ASREProastable
Última actualización
¿Te fue útil?
Última actualización
¿Te fue útil?
OBJETIVO DEL EJERCICIO #17:
Teniendo una autenticacion sobre cualquier usuario comprometer al usuario: asrep.user
Este ejercicio deberia ser realizado desde el servidor de USER-SERVER.
Para realizarlo es suficiente tener encendido UNICAMENTE WEBSERVER y First-DC.
"KRB_AS_REP Roasting" es un método de ataque que los actores malintencionados pueden utilizar para comprometer cuentas de usuario en un entorno que utiliza Kerberos para la autenticación, típicamente un dominio de Active Directory (AD) en Windows. Este ataque se dirige específicamente a cuentas que tienen la propiedad "Do not require Kerberos preauthentication" configurada. Veamos en detalle qué significa esto, cómo funciona el ataque, qué podría lograr un atacante y cómo se puede mitigar.
Preautenticación de Kerberos: Normalmente, Kerberos requiere que un usuario proporcione no solo su nombre de usuario sino también su contraseña para obtener un ticket TGT (Ticket Granting Ticket) durante el proceso de autenticación inicial (AS-REQ). Esta es una medida de seguridad diseñada para prevenir ataques de tipo "offline" en los que se intenta adivinar las contraseñas.
Cuentas sin Preautenticación: Sin embargo, en algunos casos, esta propiedad puede estar deshabilitada para ciertas cuentas debido a necesidades de compatibilidad o configuraciones erróneas. Esto significa que el KDC (Key Distribution Center) enviará la respuesta (AS-REP) que contiene el TGT cifrado sin requerir una prueba válida de conocimiento de la contraseña del usuario.
Enumeración de Usuarios: Un atacante primero enumerará las cuentas de usuario que tienen deshabilitada la preautenticación de Kerberos.
Solicitud de TGT: Luego, el atacante puede enviar una solicitud AS-REQ para esas cuentas y el KDC responderá con un AS-REP que contiene el TGT cifrado usando la contraseña del usuario.
Ataque Offline: A diferencia de un ataque de fuerza bruta online, el atacante puede ahora intentar descifrar el TGT offline, utilizando herramientas de cracking de contraseñas para adivinar la contraseña sin alertar al sistema o bloquear la cuenta de usuario.
Acceso no Autorizado: Si el atacante descifra con éxito la contraseña, puede autenticarse como el usuario comprometido y acceder a los recursos, realizar movimientos laterales, elevar privilegios, exfiltrar datos, etc.
Persistencia: Los actores malintencionados pueden crear cuentas adicionales o configurar otros métodos de acceso para mantener la persistencia en la red comprometida.
Elevación de Privilegios: Si la cuenta comprometida tiene privilegios elevados, el atacante puede tomar el control total del dominio de Active Directory.
Para crackear este hash podemos utilizar el siguiente comando:
Primero almacenamos todo el hash en un archivo "hash-kerberoasting" y luego ejecutamos hashcat:
La contraseña para este caso era debil y es: Password@1
Revisar Configuraciones de Cuenta: Regularmente revise las cuentas en el dominio de AD para asegurarse de que la preautenticación de Kerberos esté habilitada a menos que sea absolutamente necesario.
Uso de Contraseñas Fuertes: Implemente políticas que requieran contraseñas largas y complejas que sean difíciles de adivinar incluso con herramientas de cracking de contraseñas.
Monitoreo y Alertas: Establezca sistemas de monitoreo y alerta para detectar comportamientos anómalos o sospechosos relacionados con la autenticación de Kerberos y las consultas de directorio.
Educación y Conciencia: Eduque a los administradores de sistemas y redes sobre la importancia de la configuración de seguridad correcta de las cuentas y cómo ciertas configuraciones pueden dejar abierta la puerta a ataques.
Esta vulnerabilidad fue previamente detectada con :
