用途：Kerberoasting 是一种后渗透技术，针对 Active Directory 中设置了 Service Principal Name（SPN）的服务账户请求 Kerberos TGS 票据。票据以服务账户的 NTLM 哈希加密，可离线暴力破解，且不会产生失败登录事件。任何域用户都可请求 TGS 票据，因此这是 AD 环境中常见的权限提升路径。
主要能力与流程：
- SPN 枚举：通过 LDAP 查询枚举带 SPN 的账户，过滤用户账户（非计算机账户），识别高权限账户（adminCount=1），优先关注弱密码策略账户。
- TGS 票据请求：为识别出的 SPN 账户请求 TGS 票据，导出为 hashcat/john 可破解格式，尽量请求 RC4 加密（更易破解），并记录所有请求的票据。
- 离线破解：RC4 票据使用 hashcat 模式 13100（Kerberos 5 TGS-REP etype 23），AES-128 使用 19700（etype 17），AES-256 使用 19800（etype 18），结合针对性字典与规则。
- 凭据验证：验证破解出的凭据，评估被攻陷账户的访问级别，并映射到 BloodHound 攻击路径，记录到报告中。
工具：Rubeus（Windows/.NET，Kerberoasting 与票据操作）、Impacket GetUserSPNs.py（Linux/Python，远程 Kerberoasting）、PowerView（Windows/PowerShell，SPN 枚举）、hashcat 与 John the Ripper（跨平台离线破解）。
适用场景：授权安全评估、事件响应、定期安全测试与审计、通过实操验证安全控制。
前置条件：熟悉红队概念与工具；具备安全的测试或实验环境；Python 3.8+ 及所需依赖；拥有相应测试授权。
检测指标：事件 ID 4769（使用 RC4 加密 0x17 的 Kerberos 服务票据请求）、单一账户短时间内的异常 TGS 请求、用户请求其通常不访问服务的 TGS、带告警的蜜罐 SPN 账户。
MITRE ATT&CK 映射：T1558.003、T1087.002、T1069.002。
限制：仅限获得书面授权的合法测试与教育用途，未经授权对非自有系统使用属违法。具体命令、脚本与配置资料中暂未提供。