performing-kerberoasting-attack
Ajuda seu agente a realizar ataques Kerberoasting para obter credenciais de contas de serviço no Active Directory.
O que ela faz
Esta ferramenta ajuda a encontrar senhas fracas de contas de serviço em redes corporativas. Ela busca por contas que executam serviços, tenta obter 'bilhetes' de acesso para elas e, em seguida, tenta adivinhar as senhas desses bilhetes.
Quando usar
- ✓Ao testar a segurança de uma rede corporativa com permissão.
- ✓Para verificar se contas de serviço podem ser comprometidas.
- ✓Como parte de uma auditoria de segurança programada.
Exemplo do que pedir para a IA
“Execute um ataque de Kerberoasting para encontrar senhas fracas de contas de serviço.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta primeiro encontra contas que têm 'nomes principais de serviço' (SPNs). Em seguida, ela solicita 'tickets' de autenticação para essas contas e tenta quebrar as senhas desses tickets offline.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill performing-kerberoasting-attackOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/performing-kerberoasting-attack/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Realizando Ataque de Kerberoasting
Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.
Visão Geral
Kerberoasting é uma técnica de pós-exploração que visa contas de serviço no Active Directory, solicitando tickets Kerberos TGS (Ticket Granting Service) para contas com Service Principal Names (SPNs) configurados. Esses tickets são criptografados com o hash NTLM da conta de serviço, permitindo a quebra offline por força bruta sem gerar eventos de login falhos. É um dos caminhos de escalonamento de privilégios mais comuns em ambientes AD, pois qualquer usuário do domínio pode solicitar tickets TGS.
Quando Usar
- Ao conduzir avaliações de segurança que envolvam a realização de ataque de kerberoasting
- Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
- Ao realizar atividades programadas de testes de segurança ou auditoria
- Ao validar controles de segurança por meio de testes práticos
Pré-requisitos
- Familiaridade com conceitos e ferramentas de red teaming
- Acesso a um ambiente de teste ou laboratório para execução segura
- Python 3.8+ com as dependências necessárias instaladas
- Autorização apropriada para quaisquer atividades de teste
Mapeamento MITRE ATT&CK
- T1558.003 - Roubar ou Forjar Tickets Kerberos: Kerberoasting
- T1087.002 - Descoberta de Contas: Conta de Domínio
- T1069.002 - Descoberta de Grupos de Permissão: Grupos de Domínio
Fluxo de Trabalho
Fase 1: Enumeração de SPN
- Enumerar contas com SPNs usando consultas LDAP
- Filtrar por contas de usuário (não contas de computador)
- Identificar contas com privilégios elevados (adminCount=1)
- Priorizar contas com políticas de senha fracas
Fase 2: Solicitação de Ticket TGS
- Solicitar tickets TGS para contas SPN identificadas
- Extrair dados do ticket em formato que possa ser quebrado (compatível com hashcat/john)
- Garantir que a criptografia RC4 seja solicitada sempre que possível (mais fácil de quebrar)
- Documentar todos os tickets solicitados
Fase 3: Quebra Offline
- Usar hashcat modo 13100 (Kerberos 5 TGS-REP etype 23) para tickets RC4
- Usar hashcat modo 19700 (Kerberos 5 TGS-REP etype 17) para AES-128
- Usar hashcat modo 19800 (Kerberos 5 TGS-REP etype 18) para AES-256
- Aplicar wordlists e regras direcionadas com base na política de senha
Fase 4: Validação de Credenciais
- Validar credenciais quebradas contra o domínio
- Avaliar o nível de acesso das contas comprometidas
- Mapear contas para caminhos de ataque do BloodHound
- Documentar para o relatório do engajamento
Ferramentas e Recursos
| Ferramenta | Propósito | Plataforma |
|---|---|---|
| Rubeus | Kerberoasting e manipulação de tickets | Windows (.NET) |
| Impacket GetUserSPNs.py | Kerberoasting Remoto | Linux/Python |
| PowerView | Enumeração de SPN | Windows (PowerShell) |
| hashcat | Quebra de senha offline | Multiplataforma |
| John the Ripper | Quebra de senha offline | Multiplataforma |
Indicadores de Detecção
- Event ID 4769: Solicitação de Ticket de Serviço Kerberos com criptografia RC4 (0x17)
- Solicitações TGS anômalas de uma única conta em um curto período
- Solicitações TGS para serviços que o usuário normalmente não acessa
- Contas SPN honeypot com alertas sobre solicitações de ticket
Critérios de Validação
- Contas SPN enumeradas e documentadas
- Tickets TGS extraídos em formato que possa ser quebrado
- Quebra offline tentada com wordlists apropriadas
- Credenciais quebradas validadas
- Nível de acesso das contas comprometidas avaliado
Perguntas frequentes
O que é Kerberoasting?
É uma técnica usada em testes de segurança para tentar descobrir senhas de contas que executam serviços em redes.
Preciso de permissão para usar isso?
Sim, você só deve usar esta ferramenta em sistemas que você tem permissão explícita para testar. Usá-la sem permissão é ilegal.
O que são SPNs?
SPNs (Service Principal Names) são identificadores únicos para instâncias de serviço em uma rede. Contas que executam serviços geralmente têm SPNs associados.
Detalhes
Descrição original do autor
Perform Kerberoasting, a post-exploitation technique that enumerates Active Directory service accounts with Service Principal Names (SPNs), requests their Kerberos TGS tickets, and cracks the NTLM-encrypted tickets offline to recover service account credentials. Use during authorized red team engagements or penetration tests to assess AD privilege escalation and credential access risk from weak se
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #6088
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
cpp-testing
Faz seu agente escrever e melhorar testes para código C++. Ajuda a configurar ferramentas de teste e a corrigir erros.
affaan-m/ECC
csharp-testing
Ajuda seu agente a criar testes para código C# e .NET. Ele usa as melhores práticas para garantir que os testes sejam eficientes e confiáveis.
affaan-m/ECC
django-tdd
Faz seu agente aplicar estratégias de teste para Django com pytest-django e TDD. É útil para escrever testes robustos e garantir a qualidade do código, especialmente para APIs DRF.
affaan-m/ECC