Harvesting tickets from Linux
Linuxにおける資格情報の保存
Linuxシステムは、ファイル（/tmpディレクトリ内）、カーネルキーリング（Linuxカーネル内の特別なセグメント）、およびプロセスメモリ（単一プロセス用）の3種類のキャッシュに資格情報を保存します。/etc/krb5.conf内のdefault_ccache_name変数は、使用中のストレージタイプを示し、指定されていない場合はFILE:/tmp/krb5cc_%{uid}がデフォルトとなります。
資格情報の抽出
2017年の論文、Kerberos Credential Thievery (GNU/Linux)は、キーリングやプロセスから資格情報を抽出する方法を概説しており、Linuxカーネルのキーリングメカニズムによるキーの管理と保存を強調しています。
キーリング抽出の概要
keyctlシステムコールは、カーネルバージョン2.6.10で導入され、ユーザースペースアプリケーションがカーネルキーリングと対話することを可能にします。キーリング内の資格情報は、ファイルccacheに含まれるヘッダーとは異なり、コンポーネント（デフォルトのプリンシパルと資格情報）として保存されます。論文のhercules.shスクリプトは、これらのコンポーネントを抽出し、資格情報の窃盗用に使用可能なファイルccacheに再構築する方法を示しています。
チケット抽出ツール: Tickey
hercules.shスクリプトの原則に基づいて、tickeyツールは、キーリングからチケットを抽出するために特別に設計されており、/tmp/tickey -iを介して実行されます。
参考文献
Last updated