Rubeus

---

Rubeus は、生の Kerberos 相互作用と悪用のための C# ツールセットです。これは、Benjamin Delpy の Kekeo プロジェクト（CC BY-NC-SA 4.0 ライセンス）および Vincent LE TOUX の MakeMeEnterpriseAdmin プロジェクト（GPL v3.0 ライセンス）から大幅に適応されています。武器化の難しい部分を解決した Benjamin と Vincent に全功績があります。彼らの先行研究がなければ、このプロジェクトは存在しませんでした。

Charlie Clark と Ceri Coburn は、共開発者として Rubeus コードベースに 重要な 貢献をしました。Elad Shamir は、リソースベースの制約付き委任に関する重要な作業を提供しました。彼らの作業に感謝します！

Rubeus は、Thomas Pornin の C# ASN.1 解析/エンコーディングライブラリ DDer も使用しており、これは「MIT 類似」ライセンスでリリースされました。Thomas のクリーンで安定したコードに大感謝します！

PKINIT コードは @SteveSyfuhs の Bruce ツールから大幅に適応されています。Bruce は RFC4556 (PKINIT) を理解しやすくしてくれました。Steve に大感謝！

Kerberos PAC の NDR エンコーディングおよびデコーディングは、@tiraniddo の NtApiDotNet ライブラリに基づいています。James ありがとう。

Kerberoasting 用の KerberosRequestorSecurityToken.GetRequest メソッドは、@machosec によって PowerView に提供され（その後 Rubeus に組み込まれました）。

@harmj0y がこのコードベースの主著者です。

Rubeus は BSD 3-Clause ライセンスの下でライセンスされています。

目次

• Rubeus
  • 目次
  • 背景
    • コマンドラインの使い方
    • Opsec 注意事項
      • 概要
      • 武器化
      • 例: 資格情報抽出
      • 例: Over-pass-the-hash
  • チケット要求と更新
    • asktgt
    • asktgs
    • renew
    • brute|spray
  • 制約付き委任の悪用
    • s4u
  • チケット偽造
    • golden
    • silver
    • diamond
  • チケット管理
    • ptt
    • purge
    • describe
  • チケット抽出と収集
    • triage
    • klist
    • dump
    • tgtdeleg
    • monitor
    • harvest
  • Roasting
    • kerberoast
      • kerberoasting の Opsec
      • 例
    • asreproast
  • その他
    • createnetonly
    • changepw
    • hash
    • tgssub
    • currentluid
    • logonsession
    • asrep2kirbi
    • kirbi
  • コンパイル手順
    • 他の .NET バージョンをターゲットにする
    • 補足: Rubeus をライブラリとしてビルドする
    • 補足: PowerShell 経由で Rubeus を実行する
      • 補足の補足: PSRemoting 経由で Rubeus を実行する

背景

コマンドラインの使い方

   ______        _
  (_____ \      | |
   _____) )_   _| |__  _____ _   _  ___
  |  __  /| | | |  _ \| ___ | | | |/___)
  | |  \ \| |_| | |_) ) ____| |_| |___ |
  |_|   |_|____/|____/|_____)____/(___/

  v2.3.3


 チケット要求と更新:

    Retrieve a TGT based on a user password/hash, optionally saving to a file or applying to the current logon session or a specific LUID:
        Rubeus.exe asktgt /user:USER </password:PASSWORD [/enctype:DES|RC4|AES128|AES256] | /des:HASH | /rc4:HASH | /aes128:HASH | /aes256:HASH> [/domain:DOMAIN] [/dc:DOMAIN_CONTROLLER] [/outfile:FILENAME] [/ptt] [/luid] [/nowrap] [/opsec] [/nopac] [/proxyurl:https://KDC_PROXY/kdcproxy] [/suppenctype:DES|RC4|AES128|AES256]

    Retrieve a TGT based on a user password/hash, optionally saving to a file or applying to the current logon session or a specific LUID:
        Rubeus.exe asktgt /user:USER </password:PASSWORD [/enctype:DES|RC4|AES128|AES256] | /des:HASH | /rc4:HASH | /aes128:HASH | /aes256:HASH> [/domain:DOMAIN] [/dc:DOMAIN_CONTROLLER] [/outfile:FILENAME] [/ptt] [/luid] [/nowrap] [/opsec] [/nopac] [/proxyurl:https://KDC_PROXY/kdcproxy] [/suppenctype:DES|RC4|AES128|AES256]

