Harvesting tickets from Linux

Čuvanje kredencijala u Linuxu

Linux sistemi čuvaju kredencijale u tri tipa kešova, naime Fajlovi (u /tmp direktorijumu), Kernel Keyrings (poseban segment u Linux kernelu) i Memorija procesa (za korišćenje u jednom procesu). default_ccache_name varijabla u /etc/krb5.conf otkriva tip skladišta koji se koristi, podrazumevano na FILE:/tmp/krb5cc_%{uid} ako nije specificirano.

Ekstrakcija kredencijala

Rad iz 2017. godine, Kerberos Credential Thievery (GNU/Linux), opisuje metode za ekstrakciju kredencijala iz keyrings i procesa, naglašavajući mehanizam keyring-a Linux kernela za upravljanje i skladištenje ključeva.

Pregled ekstrakcije keyring-a

keyctl sistemski poziv, uveden u verziji kernela 2.6.10, omogućava aplikacijama u korisničkom prostoru da komuniciraju sa kernel keyrings. Kredencijali u keyrings se čuvaju kao komponente (podrazumevani principal i kredencijali), različito od fajl ccaches koji takođe uključuju zaglavlje. hercules.sh skripta iz rada demonstrira ekstrakciju i rekonstrukciju ovih komponenti u upotrebljiv fajl ccache za krađu kredencijala.

Alat za ekstrakciju tiketa: Tickey

Osnovan na principima hercules.sh skripte, alat tickey je posebno dizajniran za ekstrakciju tiketa iz keyrings, izvršava se putem /tmp/tickey -i.

Reference

• https://www.tarlogic.com/en/blog/how-to-attack-kerberos/