AS-REP roasting
Учётные записи с отключённой предаутентификацией Kerberos отдают любому желающему пакет, зашифрованный их паролем. Входить в систему для этого не нужно.
Предаутентификация существует ровно затем, чтобы запрашивающий доказал знание пароля до того, как сервер отправит что-либо зашифрованное. Если у учётной записи установлен флаг DONT_REQ_PREAUTH — обычно потому, что какое-нибудь престарелое приложение иначе не работает, — контроллер домена всё равно отвечает AS-REP, часть которого зашифрована ключом учётной записи. Атакующему нужно лишь имя пользователя: он забирает ответ и скармливает его hashcat в режиме 18200. Отличие от Kerberoasting в том, что тому нужен действительный тикет, то есть плацдарм в домене, а здесь достаточно сетевого доступа к контроллеру домена. Проверьте каталог на наличие флага и задайте длинные пароли тем записям, которые исправить нельзя.