Harvesting tickets from Linux

Support HackTricks

Almacenamiento de Credenciales en Linux

Los sistemas Linux almacenan credenciales en tres tipos de cachés, a saber, Archivos (en el directorio /tmp), Keyrings del Kernel (un segmento especial en el kernel de Linux) y Memoria de Proceso (para uso de un solo proceso). La variable default_ccache_name en /etc/krb5.conf revela el tipo de almacenamiento en uso, que por defecto es FILE:/tmp/krb5cc_%{uid} si no se especifica.

Extracción de Credenciales

El documento de 2017, Kerberos Credential Thievery (GNU/Linux), describe métodos para extraer credenciales de keyrings y procesos, enfatizando el mecanismo de keyring del kernel de Linux para gestionar y almacenar claves.

Resumen de Extracción de Keyring

La llamada al sistema keyctl, introducida en la versión 2.6.10 del kernel, permite a las aplicaciones de espacio de usuario interactuar con los keyrings del kernel. Las credenciales en los keyrings se almacenan como componentes (principal y credenciales predeterminadas), distintos de los cachés de archivos que también incluyen un encabezado. El script hercules.sh del documento demuestra cómo extraer y reconstruir estos componentes en un archivo ccache utilizable para el robo de credenciales.

Herramienta de Extracción de Tickets: Tickey

Basándose en los principios del script hercules.sh, la herramienta tickey está diseñada específicamente para extraer tickets de keyrings, ejecutándose a través de /tmp/tickey -i.

Referencias

Support HackTricks

Last updated