Golden Ticket
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Shambulio la Golden Ticket linajumuisha kuunda Tiketi Halali ya Kutoa Tiketi (TGT) kwa kujifanya kama mtumiaji yeyote kupitia matumizi ya hash ya NTLM ya akaunti ya krbtgt ya Active Directory (AD). Mbinu hii ni faida hasa kwa sababu inaruhusu kupata huduma au mashine yoyote ndani ya eneo kama mtumiaji aliyejifanya. Ni muhimu kukumbuka kwamba akili za akaunti ya krbtgt hazisasishwa kiotomatiki.
Ili kupata hash ya NTLM ya akaunti ya krbtgt, njia mbalimbali zinaweza kutumika. Inaweza kutolewa kutoka kwa Huduma ya Msingi ya Usalama wa Mitaa (LSASS) au faili ya Huduma za Katalogi za NT (NTDS.dit) iliyoko kwenye Kichapishaji chochote (DC) ndani ya eneo. Zaidi ya hayo, kutekeleza shambulio la DCsync ni mkakati mwingine wa kupata hash hii ya NTLM, ambayo inaweza kufanywa kwa kutumia zana kama moduli ya lsadump::dcsync katika Mimikatz au script ya secretsdump.py na Impacket. Ni muhimu kusisitiza kwamba ili kufanya shughuli hizi, privilege za admin wa eneo au kiwango sawa cha ufikiaji kawaida kinahitajika.
Ingawa hash ya NTLM inatumika kama njia inayofaa kwa kusudi hili, inashauriwa kuunda tiketi kwa kutumia funguo za Kerberos za Kiwango cha Juu cha Usimbuaji (AES) (AES128 na AES256) kwa sababu za usalama wa operesheni.
Mara umepata tiketi ya dhahabu iliyoingizwa, unaweza kufikia faili za pamoja (C$), na kutekeleza huduma na WMI, hivyo unaweza kutumia psexec au wmiexec kupata shell (inaonekana huwezi kupata shell kupitia winrm).
Njia za kawaida zaidi za kugundua tiketi ya dhahabu ni kwa kukagua trafiki ya Kerberos kwenye waya. Kawaida, Mimikatz inasaini TGT kwa miaka 10, ambayo itajitokeza kama isiyo ya kawaida katika maombi ya TGS yanayofanywa nayo.
Lifetime : 3/11/2021 12:39:57 PM ; 3/9/2031 12:39:57 PM ; 3/9/2031 12:39:57 PM
Tumia vigezo vya /startoffset, /endin na /renewmax kudhibiti kuanza kwa offset, muda na upya wa juu (yote kwa dakika).
Samahani, muda wa TGT hauandikwi katika 4769, hivyo huwezi kupata taarifa hii katika kumbukumbu za matukio ya Windows. Hata hivyo, kile unachoweza kuhusisha ni kuona 4769 bila 4768 ya awali. Haiwezekani kuomba TGS bila TGT, na ikiwa hakuna rekodi ya TGT iliyotolewa, tunaweza kudhani kwamba ilitengenezwa nje ya mtandao.
Ili kuepuka ugunduzi huu, angalia tiketi za diamond:
Diamond Ticket4624: Kuingia kwa Akaunti
4672: Kuingia kwa Admin
Get-WinEvent -FilterHashtable @{Logname='Security';ID=4672} -MaxEvents 1 | Format-List –Property
Trick nyingine ndogo ambazo walinzi wanaweza kufanya ni kuonya kuhusu 4769 kwa watumiaji nyeti kama akaunti ya msimamizi wa eneo la msingi.
Jifunze & fanya mazoezi ya AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Jifunze & fanya mazoezi ya GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
