AS-REP roasting
Konton som har Kerberos förautentisering avstängd lämnar ut ett paket krypterat med sitt lösenord till vem som helst som frågar. Ingen inloggning krävs.
Förautentisering finns just för att bevisa att den som begär en biljett känner till lösenordet innan servern skickar något krypterat. Med flaggan DONT_REQ_PREAUTH satt — vanligtvis för att någon gammal applikation inte klarade annat — skickar domänkontrollanten ändå ett AS-REP där en del är krypterad med kontots nyckel. Angriparen behöver bara ett kontonamn, hämtar svaret och kör det mot hashcat i läge 18200. Skillnaden mot Kerberoasting är att där krävs en giltig biljett, alltså ett fotfäste i domänen; här räcker det att nå domänkontrollanten över nätet. Sök efter flaggan i katalogen och tvinga fram komplexa lösenord på de konton som inte går att åtgärda.