda veya ihlal varsayımlı çalışmalarda kullanışlıdır; çünkü zaten bir düşük ayrıcalıklı kimlik bilgisi kümesine sahip olursunuz.

Yakalanan bilet, Hashcat'in 13100 modu olarak tanıdığı bir biçimde kaydedilir (Kerberos 5 TGS-REP etype 23, RC4).

Her özet $krb5tgs$23$ ile başlar ve ardından SPN, hesap ve şifrelenmiş ikili veri gelir. Kırma aracınıza vereceğiniz veri budur.

Çevrimdışı kırma işleminde, ele geçirilen özetlere karşı bir kelime listesi (genellikle kurallarla birlikte) kullanılır. RC4 biletleri hızlıca denenebildiği için zayıf hizmet parolaları kısa sürede kırılır.

Bu nedenle hizmet hesabı parolaları uzun ve rastgele olmalı, ideal olarak Group Managed Service Accounts (gMSA) tarafından yönetilmelidir.

Hesap RC4'ü (etype 23) destekliyorsa kırma işlemi hızlıdır. Yalnızca AES'e (etype 17/18) izin veriyorsa işlem çok daha yavaş olur, ancak yine de mümkündür (Hashcat modları 19600/19700).

Saldırganlar, daha zayıf RC4 biletini zorlamak için istenen şifreleme türünü düşürebilir.

Savunmacılar, özellikle RC4 biletleri için olağandışı sayıdaki TGS isteğini (olay kimliği 4769) izler. Azaltma yöntemleri şunlardır:

• Uzun ve rastgele hizmet hesabı parolaları (25 veya daha fazla karakter).
• Otomatik döndürme özelliğine sahip gMSA hesaplarını kullanmak.
• RC4'ü devre dışı bırakıp AES'i zorunlu kılmak.

Hizmet hesapları caziptir; çünkü bunlar sıklıkla ayrıcalıklı grupların üyesidir, eski parolalara sahiptir ve anormallikleri fark edecek tek bir kişiye bağlı değildir.

Hizmet hesabına gereğinden fazla ayrıcalıklar dikkatsizce verildiyse, hesabı kırmak size Domain Admin yetkisi kazandırabilir.

Kerberoasting genellikle etki alanında herhangi bir dayanak elde edildikten kısa süre sonra gerçekleştirilir. Düşük gürültülü keşif ile çevrimdışı kırmayı birleştirdiği için uyarıları nadiren tetikler.

Kırılmış bir hizmet hesabı çoğu zaman yanal hareket veya ayrıcalık yükseltme olanağı sağlar; bu nedenle iç sızma testlerinin ve kırmızı takım çalışmalarının temel tekniklerinden biridir.

Artık Kerberoasting'i anlıyorsunuz:

• Her etki alanı kullanıcısı, SPN hesapları için TGS tickets isteyebilir.
• Biletler hizmet hesabının özetiyle şifrelenir ve offline olarak kırılır.
• Araçlar: Rubeus, Impacket GetUserSPNs.py; kırma için Hashcat mode 13100.
• Uzun parolalar, gMSA ve yalnızca AES kullanan şifrelemeyle savunma sağlayın.

Sonraki bölümde kimlik bilgilerini doğrudan Pass-the-Hash ile yeniden kullanacaksınız.