域渗透-黄金票据

首先先来解释一下域环境中Administrator和DC账户的区别，以下是来自于文心一言的解释

Administrator账户：本地计算机或域成员的最高权限账户，主要用于单台计算机的管理和维护，可以登录到域成员计算机。
DC账户（域管理员）：域控制器上的账户，对域控制器和整个域拥有完全控制权，主要用于整个域的集中管理和维护。

也就是说Administrator账户是域环境中的最高权限用户账户，而DC账户只是域控制器上的机器用户，而域控制器上可以有几个管理员用户，可以对域成员，域主机进行修改。而Administrator恰好就是域控制器上的管理员用户，那么如果拿下来域控中的一台主机，而这台主机刚好使用的Administrator管理员用户登录的，那么直接导出当前用户票据，直接ptt/pth，可以拿下整个域主机权限，权限高就可以为所欲为吗？是的，权限高就可以为所欲为
由于DC权限限制，只有域管理员成员，才可以登录DC，那么一般的域渗透路径就是，找到域控，打下域控，使用域控管理员导出票据，对域内其他主机进行横向。

这里使用vulnstrsck 1进行演示
根据给出的文档来看，拿到主机权限后，先进行提权，再使用ms17-010对域内另外一台主机进行攻击，攻击域控则是使用ms14-068。
但实际上跳板机是以administrator用户登录的，提权之后，提取票据直接进行ptt/pth即可。
这里不做演示，只做后续的黄金票据利用，这里演示两种方法，mimikatz以及impacket-ticketer,当然了impacket-ticketer这玩意还是得mimikatz配合导入内存中，

由于这里使用的是vulnstrsck 1靶场，首先需要在域控上创建一个普通用户这里使用test，自定义密码后，在win7跳板机上使用test用户登录即可

由于黄金票据使用时krbtgt用户账户hash，所以直接在域控上导出票据，域控使用的是liukaifeng01用户登录，该用户也是域控管理员，所以可以直接导出即可,

mimikatz.exe "privilege:debug" "lsadump::lsa /patch" exit >1.txt

在1.txt中即可看到krbtgt hash

那么回到使用test普通用户登录的跳板机win7上，这里的owa.god.org是域控地址

导入黄金票据

 mimikatz.exe "kerberos::golden /user:administrator /domain:god.org /sid:S-1-5-21-2952760202-1353902439-2381784089 /krbtgt:58e91a5ac358d86513ab224312314061 /ptt" exit

再次访问，即可成功访问的域控目录

impacket-ticketer
首先用impacket-ticketer伪造黄金票据

会在当前目录下生成administrator.ccache文件，但是该文件格式，mimikatz无法利用

所以还需要impacket-ticketConverter转换为kribi格式文件，mimikatz才能导入内存