Kerberos安全实战Rubeus自动化检测与AS-REP Roasting防御体系构建1. 漏洞原理与攻击逻辑拆解AS-REP Roasting攻击的核心在于Kerberos协议预认证机制的缺失。当域用户账户启用不要求Kerberos预身份验证属性时攻击者无需提供密码即可直接获取加密的TGT票据。这种设计原本用于兼容旧系统却成为渗透测试中的常见突破口。攻击流程关键节点信息收集阶段扫描域内启用该属性的用户账户票据获取阶段通过KDC直接请求AS-REP响应离线破解阶段对加密的Session Key进行暴力破解注意成功概率与密码强度直接相关企业环境中弱密码账户仍是主要攻击目标攻击者通常采用以下三种工具链组合工具类型代表工具适用场景域内信息收集AdFind、PowerView识别脆弱账户票据请求工具Rubeus、GetNPUsers.py获取加密的AS-REP响应密码破解工具Hashcat、John the Ripper离线破解哈希2. Rubeus实战检测指南Rubeus作为Kerberos攻击的瑞士军刀其AS-REP Roasting检测功能具有自动化程度高、输出格式友好等特点。最新v2.2版本新增了以下特性自动过滤系统账户如krbtgt支持JSON格式输出内存清理功能减少痕迹基础检测命令Rubeus.exe asreproast /format:hashcat /nowrap /outfile:hashes.txt高级参数组合Rubeus.exe asreproast /user:VULNERABLE_USER /domain:EXAMPLE.COM /dc:DC01.EXAMPLE.COM /ou:OUServers /nowrap典型输出解析[*] Target Domain : EXAMPLE.COM [*] Searching DC DC01.EXAMPLE.COM [] Found vulnerable user : svc_sql (UAC:4194304) [] Hash : $krb5asrep$svc_sqlEXAMPLE.COM:3E5A3B...3. 企业级防御方案设计3.1 主动防御措施组策略配置规范启用域控制器安全策略中的网络安全配置Kerberos允许的加密类型禁用RC4_HMAC_MD5加密算法设置密码策略最小长度15字符复杂度要求30天强制更换PowerShell自动化检查脚本Get-ADUser -Filter * -Properties DoesNotRequirePreAuth | Where-Object {$_.DoesNotRequirePreAuth -eq $true} | Select-Object SamAccountName,DistinguishedName3.2 监控与响应体系SIEM检测规则示例事件ID 4768异常的Kerberos认证请求事件ID 4771Kerberos预认证失败事件ID 4740用户账户锁定可能表征爆破尝试关键日志字段监控Ticket Encryption Type : 0x17 (RC4_HMAC) Service Name : krbtgt Client Address : [非正常工作时间IP]4. 红队视角的进阶技巧4.1 隐蔽信息收集使用LDAP查询替代显式工具扫描ldapsearch -H ldap://dc01.example.com -D cnquery_user,ouservice,dcexample,dccom -w Pssw0rd -b dcexample,dccom ((objectCategoryuser)(userAccountControl:1.2.840.113556.1.4.803:4194304)) sAMAccountName4.2 多阶段攻击组合典型攻击路径通过AS-REP Roasting获取低权限账户利用该账户进行SPN扫描实施Kerberoasting攻击获取服务账户横向移动到关键服务器自动化攻击链示例# 伪代码示例 vuln_users detect_asrep_vulnerable_users() compromised_account crack_weak_password(vuln_users) spn_list enumerate_spn(compromised_account) service_tickets request_kerberos_tickets(spn_list)5. 防御体系压力测试构建检测盲区测试方案慢速攻击测试将请求频率降低到1次/小时源IP分散测试从多个跳板机发起请求加密类型混淆混合使用AES256和RC4请求日志污染测试注入大量正常Kerberos事件检测有效性评估矩阵测试类型传统规则检测率行为分析检测率单次快速攻击98%100%分布式慢速攻击32%89%加密类型混合67%95%
