Kerberoasting攻击

一. Kerberoasting攻击原理

1. 原理

Kerberoasting 是域渗透中经常使用的一项技术，是Tim Medin 在 DerbyCon 2014 上发布的一种域口令攻击方法，Tim Medin 同时发布了配套的攻击工具 kerberoast。此后，不少研究人员对 Kerberoasting 进行了改进和扩展，在 GitHub 上开发发布了大量工具，使得Kerberoasting 逐渐发展成为域攻击的常用方法之一。Kerberoast攻击是在TGS_REP的过程中用户将会收到由目标服务实例的NTLM hash加密生成的ST(service ticket)，如果获得这个ST票据，我们可以尝试穷举口令，模拟加密过程，进行破解。

2. 条件

ST票据的加密方式没有强制采用aes256，可以使用MD5的加密
在TGS认证TGT的时候，不管提供的用户是否具有访问目标服务的权限都会返回目标服务的ST

二. 服务主体名SPN介绍

1.介绍

服务主体名称SPN(Server principal Name SPN)，是服务实例（可以理解为一个服务，比如 HTTP、MSSQL）的唯一标识符。Kerberos 身份验证使用SPN将服务实例与服务帐户相关联。(在域中如果有多个服务，每个服务必须有自己的SPN和用户，一个用户可以有多个SPN，但是SPN只能对应一个用户，SPN必须注册的用户下)

这里有三个概念：

SPN:服务主体名称，将服务用户和服务联系起来
服务用户：用于登录运行服务的用户
服务：计算机运行的服务

2. 格式

SPN的格式：

<serviceclass>/<host>:<port>/<service name>

SPN 的语法中存在四种元素，两个必要元素和非必要两个元素
其中<service class>和<host>为必须元素<port>/<service name>是非必要元素

必要：
Service class:服务类（HOST ）
Host:服务所在的主机名字
比如：MSSQLSvc/SQL.hack.com

常见服务名称及功能：https://blog.csdn.net/wangdeq/article/details/818280

3. SPN分类

查询命令：setspn -Q */*