AS-REP Roasting

Cuentas con DONT_REQUIRE_PREAUTH envían el AS-REP sin pre-autenticación.

​

AS-REP Roasting

Cuentas con DONT_REQUIRE_PREAUTH envían el AS-REP sin pre-autenticación.

Categoría: Active Directory · Vectores avanzados

🎯 Trinchera — Cuentas con DONT_REQUIRE_PREAUTH envían el AS-REP sin pre-autenticación. Lo capturas y crackeas offline. Cuenta-no-autenticada

• password débil = compromiso del usuario en minutos.

🔗 Kill chain — Requisito: lista de usuarios del dominio (la sacas con SMB null o RID brute). No necesitas credencial previa. Movimiento siguiente: spraying lateral con la pwd recuperada.

📡 Huella defensiva — Event ID 4768 sin pre-auth. Microsoft Defender for Identity tiene detección dedicada.

⚠️ Falso amigo — GetNPUsers.py con -no-pass falla si no le pasas dominio en mayúsculas correcto.

🛡️ Remediación — Eliminar el flag DONT_REQUIRE_PREAUTH (auditar con Get-DomainUser -PreauthNotRequired); contraseñas largas en cuentas privilegiadas.

impacket-GetNPUsers corp.local/ -dc-ip 10.0.0.10 -usersfile users.txt -no-pass

---

← Volver al glosario completo

Última actualización: 2026-06-11