Kerberos安全实战：如何用Rubeus一键检测AS-REP Roasting漏洞（附防御方案）
Kerberos安全实战Rubeus自动化检测与AS-REP Roasting防御体系构建1. 漏洞原理与攻击逻辑拆解AS-REP Roasting攻击的核心在于Kerberos协议预认证机制的缺失。当域用户账户启用不要求Kerberos预身份验证属性时攻击者无需提供密码即可直接获取加密的TGT票据。这种设计原本用于兼容旧系统却成为渗透测试中的常见突破口。攻击流程关键节点信息收集阶段扫描域内启用该属性的用户账户票据获取阶段通过KDC直接请求AS-REP响应离线破解阶段对加密的Session Key进行暴力破解注意成功概率与密码强度直接相关企业环境中弱密码账户仍是主要攻击目标攻击者通常采用以下三种工具链组合工具类型代表工具适用场景域内信息收集AdFind、PowerView识别脆弱账户票据请求工具Rubeus、GetNPUsers.py获取加密的AS-REP响应密码破解工具Hashcat、John the Ripper离线破解哈希2. Rubeus实战检测指南Rubeus作为Kerberos攻击的瑞士军刀其AS-REP Roasting检测功能具有自动化程度高、输出格式友好等特点。最新v2.2版本新增了以下特性自动过滤系统账户如krbtgt支持JSON格式输出内存清理功能减少痕迹基础检测命令Rubeus.exe asreproast /format:hashcat /nowrap /outfile:hashes.txt高级参数组合Rubeus.exe asreproast /user:VULNERABLE_USER /domain:EXAMPLE.COM /dc:DC01.EXAMPLE.COM /ou:OUServers /nowrap典型输出解析[*] Target Domain : EXAMPLE.COM [*] Searching DC DC01.EXAMPLE.COM [] Found vulnerable user : svc_sql (UAC:4194304) [] Hash : $krb5asrep$svc_sqlEXAMPLE.COM:3E5A3B...3. 企业级防御方案设计3.1 主动防御措施组策略配置规范启用域控制器安全策略中的网络安全配置Kerberos允许的加密类型禁用RC4_HMAC_MD5加密算法设置密码策略最小长度15字符复杂度要求30天强制更换PowerShell自动化检查脚本Get-ADUser -Filter * -Properties DoesNotRequirePreAuth | Where-Object {$_.DoesNotRequirePreAuth -eq $true} | Select-Object SamAccountName,DistinguishedName3.2 监控与响应体系SIEM检测规则示例事件ID 4768异常的Kerberos认证请求事件ID 4771Kerberos预认证失败事件ID 4740用户账户锁定可能表征爆破尝试关键日志字段监控Ticket Encryption Type : 0x17 (RC4_HMAC) Service Name : krbtgt Client Address : [非正常工作时间IP]4. 红队视角的进阶技巧4.1 隐蔽信息收集使用LDAP查询替代显式工具扫描ldapsearch -H ldap://dc01.example.com -D cnquery_user,ouservice,dcexample,dccom -w Pssw0rd -b dcexample,dccom ((objectCategoryuser)(userAccountControl:1.2.840.113556.1.4.803:4194304)) sAMAccountName4.2 多阶段攻击组合典型攻击路径通过AS-REP Roasting获取低权限账户利用该账户进行SPN扫描实施Kerberoasting攻击获取服务账户横向移动到关键服务器自动化攻击链示例# 伪代码示例 vuln_users detect_asrep_vulnerable_users() compromised_account crack_weak_password(vuln_users) spn_list enumerate_spn(compromised_account) service_tickets request_kerberos_tickets(spn_list)5. 防御体系压力测试构建检测盲区测试方案慢速攻击测试将请求频率降低到1次/小时源IP分散测试从多个跳板机发起请求加密类型混淆混合使用AES256和RC4请求日志污染测试注入大量正常Kerberos事件检测有效性评估矩阵测试类型传统规则检测率行为分析检测率单次快速攻击98%100%分布式慢速攻击32%89%加密类型混合67%95%
