Golden Ticket
Last updated
Last updated
Un ataque Golden Ticket consiste en la creación de un Ticket Granting Ticket (TGT) legítimo haciéndose pasar por cualquier usuario mediante el uso del hash NTLM de la cuenta krbtgt de Active Directory (AD) . Esta técnica es particularmente ventajosa porque permite el acceso a cualquier servicio o máquina dentro del dominio como usuario suplantado. Es fundamental recordar que las credenciales de la cuenta krbtgt nunca se actualizan automáticamente .
Para adquirir el hash NTLM de la cuenta krbtgt, se pueden emplear varios métodos. Se puede extraer del proceso del Servicio del subsistema de la autoridad de seguridad local (LSASS) o del archivo de Servicios de directorio NT (NTDS.dit) ubicado en cualquier controlador de dominio (DC) dentro del dominio. Además, ejecutar un ataque DCsync es otra estrategia para obtener este hash NTLM, que se puede realizar utilizando herramientas como el módulo lsadump::dcsync de Mimikatz o el script secretsdump.py de Impacket. Es importante subrayar que para realizar estas operaciones, normalmente se requieren privilegios de administrador de dominio o un nivel similar de acceso .
Aunque el hash NTLM sirve como un método viable para este propósito, se recomienda falsificar tickets utilizando las claves Kerberos del Estándar de cifrado avanzado (AES) (AES128 y AES256) por razones de seguridad operativa.
Para Windows primero tenemos que sacar la información del ticket, lo podemos sacar con el siguiente comando de mimikatz: lsdump::lsa /inject /name:krbtgtx
Tanto la info de sid, NTLM, user, ticket la sacamos del archivo sacado de arriba:
Si hemos efectuado un Golden Attack y queremos tener persistencia absoluta en el DC, podemos realizar el siguiente proceso:
Primero creamos el ticket:
Nos lo pasamos a nuestra máquina, que seguramente ya lo tenemos si hemos explotado el Golden
Esto nos creará un archivo "Administrador.ccache"
Exportar una variable de entorno llamada "KRB5CCNAME" export KRB5CCNAME="/File/To/Golden_Tickets/Administrador.ccache"
Al final lo que estamos haciendo arriba es utilizar el ticket golden para iniciar sesión al DC.
