AS-REP-Roasting
Konten, bei denen die Kerberos-Vorauthentifizierung deaktiviert ist, geben jedem, der fragt, ein mit ihrem Passwort verschlüsseltes Paket heraus. Kein Login nötig.
Die Vorauthentifizierung existiert genau deshalb, damit ein Anfragender beweisen muss, das Passwort zu kennen, bevor der Server überhaupt etwas Verschlüsseltes verschickt. Ist das Flag DONT_REQ_PREAUTH gesetzt — meist weil irgendeine uralte Anwendung sonst nicht zurechtkam —, schickt der Domänencontroller trotzdem ein AS-REP, von dem ein Teil mit dem Schlüssel des Kontos verschlüsselt ist. Der Angreifer braucht nichts weiter als einen Benutzernamen, sammelt die Antwort ein und füttert sie hashcat im Modus 18200. Der Unterschied zu Kerberoasting: Dort braucht es ein gültiges Ticket, also bereits einen Fuß in der Domäne; hier reicht der bloße Netzwerkzugriff auf den Domänencontroller. Man durchsucht das Verzeichnis nach dem Flag und erzwingt lange Passwörter bei den Konten, die sich nicht anders absichern lassen.