diff --git a/src/SUMMARY.md b/src/SUMMARY.md index d57d5effd..a8361fb1f 100644 --- a/src/SUMMARY.md +++ b/src/SUMMARY.md @@ -283,6 +283,7 @@ - [SID-History Injection](windows-hardening/active-directory-methodology/sid-history-injection.md) - [Silver Ticket](windows-hardening/active-directory-methodology/silver-ticket.md) - [Skeleton Key](windows-hardening/active-directory-methodology/skeleton-key.md) + - [Timeroasting](windows-hardening/active-directory-methodology/TimeRoasting.md) - [Unconstrained Delegation](windows-hardening/active-directory-methodology/unconstrained-delegation.md) - [Windows Security Controls](windows-hardening/authentication-credentials-uac-and-efs/README.md) - [UAC - User Account Control](windows-hardening/authentication-credentials-uac-and-efs/uac-user-account-control.md) diff --git a/src/mobile-pentesting/ios-pentesting/ios-protocol-handlers.md b/src/mobile-pentesting/ios-pentesting/ios-protocol-handlers.md index aaceab00a..bc0fd067d 100644 --- a/src/mobile-pentesting/ios-pentesting/ios-protocol-handlers.md +++ b/src/mobile-pentesting/ios-pentesting/ios-protocol-handlers.md @@ -1,5 +1,3 @@ -{{#include ../../banners/hacktricks-training.md}} - # WebView プロトコルハンドラー {{#include ../../banners/hacktricks-training.md}} diff --git a/src/windows-hardening/active-directory-methodology/TimeRoasting.md b/src/windows-hardening/active-directory-methodology/TimeRoasting.md index 49e64d0d5..c4d7b7e5a 100644 --- a/src/windows-hardening/active-directory-methodology/TimeRoasting.md +++ b/src/windows-hardening/active-directory-methodology/TimeRoasting.md @@ -1,38 +1,40 @@ -## TimeRoasting +# TimeRoasting -timeRoastingの主な原因は、MicrosoftがNTPサーバーへの拡張で残した古い認証メカニズム、MS-SNTPとして知られるものです。このメカニズムでは、クライアントは任意のコンピュータアカウントの相対識別子（RID）を直接使用でき、ドメインコントローラーはコンピュータアカウントのNTLMハッシュ（MD4によって生成された）をキーとして、応答パケットの**メッセージ認証コード（MAC）**を生成します。 +{{#include /banners/hacktricks-training.md}} + +timeRoastingの主な原因は、MicrosoftがNTPサーバーへの拡張機能として残した古い認証メカニズム、MS-SNTPとして知られるものです。このメカニズムでは、クライアントは任意のコンピュータアカウントの相対識別子（RID）を直接使用でき、ドメインコントローラーはコンピュータアカウントのNTLMハッシュ（MD4によって生成された）をキーとして、応答パケットの**メッセージ認証コード（MAC）**を生成します。 攻撃者はこのメカニズムを利用して、認証なしで任意のコンピュータアカウントの同等のハッシュ値を取得できます。明らかに、Hashcatのようなツールを使用してブルートフォース攻撃を行うことができます。 具体的なメカニズムは、[MS-SNTPプロトコルの公式Windowsドキュメント](https://winprotocoldoc.z19.web.core.windows.net/MS-SNTP/%5bMS-SNTP%5d.pdf)のセクション3.1.5.1「認証要求の動作」で確認できます。 -ドキュメントのセクション3.1.5.1では、認証要求の動作について説明しています。 +文書のセクション3.1.5.1では、認証要求の動作について説明しています。 ![](../../images/Pasted%20image%2020250709114508.png) ExtendedAuthenticatorSupported ADM要素が`false`に設定されている場合、元のMarkdown形式が保持されることがわかります。 >元の記事からの引用： >>ExtendedAuthenticatorSupported ADM要素がfalseの場合、クライアントはクライアントNTP要求メッセージを構築しなければなりません。クライアントNTP要求メッセージの長さは68バイトです。クライアントは、セクション2.2.1で説明されているように、クライアントNTP要求メッセージの認証子フィールドを設定し、RID値の最下位31ビットを認証子のキー識別子サブフィールドの最下位31ビットに書き込み、その後、キーセレクタ値をキー識別子サブフィールドの最上位ビットに書き込みます。 -ドキュメントのセクション4 プロトコル例のポイント3 +文書のセクション4 プロトコル例のポイント3 >元の記事からの引用： ->>3. リクエストを受信した後、サーバーは受信したメッセージのサイズが68バイトであることを確認します。そうでない場合、サーバーはリクエストを破棄するか（メッセージサイズが48バイトでない場合）、未認証のリクエストとして扱います（メッセージサイズが48バイトの場合）。受信したメッセージのサイズが68バイトであると仮定すると、サーバーは受信したメッセージからRIDを抽出します。サーバーはそれを使用して、NetrLogonComputeServerDigestメソッド（[MS-NRPC]セクション3.5.4.8.2に指定）を呼び出し、暗号チェックサムを計算し、受信したメッセージのキー識別子サブフィールドの最上位ビットに基づいて暗号チェックサムを選択します（セクション3.2.5に指定）。その後、サーバーはクライアントに応答を送信し、キー識別子フィールドを0に、暗号チェックサムフィールドを計算された暗号チェックサムに設定します。 +>>3. リクエストを受信した後、サーバーは受信したメッセージのサイズが68バイトであることを確認します。そうでない場合、サーバーはリクエストを破棄するか（メッセージサイズが48バイトでない場合）、未認証のリクエストとして扱います（メッセージサイズが48バイトの場合）。受信したメッセージサイズが68バイトであると仮定すると、サーバーは受信したメッセージからRIDを抽出します。サーバーはそれを使用して、NetrLogonComputeServerDigestメソッド（[MS-NRPC]セクション3.5.4.8.2に指定）を呼び出し、暗号チェックサムを計算し、受信したメッセージのキー識別子サブフィールドの最上位ビットに基づいて暗号チェックサムを選択します（セクション3.2.5に指定）。その後、サーバーはクライアントに応答を送信し、キー識別子フィールドを0に設定し、暗号チェックサムフィールドを計算された暗号チェックサムに設定します。 -上記のMicrosoft公式ドキュメントの説明によれば、ユーザーは認証を必要とせず、RIDを入力するだけでリクエストを開始でき、その後、暗号チェックサムを取得できます。暗号チェックサムは、ドキュメントのセクション3.2.5.1.1で説明されています。 +上記のMicrosoft公式文書の説明によれば、ユーザーは認証を必要とせず、RIDを入力するだけでリクエストを開始でき、その後、暗号チェックサムを取得できます。暗号チェックサムは文書のセクション3.2.5.1.1で説明されています。 >元の記事からの引用： >>サーバーは、クライアントNTP要求メッセージの認証子フィールドのキー識別子サブフィールドの最下位31ビットからRIDを取得します。サーバーは、NetrLogonComputeServerDigestメソッド（[MS-NRPC]セクション3.5.4.8.2に指定）を使用して、次の入力パラメータで暗号チェックサムを計算します： >>>![](../../images/Pasted%20image%2020250709115757.png) -暗号チェックサムはMD5を使用して計算され、具体的なプロセスはドキュメントの内容を参照できます。これにより、ロースティング攻撃を実行する機会が得られます。 +暗号チェックサムはMD5を使用して計算され、具体的なプロセスは文書の内容を参照できます。これにより、ロースティング攻撃を実行する機会が得られます。 -## how to attack +## 攻撃方法 -Quote to https://swisskyrepo.github.io/InternalAllTheThings/active-directory/ad-roasting-timeroasting/ +引用：https://swisskyrepo.github.io/InternalAllTheThings/active-directory/ad-roasting-timeroasting/ -[SecuraBV/Timeroast](https://github.com/SecuraBV/Timeroast) - Timeroasting scripts by Tom Tervoort +[SecuraBV/Timeroast](https://github.com/SecuraBV/Timeroast) - Tom TervoortによるTimeroastingスクリプト ``` sudo ./timeroast.py 10.0.0.42 | tee ntp-hashes.txt hashcat -m 31300 ntp-hashes.txt ``` - +{{#include /banners/hacktricks-training.md}}