T1558.004: AS-REP Roasting

摘要

攻击者可能通过对 Kerberos 消息进行[密码破解](https://attack.mitre.org/techniques/T1110/002)来泄露已禁用 Kerberos 预身份验证的账户凭据。(Citation: Harmj0y Roasting AS-REPs Jan 2017) 预身份验证提供针对离线[密码破解](https://attack.mitre.org/techniques/T1110/002)的保护。启用时，请求访问资源的用户通过发送身份验证服务器请求（AS-REQ）消息与域控制器（DC）启动通信，该消息带有使用其密码哈希加密的时间戳。当且仅当 DC 能够使用用户密码的哈希成功解密时间戳时，它随后将向用户发送包含票据授予票据（TGT）的身份验证服务器响应（AS-REP）消息。AS-REP 消息的一部分使用用户密码签名。(Citation: Microsoft Kerberos Preauth 2014) 对于发现的每个未启用预身份验证的账户，攻击者可能发送不带加密时间戳的 AS-REQ 消息，并接收带有 TGT 数据的 AS-REP 消息，该消息可能使用诸如 RC4 之类的不安全算法加密。恢复的加密数据可能类似于 [Kerberoasting](https://attack.mitre.org/techniques/T1558/003)，易受离线[密码破解](https://attack.mitre.org/techniques/T1110/002)攻击，并暴露明文凭据。(Citation: Harmj0y Roasting AS-REPs Jan 2017)(Citation: Stealthbits Cracking AS-REP Roasting Jun 2019) 注册到域的账户（无论有无特殊权限）可被滥用来通过使用诸如带 LDAP 筛选器的 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 之类的 Windows 工具列出所有已禁用预身份验证的域账户。或者，攻击者可能为每个用户发送 AS-REQ 消息。如果 DC 无错误地响应，则该账户不需要预身份验证，且 AS-REP 消息将已包含加密数据。(Citation: Harmj0y Roasting AS-REPs Jan 2017)(Citation: Stealthbits Cracking AS-REP Roasting Jun 2019) 破解的哈希可能通过访问[有效账户](https://attack.mitre.org/techniques/T1078)来启用[持久化](https://attack.mitre.org/tactics/TA0003)、[权限提升](https://attack.mitre.org/tactics/TA0004)和[横向移动](https://attack.mitre.org/tactics/TA0008)。(Citation: SANS Attacking Kerberos Nov 2014)