内网靶机-抓取票据

前言

靶机是红日安全团队的靶机（一）

网络拓扑如下，和很久前的另一篇文章中的一致：

 

Win2008R2（DC）	IP：192.168.52.138
Win2003	IP：192.168.52.141
Win7	IP：192.168.147.142（外） IP：192.168.52.143（内）
Kali Linux	IP：192.168.147.133

抓票据过程

 前提：假设我们已经进行了提权，能访问域控

在（Win2008R2）域控上使用mimikatz进行提取票据

黄金票据（Golden Ticket）是有效的 TGT(TicketGranting Ticket)票据，是由 kerberos账户（krbtgt）加密的。krbtgt账户在先前的委派SPN文章中出现过，它是域中提供服务的账户（密钥发行中心服务账户）。得到黄金票据就能 “欺骗”当前域的管理权限。

黄金票据要求我们需要以下参数：

域名称、域SID、域krbtgt的hash

1.导出krbtgt的hash

首先确保所使用的mimikatz中lsadump命令包含dcsync模块

lsadump::dcsync /domain owa /user:krbtgt

此时可以看见
域名为：krbtgt
域SID为：S-1-5-21-2952760202-1353902439-2381784089-502
域的hash：58e91a5ac358d86513ab224312314061

验证hash：

查看当前登陆域用户的SID，则直接：

2.黄金票据的利用

切换到域内另外一台主机（Win7）

查看登陆域用户名和SID：

在Win7上使用mimikatz，用黄金票据获得域控上的权限

 

查看票据为krbtgt

其实上面使用票据时，用户名称是可以随意伪造的，不一定是krbtgt

3.另一种利用方法

首先先存为票据krbtgt.kiribi

再通过kerberos::ppt使用，同理查看当前票据为krbtgt

使用dir命令访问域控上的C盘文件

dir \owa.god.orgc$

注意这里学长曾经强调过‘\’是访问当前域的意思

记得Win7这里开了防火墙，所以会出现这样的提示，使用同是在域中的Win2003访问不会报警告

参考：票据传递之黄金票据

参考：kerberos协议探索之票据篇