Сегодня на повестке — Kerberos, этот жирный ключ к корпоративному царству. Windows-домены — наш хлеб с маслом, а Kerberos-атаки — прямой билет на трон. Многие пенты упускают эту тему, а зря, ведь это дорога к админу без лишнего шума. Ща разберём, как стать королём через Golden Ticket, и заодно подкину трюков, чтобы Blue Team нас не спалила. Погнали по шагам, как в Red Team отчёте — чётко, жёстко, с мясом.

Kerberos: Путь к доменному трону

Что вижу, куда лезу

Kerberos — это основа аутентификации в Windows-доменах. Если ты в сетке, ты уже на полпути: можешь тырить хэши, подделывать билеты и получать доступ к чему угодно. Точка входа — любой скомпрометированный хост или пользователь с доступом к домену. Домен-контроллер (DC) — наша цель, а билеты Kerberos (TGT и TGS) — наш инструмент. Что бросилось в глаза? Многие админы не следят за SPN (Service Principal Names), не патчат Mimikatz и не мониторят сетевой трафик. Это наш шанс.

Векторы атаки: От Kerberoasting до Golden Ticket

1. Kerberoasting: Тырим хэши SPN

Если у тебя есть доступ к домену (да хоть юзер с минимальными правами), можно вытащить хэши сервисных аккаунтов через SPN. Почему это работает? SPN привязаны к сервисам, и билеты TGS для них шифруются с помощью пароля сервисного акка. А пароль этот часто слабый, да ещё и не меняется годами.

• Инструмент: GetUserSPNs.py из Impacket.
• Команда:

• Что делаем: Запрашиваем TGS для всех SPN в домене. Получаем Kerberos-билеты, которые шифрованы хэшем NTLM сервисного акка.
• Результат: Хэши в формате, который можно брутить через Hashcat.
• Брут:

Если хэш треснул — у тебя пароль сервисного акка. Часто это уже привилегированный юзер, который может дать доступ к важным сервисам.

2. Silver Ticket: Подделка TGS

Silver Ticket — это подделка TGS-билета для доступа к конкретному сервису (например, SMB-шара на DC). Нам нужен хэш NTLM сервисного акка (например, из Kerberoasting) и SID домена.

• Инструмент: Mimikatz.
• Команда:

• Что делаем: Создаём фейковый TGS-билет для сервиса cifs/dc.corp.local.
• Результат: Доступ к шаре на DC без настоящего пароля. Подключаемся через SMB:

Silver Ticket — это локальный доступ к сервису. Но если хочешь править всем доменом, нужен следующий шаг.

3. Golden Ticket: Король домена

Golden Ticket — это подделка TGT (Ticket Granting Ticket), который даёт доступ ко всему домену. Для этого нужен хэш NTLM аккаунта krbtgt — это корневой ключ Kerberos. Если он у тебя есть, ты бог в домене.

• Шаг 1. Дамп хэшей с DC:
  Если у тебя есть доступ к DC (например, через Silver Ticket или другой эксплойт), дампи хэши с помощью Mimikatz.
  • Команда:

Или экспортируй билеты:

• Ищи NTLM-хэш для krbtgt.

• Шаг 2. Создание Golden Ticket:
  Используй Mimikatz для создания фейкового TGT.
  • Команда:

• Флаг /ptt (pass-the-ticket) сразу инжects билет в текущую сессию.
• Результат: Теперь ты — админ домена. Можешь аутентифицироваться где угодно, пока билет валиден (по умолчанию 10 лет, лол). Подключайся к любому ресурсу:

Golden Ticket — это game over для Blue Team, если они не мониторят аномальные TGT.

Трюк: Маскировка трафика

Blue Team может спалить твои запросы к DC или подозрительный трафик. Маскируйся через прокси или DNS-туннели.

• Через Proxychains:
  Настрой proxychains.conf с SOCKS5-прокси, чтобы твой трафик шёл через промежуточный сервер.
  • Команда:

• Это спрячет твой IP от простого мониторинга.
• DNS-туннель:
  Используй dnscat2 для эксфильтрации данных или управления через DNS-запросы. Это вообще не палится, если у них нет глубокого анализа DNS-трафика.
  • Установи сервер:

На клиенте:

• • Перегоняй команды и данные через DNS. Медленно, но скрытно.

Советы

1. SPN-охота: Если Kerberoasting дал хэши, проверь, какие ещё сервисы привязаны к этим аккам. Может, там прямой доступ к SQL или другим вкусностям. Используй BloodHound для анализа связей.
2. Pass-the-Hash: Если хэш krbtgt не дампнулся, попробуй PtH с другими админскими хэшами через psexec.py из Impacket.
3. Kerberos Delegation: Ищи акки с unconstrained delegation — это ещё одна дыра для эскалации. Команда: Get-DomainUser -TrustedToAuth в PowerView.
4. Мониторинг логов: Если билет создан, проверь, не спалят ли тебя через Event ID 4768/4769 на DC. Настрой фильтры в Wireshark на Kerberos-трафик.
5. План атаки: Golden Ticket в кармане? Погнали на DC, дампим всё через ntdsutil или SecretsDump. Домен твой, братан, жги дальше!

На этом все. Всем хорошего дня!