SPN 없는 계정으로도 Kerberos 위임을 악용하는 새 경로 발견
Newly discovered Kerberos delegation abuse path
Elad Shamir의 Reflective RBCD와 James Forshaw의 U2U 희생 계정 기법을 결합하고, Impacket을 확장해 S4U2Proxy를 U2U와 함께 수행하는 방법을 소개한다. 이를 통해 Protocol Transition 없이 Constrained Delegation을 악용해 SPN이 없는 계정에서도 forwardable 티켓을 얻어 DC01로 피벗하는 전체 체인을 단계별로 보여준다. 다만 도메인에서 RC4 허용, MAQ 활성화, SPN 없는 리소스의 RBCD 설정이 필요하고 대상 사용자 계정은 파괴된다.
이것은 Kerberos의 새로운 취약점이 아니라, 지금까지 아무도 해보지 못한 것으로 보이는 설정을 성공적으로 익스플로잇하기 위한 새로운 단계의 조합이다.