kerberos 票据_黄金票据（Golden Ticket）攻击

渗透攻击红队

一个专注于红队攻击的公众号

大家好，这里是 渗透攻击红队 的第 37 篇文章，本公众号会记录一些我学习红队攻击的复现笔记(由浅到深)，不出意外每天一更

黄金票据

在渗透测试过程中，攻击者往往会给自己留下多条进入内网的通道，如果我们忘记将 krbtgt 账号重置，攻击者就能快速重新拿到域控制器的权限。

假设域内存在一个 SID 为 502 的域账号 krbtgt 。krbtgt 是 KDC 服务使用的账号，属于 Domain Admins 组，在域环境中，每个用户账号票据都是由 krbtgt 生成的，如果攻击者拿到了 krbtgt 的 NTLM Hash 或者 AES-256 值，就可以伪造域内任意用户的身份，并以该用户的身份访问其他服务。

在使用黄金票据(Golden Ticket)攻击时，需要以下信息：

• 需要伪造的域管理员用户名(一般是域管账户)

• 完整的域名

• 域krbtgt  SID(就是域成员krbtgt SID去掉最后的)

• krbtgt 的 NTLM Hash 或 AES-256 值

Golden Ticket

实验环境

域控制器：

• IP：192.168.3.21

• 域名：god.org

• 用户名：administrator

• 密码：Admin12345

域成员服务器：

• IP：192.168.3.25

• 域名：god.org

• 用户名：mary

• 密码：admin!@#45

黄金票据(Golden Ticket)攻击实践

1、导出 krbtgt 的 NTLM Hash

使用 mimikatz 导出 krbtgt 的 NTLM Hash：(使用域管权限)