T1558.003: Kerberoasting

摘要

攻击者可能滥用有效的 Kerberos 票据授予票据（TGT）或嗅探网络流量，以获取可能易受[暴力破解](https://attack.mitre.org/techniques/T1110)攻击的票据授予服务（TGS）票据。(Citation: Empire InvokeKerberoast Oct 2016)(Citation: AdSecurity Cracking Kerberos Dec 2015) 服务主体名称（SPN）用于唯一标识每个 Windows 服务实例。为启用身份验证，Kerberos 要求 SPN 与至少一个服务登录账户关联（专门负责运行服务的账户 (Citation: Microsoft Detecting Kerberoasting Feb 2018)）。(Citation: Microsoft SPN)(Citation: Microsoft SetSPN)(Citation: SANS Attacking Kerberos Nov 2014)(Citation: Harmj0y Kerberoast Nov 2016) 拥有有效 Kerberos 票据授予票据（TGT）的攻击者可以从域控制器（DC）请求一个或多个针对任何 SPN 的 Kerberos 票据授予服务（TGS）服务票据。(Citation: Empire InvokeKerberoast Oct 2016)(Citation: AdSecurity Cracking Kerberos Dec 2015) 这些票据的部分内容可能使用 RC4 算法加密，这意味着与 SPN 关联的服务账户的 Kerberos 5 TGS-REP etype 23 哈希被用作私钥，因此易受离线[暴力破解](https://attack.mitre.org/techniques/T1110)攻击，可能暴露明文凭据。(Citation: AdSecurity Cracking Kerberos Dec 2015)(Citation: Empire InvokeKerberoast Oct 2016)(Citation: Harmj0y Kerberoast Nov 2016) 同样的行为也可以使用从网络流量中捕获的服务票据来执行。(Citation: AdSecurity Cracking Kerberos Dec 2015) 破解的哈希可能通过访问[有效账户](https://attack.mitre.org/techniques/T1078)来启用[持久化](https://attack.mitre.org/tactics/TA0003)、[权限提升](https://attack.mitre.org/tactics/TA0004)和[横向移动](https://attack.mitre.org/tactics/TA0008)。(Citation: SANS Attacking Kerberos Nov 2014)