    Retrieve a TGT based on a user password/hash, start a /netonly process, and to apply the ticket to the new process/logon session:
        Rubeus.exe asktgt /user:USER </password:PASSWORD [/enctype:DES|RC4|AES128|AES256] | /des:HASH | /rc4:HASH | /aes128:HASH | /aes256:HASH> /createnetonly:C:\Windows\System32\cmd.exe [/show] [/domain:DOMAIN] [/dc:DOMAIN_CONTROLLER] [/nowrap] [/opsec] [/nopac] [/proxyurl:https://KDC_PROXY/kdcproxy] [/suppenctype:DES|RC4|AES128|AES256]

    Retrieve a TGT using a PCKS12 certificate, start a /netonly process, and to apply the ticket to the new process/logon session:
        Rubeus.exe asktgt /user:USER /certificate:C:\temp\leaked.pfx </password:STOREPASSWORD> /createnetonly:C:\Windows\System32\cmd.exe [/getcredentials] [/servicekey:KRBTGTKEY] [/show] [/domain:DOMAIN] [/dc:DOMAIN_CONTROLLER] [/nowrap] [/proxyurl:https://KDC_PROXY/kdcproxy] [/suppenctype:DES|RC4|AES128|AES256]

    Retrieve a TGT using a certificate from the users keystore (Smartcard) specifying certificate thumbprint or subject, start a /netonly process, and to apply the ticket to the new process/logon session:
        Rubeus.exe asktgt /user:USER /certificate:f063e6f4798af085946be6cd9d82ba3999c7ebac /createnetonly:C:\Windows\System32\cmd.exe [/show] [/domain:DOMAIN] [/dc:DOMAIN_CONTROLLER] [/suppenctype:DES|RC4|AES128|AES256] [/nowrap]

    Retrieve a TGT suitable for changing an account with an expired password using the changepw command
        Rubeus.exe asktgt /user:USER </password:PASSWORD /changepw [/enctype:DES|RC4|AES128|AES256] | /des:HASH | /rc4:HASH | /aes128:HASH | /aes256:HASH> [/domain:DOMAIN] [/dc:DOMAIN_CONTROLLER] [/outfile:FILENAME] [/ptt] [/luid] [/nowrap] [/opsec] [/proxyurl:https://KDC_PROXY/kdcproxy]

    Request a TGT without sending pre-auth data:
        Rubeus.exe asktgt /user:USER [/domain:DOMAIN] [/dc:DOMAIN_CONTROLLER] [/outfile:FILENAME] [/ptt] [/luid] [/nowrap] [/nopac] [/proxyurl:https://KDC_PROXY/kdcproxy] [/suppenctype:DES|RC4|AES128|AES256]

    Request a service ticket using an AS-REQ:
        Rubeus.exe asktgt /user:USER /service:SPN </password:PASSWORD [/enctype:DES|RC4|AES128|AES256] | /des:HASH | /rc4:HASH | /aes128:HASH | /aes256:HASH> [/domain:DOMAIN] [/dc:DOMAIN_CONTROLLER] [/outfile:FILENAME] [/ptt] [/luid] [/nowrap] [/opsec] [/nopac] [/oldsam] [/proxyurl:https://KDC_PROXY/kdcproxy] [/suppenctype:DES|RC4|AES128|AES256]

   Retrieve a service ticket for one or more SPNs, optionally saving or applying the ticket:
        Rubeus.exe asktgs </ticket:BASE64 | /ticket:FILE.KIRBI> </service:SPN1,SPN2,...> [/enctype:DES|RC4|AES128|AES256] [/dc:DOMAIN_CONTROLLER] [/outfile:FILENAME] [/ptt] [/nowrap] [/enterprise] [/opsec] </tgs:BASE64 | /tgs:FILE.KIRBI> [/targetdomain] [/u2u] [/targetuser] [/servicekey:PASSWORDHASH] [/asrepkey:ASREPKEY] [/proxyurl:https://KDC_PROXY/kdcproxy]

Retrieve a service ticket using the Kerberos Key List Request options:
    	Rubeus.exe asktgs /keyList /service:KRBTGT_SPN </ticket:BASE64 | /ticket:FILE.KIRBI> [/enctype:DES|RC4|AES128|AES256] [/dc:DOMAIN_CONTROLLER] [/outfile:FILENAME] [/ptt] [/nowrap] [/enterprise] [/opsec] </tgs:BASE64 | /tgs:FILE.KIRBI> [/targetdomain] [/u2u] [/targetuser] [/servicekey:PASSWORDHASH] [/asrepkey:ASREPKEY] [/proxyurl:https://KDC_PROXY/kdcproxy]