AS-REP roasting
Las cuentas con la preautenticación de Kerberos desactivada entregan a quien lo pida un paquete cifrado con su contraseña. No hace falta iniciar sesión.
La preautenticación existe justamente para que quien solicita deba demostrar que conoce la contraseña antes de que el servidor envíe nada cifrado. Con la marca DONT_REQ_PREAUTH puesta — normalmente porque alguna aplicación anciana no aguantaba otra cosa —, el controlador de dominio envía igualmente un AS-REP, parte del cual va cifrada con la clave de la cuenta. Al atacante no le hace falta más que un nombre de usuario: recoge la respuesta y se la da de comer a hashcat en el modo 18200. La diferencia con el Kerberoasting es que este último exige un ticket válido, es decir, un punto de apoyo en el dominio; aquí basta con alcanzar el controlador de dominio por la red. Audita el directorio en busca de la marca y fuerza contraseñas largas en las cuentas que no puedas arreglar.