Ders 2.21: Kerberos ön kimlik doğrulaması ve AS-REP roasting
Normalde bir etki alanı denetleyicisi, istemci parolayı bildiğini kanıtladıktan sonra (ön kimlik doğrulama) bir TGT verir. Bazı hesaplarda bu denetim, genellikle eski bir uygulama için, kapatılmıştır; o zaman herkes onun adına bir TGT isteyebilir ve çevrim dışı kırmak için hesabın parolasıyla şifrelenmiş veri alabilir: AS-REP roasting. Laboratuvarda ön kimlik doğrulaması kapalı hesabı buluyor, DC günlüğünde birinin dün gece biletini zaten istediğini görüyor, kimsenin onu meşru olarak kullanmadığını kontrol ediyor ve onu ön kimlik doğrulaması zorunlu olarak devre dışı bırakıyorsun.
15 dk
Bu derste öğreneceklerin
- Kerberos ön kimlik doğrulamasını açıklamak
- AS-REP roasting'i açıklamak
- DONT_REQ_PREAUTH'lu hesapları bulmak
- Ön kimlik doğrulamasız 4768 olaylarını tespit etmek
- Bayrağı güvenle kaldırmak
Temel terimler
- Kerberos ön kimlik doğrulaması
- İstemci, DC bir TGT vermeden önce parolanın onda olduğunu bilsin diye parolasından türetilmiş anahtarla bir zaman damgasını şifreler.
- DONT_REQ_PREAUTH (4194304)
- Bir hesap için ön kimlik doğrulamayı kapatan userAccountControl bayrağı.
- AS-REP roasting
- Ön kimlik doğrulaması olmayan bir hesap için TGT isteyip yanıtın şifreli kısmını çevrim dışı kırmak.
- PreAuthType
- 4768 olayındaki alan: 2 = şifreli zaman damgası (normal), 0 = yok.
← Güvenlik başlıkları · Tüm dersler · Linux kimlik doğrulama ve denetim günlükleri →