RITM

Dies ist eine Python-Implementierung des Man-in-the-Middle-Angriffs, der von Charlie Clark (@exploitph) in seinem Beitrag New Attack Paths? AS Requested Service Tickets beschrieben und in seinem Proof-of-Concept Roast in the Middle demonstriert wurde.

Kurz gesagt, dieses Tool:

1. Führt ARP-Spoofing zwischen deinem/n Ziel(en) und dem Gateway durch, um eine Man-in-the-Middle-Position zu erhalten
2. Belauscht den Verkehr auf ein AS-REQ mit PA-ENC-TIMESTAMP-Daten (ja, dadurch wird ein gültiges AS-REQ übersehen, bei dem keine Vorauthentifizierung erforderlich ist)
3. Spielt das belauschte AS-REQ erneut an einen DC ab, nachdem das SPN auf Benutzernamen/SPNs aus einer Datei geändert wurde
4. Gibt alle geroasteten Konten-Hashes aus

Beitrag über RITM. Für ein höheres Maß an technischen Details empfehle ich, Charlies Blog zu lesen.

WARNUNG: Der Versuch, zu viele Ziele per Man-in-the-Middle anzugreifen, kann Latenzprobleme auf den Maschinen der Opfer verursachen. RITM wurde nur mit weniger als 5 Zielen gleichzeitig getestet. Die Angabe von Netzwerkgeräten als Ziele mit -t/--targets und das anschließende ARP-Spoofing gegen diese wird sich wahrscheinlich negativ auf das Netzwerk auswirken.

RITM stellt die ARP-Caches der Zielmaschinen nach Abschluss oder bei Ctrl-C wieder her. Wenn ein nicht abgefangener Fehler ausgelöst wird und RITM mit einem Fehler endet, kannst du RITM neu starten und schnell Ctrl-C drücken, um die ARP-Caches wiederherzustellen.

Install

RITM kann installiert werden, indem man dieses Repository klont und pip3 install . ausführt; anschließend kann es über den PATH entweder mit ritm oder roastinthemiddle ausgeführt werden.

Usage

Example

• Ich empfehle dringend, einen Domänencontroller für das Roasting mit --dc-ip anzugeben.
• Wenn Ziel(e) und DC im selben Subnetz liegen, setze die IP des DC mit --gateway/-g.

Development

RITM verwendet Poetry zur Verwaltung der Abhängigkeiten. Aus dem Quellcode installieren und für die Entwicklung einrichten mit:

git clone https://github.com/tw1sm/ritm
cd ritm
poetry install
poetry run ritm --help

Contributors

Danke an die folgenden Personen für ihre Beiträge zur Codebasis!

• @snovvcrash

Credits

• Charlie Clark (@exploitph) – Dieses Tool basiert vollständig auf seiner Forschung und seinem Proof-of-Concept-Code.
• Impacket – für Kerberos-Strukturen und Code zum Senden/Parsen von AS-REQs und AS-REPs.