Golden Ticket
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Μια επίθεση Golden Ticket συνίσταται στη δημιουργία ενός νόμιμου Ticket Granting Ticket (TGT) προσποιούμενη οποιονδήποτε χρήστη μέσω της χρήσης του NTLM hash του λογαριασμού krbtgt του Active Directory (AD). Αυτή η τεχνική είναι ιδιαίτερα πλεονεκτική διότι επιτρέπει την πρόσβαση σε οποιαδήποτε υπηρεσία ή μηχάνημα εντός του τομέα ως ο προσποιούμενος χρήστης. Είναι κρίσιμο να θυμόμαστε ότι τα διαπιστευτήρια του λογαριασμού krbtgt δεν ενημερώνονται ποτέ αυτόματα.
Για να αποκτηθεί το NTLM hash του λογαριασμού krbtgt, μπορούν να χρησιμοποιηθούν διάφορες μέθοδοι. Μπορεί να εξαχθεί από τη Διαδικασία Υποστήριξης Τοπικής Ασφάλειας (LSASS) ή το αρχείο NT Directory Services (NTDS.dit) που βρίσκεται σε οποιονδήποτε Domain Controller (DC) εντός του τομέα. Επιπλέον, η εκτέλεση μιας επίθεσης DCsync είναι μια άλλη στρατηγική για την απόκτηση αυτού του NTLM hash, η οποία μπορεί να πραγματοποιηθεί χρησιμοποιώντας εργαλεία όπως το lsadump::dcsync module στο Mimikatz ή το secretsdump.py script από το Impacket. Είναι σημαντικό να τονιστεί ότι για να εκτελούνται αυτές οι ενέργειες, συνήθως απαιτούνται δικαιώματα διαχειριστή τομέα ή παρόμοιο επίπεδο πρόσβασης.
Αν και το NTLM hash χρησιμεύει ως μια βιώσιμη μέθοδος για αυτόν τον σκοπό, είναι σθεναρά συνιστώμενο να κατασκευάζονται εισιτήρια χρησιμοποιώντας τα κλειδιά Kerberos Advanced Encryption Standard (AES) (AES128 και AES256) για λόγους επιχειρησιακής ασφάλειας.
Μόλις έχετε εισαγάγει το χρυσό εισιτήριο, μπορείτε να έχετε πρόσβαση στα κοινά αρχεία (C$), και να εκτελέσετε υπηρεσίες και WMI, οπότε θα μπορούσατε να χρησιμοποιήσετε psexec ή wmiexec για να αποκτήσετε ένα shell (φαίνεται ότι δεν μπορείτε να αποκτήσετε ένα shell μέσω winrm).
Οι πιο συχνές μέθοδοι ανίχνευσης ενός χρυσού εισιτηρίου είναι μέσω της επιθεώρησης της κίνησης Kerberos στο δίκτυο. Από προεπιλογή, το Mimikatz υπογράφει το TGT για 10 χρόνια, το οποίο θα ξεχωρίσει ως ανώμαλο σε επόμενα αιτήματα TGS που γίνονται με αυτό.
Lifetime : 3/11/2021 12:39:57 PM ; 3/9/2031 12:39:57 PM ; 3/9/2031 12:39:57 PM
Χρησιμοποιήστε τις παραμέτρους /startoffset, /endin και /renewmax για να ελέγξετε την αρχική απόκλιση, τη διάρκεια και τις μέγιστες ανανεώσεις (όλες σε λεπτά).
Δυστυχώς, η διάρκεια ζωής του TGT δεν καταγράφεται στα 4769, οπότε δεν θα βρείτε αυτές τις πληροφορίες στα Windows event logs. Ωστόσο, αυτό που μπορείτε να συσχετίσετε είναι η εμφάνιση 4769 χωρίς προηγούμενο 4768. Δεν είναι δυνατόν να ζητήσετε ένα TGS χωρίς ένα TGT, και αν δεν υπάρχει καταγραφή ενός TGT που να έχει εκδοθεί, μπορούμε να συμπεράνουμε ότι έχει κατασκευαστεί offline.
Για να παρακάμψετε αυτή την ανίχνευση, ελέγξτε τα diamond tickets:
Diamond Ticket4624: Logon Λογαριασμού
4672: Logon Διαχειριστή
Get-WinEvent -FilterHashtable @{Logname='Security';ID=4672} -MaxEvents 1 | Format-List –Property
Άλλες μικρές τεχνικές που μπορούν να κάνουν οι αμυντικοί είναι να ειδοποιούν για 4769 για ευαίσθητους χρήστες όπως ο προεπιλεγμένος λογαριασμός διαχειριστή τομέα.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
