شرح Kerbrute Active Directory للمبتدئين

لو بتتعلم Active Directory أو داخل مجال Penetration Testing، أكيد سمعت عن أداة Kerbrute
الأداة دي مش معمولة للاختراق المباشر، لكنها قوية جدًا في Recon وفهم سلوك Kerberos Authentication

قبل Kerbrute… افهم Kerberos ببساطة ​

في Active Directory، المصادقة غالبًا بتتم عن طريق Kerberos. خلّي الصورة بسيطة

• KDC = مركز التذاكر (غالبًا هو الـ Domain Controller)
• المستخدم بدل ما يبعت كلمة المرور لكل خدمة، بيطلب تذكرة دخول (TGT)
• لو البيانات صحيحة، الـ KDC يدي التذكرة
• بعدها الوصول للخدمات يبقى أسهل وأأمن

---

​

Kerbrute بتدخل فين؟ ​

Kerbrute بتتعامل مع ردود KDC أثناء محاولات Kerberos ومن اختلاف الردود بتعرف معلومات مهمة زي:

• هل اسم المستخدم موجود؟
• هل الفشل بسبب Pre-Authentication (غالبًا باسورد غلط)؟
• هل الحساب مقفول أو Disabled؟

الفكرة هنا: Kerbrute مش بتكسر النظام
لكن بتساعدك تفهم سلوك الدومين وتعمل Recon ذكي

---

​

ليه Kerbrute أداة مهمة؟ ​

من منظور Red Team ​

• تصفية أسماء المستخدمين الوهمية
• معرفة الحسابات الحقيقية
• فهم سياسات القفل (Lockout Policy)
• تقليل الوقت الضايع

من منظور Blue Team / SOC ​

• بتولّد Pattern واضح في Logs الـ DC
• ممتازة لاختبار:
  • هل SIEM شغال صح؟
  • هل التنبيهات مظبوطة؟

---

​

أوضاع Kerbrute الأساسية ​

userenum ​

أهم وضع للمبتدئ وظيفته:

• Enumeration لأسماء المستخدمين عبر Kerberos

ده أفضل اختيار للتعلم والفهم

passwordspray ​

• تجربة كلمة مرور واحدة على عدد مستخدمين

خطر جدًا ممكن يسبب Account Lockout استخدمه فقط داخل Scope واضح

bruteuser / bruteforce ​

• محاولات متعددة لكلمات المرور

لا أنصح بيه للمبتدئ إلا داخل مختبر ومع فهم سياسات القفل والرصد
نصيحة: ابدأ بـ userenum واتعلم تقرأ النتائج صح

---

​

متطلبات التشغيل قبل ما تبدأ ​

تأكد من الآتي:

• اسم الدومين صحيح (مثال: EXAMPLE.LOCAL)
• IP الـ Domain Controller صحيح
• الوصول لمنفذ Kerberos 88 TCP/UDP
• الوقت متزامن (Kerberos حساس للـ Clock)
• شغال داخل شبكة مصرح أو VPN

---

​

مثال عملي باستخدام Kerbrute ​

تجهيز قائمة مستخدمين​

ahmad
mohammad
sara
it.support
hr.manager

تنفيذ user enumeration​

kerbrute userenum -d EXAMPLE.LOCAL --dc 10.0.0.10 users.txt

---

​

إزاي تفهم نتائج Kerbrute؟ ​

• Found / Valid / Exists → المستخدم موجود غالبًا
• Not found / principal unknown → المستخدم غير موجود
• Locked / Disabled → الحساب موجود لكن مقفول أو معطل

---

​

Kerbrute بتعلمك إيه فعلًا؟ ​

الأداة دي تعليمية جدًا، وبتساعدك تفهم:

• إزاي Kerberos بيشتغل
• إزاي تقرأ ردود KDC
• إزاي الـ SOC يلتقط النشاط ده في اللوجز

​

الخلاصة ​

Kerbrute مش أداة اختراق مباشر
لكنها أداة Recon Assessment قوية جدًا
ممتازة للمبتدئ والمحترف لفهم Active Directory وKerberos بشكل واقعي