金银票据的利用

黄金票据利用 krbtgt 账户的 NTLM-Hash/AES-Key 伪造 TGT, 借此以访问域内所有资源.

白银票据利用服务账户的 NTLM-Hash/AES-Key 伪造 TGS Ticket, 可访问指定服务.

Golden Ticket

黄金票据利用 krbtgt 账户的 NTLM-Hash/AES-Key 伪造 TGT, 借此以访问域内所有资源.

1

kerberos::golden /user:fake-user /domain:domain-name /sid:domain-sid /krbtgt:krbtgt-hash

通过 /aes256, /aes128 可指定 AES-Key 替代 NTLM-Hash.

另有 /ptt 参数以直接在当前会话注入票据.

默认有效时间为 20 分钟, 过期可重新导入.

快速更改 krbtgt 账户密码两次可使票据失效.

Silver Ticket

白银票据利用服务账户的 NTLM-Hash/AES-Key 伪造 TGS Ticket, 可访问指定服务.

其实跟 Kerberoast 爆破后的利用类似, 个人认为银票作为维持权限的方法并不合适, 如果是第三方服务建议进一步利用, CIFS LDAP 这类倒不如直接针对系统本身进行权限维持.

1

kerberos::golden /user:fake-user /domain:domain-name /sid:domain-sid /target:target-host /service:service-name /rc4:service-hash

注意目标服务只有添加了对应的 SPN 信息才能够使用银票.

系统服务.

1
2
3
4
5
6
7

WMI: HOST RPCSS
WinRM: HOST HTTP
Scheduled Tasks: HOST
Windows File Share: CIFS
PowerShell Remoting: HOST HTTP
LDAP operations including Mimikatz DCSync: LDAP
Windows Remote Server Administration Tools: RPCSS LDAP CIFS

常用第三方服务 ADSecurity.