Kerberos Authentication

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks

Перегляньте чудовий допис: https://www.tarlogic.com/en/blog/how-kerberos-works/

Коротко для зловмисників

  • Kerberos is the default AD auth protocol; most lateral-movement chains will touch it. For hands‑on cheatsheets (AS‑REP/Kerberoasting, ticket forging, delegation abuse, etc.) see: 88tcp/udp - Pentesting Kerberos

Оновлені нотатки щодо атак (2024‑2026)

  • RC4 finally going away – Windows Server 2025 DCs більше не видають RC4 TGTs; Microsoft планує відключити RC4 за замовчуванням для AD DCs до кінця Q2 2026. Середовища, які знову вмикають RC4 для legacy apps, створюють можливості для downgrade/fast‑crack при Kerberoasting.
  • PAC validation enforcement (Apr 2025) – оновлення квітня 2025 прибирають режим “Compatibility”; підроблені PACs/golden tickets відхиляються на патчених DCs, коли увімкнено enforcement. Legacy/unpatched DCs залишаються вразливими.
  • CVE‑2025‑26647 (altSecID CBA mapping) – якщо DCs не патчені або залишені в Audit mode, сертифікати, що ланцюжаться до non‑NTAuth CAs але відображені через SKI/altSecID, все ще можуть логінитись. Поява Events 45/21 відбувається при спрацьовуванні захистів.
  • NTLM phase‑out – Microsoft випустить майбутні релізи Windows з NTLM вимкненим за замовчуванням (поступово до 2026), переміщуючи більше автентифікації на Kerberos. Очікуйте збільшення Kerberos surface area та суворішого EPA/CBT у захищених мережах.
  • Cross‑domain RBCD remains powerful – Microsoft Learn зазначає, що resource‑based constrained delegation працює між доменами/forests; writable msDS-AllowedToActOnBehalfOfOtherIdentity на об’єктах ресурсів все ще дозволяє S4U2self→S4U2proxy імперсонізацію без торкання front‑end service ACLs.

Швидкі інструменти

  • Rubeus kerberoast (AES default): Rubeus.exe kerberoast /user:svc_sql /aes /nowrap /outfile:tgs.txt — виводить AES хеші; плануйте GPU cracking або орієнтуйтесь на користувачів з вимкненою pre‑auth.
  • RC4 downgrade target hunting: перелічуйте облікові записи, які все ще вказують RC4 за допомогою Get-ADObject -LDAPFilter '(msDS-SupportedEncryptionTypes=4)' -Properties msDS-SupportedEncryptionTypes щоб знайти слабкі кандидати для kerberoast до повного вимкнення RC4.

References

Tip

Вивчайте та практикуйте AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Вивчайте та практикуйте GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Вивчайте та практикуйте Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Підтримайте HackTricks