Timeroasting
Pedir a um controlador de domínio uma resposta de horário assinada com o hash da senha de uma conta de computador, sem estar logado, e depois quebrar a assinatura com calma.
O Windows autentica a sincronização de horário com sua própria variante do NTP, em que a resposta é assinada com material de chave derivado da senha da conta de computador solicitante. O detalhe curioso é que o cliente só precisa informar o RID da conta na requisição — nenhuma autenticação é exigida, já que o ponto central é que uma máquina que ainda não está com a hora certa não consegue se autenticar. A consequência, descrita por Tom Tervoort, da Secura, em 2022, é que qualquer pessoa com acesso de rede a um controlador de domínio pode solicitar respostas assinadas para todas as contas de computador do domínio e testá-las offline contra uma wordlist. No caso normal isso é relativamente inofensivo: as senhas de máquina são definidas automaticamente e são strings longas e aleatórias. O que cai são contas criadas ou redefinidas à mão, ou herdadas de scripts antigos — e elas aparecem em ambientes suficientes para valer a verificação.