Kerberoasting

Kerberoasting 是一种针对 Active Directory 中服务帐户的攻击。任何经过身份验证的域用户都可以为拥有服务主体名称（SPN）的帐户请求服务票据。

该票据的一部分使用服务帐户的密码哈希加密，因此攻击者可以在离线状态下破解它，而完全无需接触该帐户。

当用户请求服务票据（TGS）时，KDC 会使用服务帐户密码的 NTLM 哈希加密票据的一部分。

由于任何域用户都可以请求该票据，而且不需要特殊权限，攻击者只需收集票据，然后在自己的计算机上从容破解即可。

首先，枚举设置了 SPN 的帐户。这些通常是运行 SQL、Web 或其他服务的服务帐户。

带有 SPN 的用户帐户（而非计算机帐户）是理想目标，因为它们的密码通常由人工设置，而且很少轮换。

Rubeus 是一种常用的 C# Kerberos 滥用工具。kerberoast 命令会为 SPN 帐户请求 TGS 票据，并以可破解的格式输出这些票据。

这一步很隐蔽：从外观上看，它与合法用户发出的正常 Kerberos 流量无异。

在 Linux 上，Impacket 的 GetUserSPNs.py 可以使用有效的域凭据远程执行同样的攻击。

在外部安全测试或假设已遭入侵的安全测试中，这一方法非常方便，因为您通常已经拥有一组低权限凭据。

捕获的票据会保存为 Hashcat 可识别的 13100 模式格式（Kerberos 5 TGS-REP 类型 23，RC4）。

每个哈希都以 $krb5tgs$23$ 开头，后面依次是 SPN、帐户和加密数据块。这就是要交给破解工具处理的内容。

离线破解会使用词表（通常配合规则）来尝试破解捕获的哈希。由于 RC4 票据的测试速度很快，弱服务密码很快就会被破解。

因此，服务账户密码应当足够长且随机，最好由组托管服务账户（gMSA）进行管理。

如果账户支持 RC4（etype 23），破解速度会很快。如果只允许使用 AES（etype 17/18），破解速度会慢得多，但仍然可行（Hashcat 模式 19600/19700）。

攻击者甚至可能降低所请求的加密类型，强制获取较弱的 RC4 票据。

防御者会监控异常数量的 TGS 请求，尤其是 RC4 票据请求（事件 ID 4769）。缓解措施包括：

• 使用较长且随机的服务账户密码（至少 25 个字符）。
• 使用具有自动轮换功能的 gMSA 账户。
• 禁用 RC4 并强制使用 AES。

服务账户很有吸引力，因为它们经常属于特权组、密码长期未更换，而且不与某个特定人员绑定，因此不会有人注意到异常。

如果服务账户被粗心地授予过多权限，破解其中一个账户就可能让您获得域管理员权限。

Kerberoasting 通常在获得域内立足点后不久进行。它结合了低噪声枚举和离线破解，因此很少触发警报。

破解服务账户通常可以带来横向移动或权限提升，因此它是内部渗透测试和红队行动中的常用手段。

回忆一下 Kerberoasting 的核心要求。

现在，您已经了解 Kerberoasting：

• 任何域用户都可以为 SPN 账户请求 TGS 票据。
• 票据使用服务账户的哈希加密，并在离线状态下破解。
• 工具包括：Rubeus、Impacket GetUserSPNs.py，以及使用 Hashcat 模式 13100 进行破解。
• 通过使用长密码、gMSA 和仅限 AES 的加密来防御。

接下来，您将使用传递哈希直接重用凭据。