HackTricks

Linuxにおける資格情報の保存

Linuxシステムは、ファイル（/tmpディレクトリ内）、カーネルキーリング（Linuxカーネル内の特別なセグメント）、およびプロセスメモリ（単一プロセス用）の3種類のキャッシュに資格情報を保存します。/etc/krb5.conf内のdefault_ccache_name変数は、使用中の保存タイプを示し、指定されていない場合はFILE:/tmp/krb5cc_%{uid}がデフォルトとなります。

資格情報の抽出

2017年の論文、Kerberos Credential Thievery (GNU/Linux)は、キーリングやプロセスから資格情報を抽出する方法を概説しており、キーの管理と保存のためのLinuxカーネルのキーリングメカニズムを強調しています。

キーリング抽出の概要

keyctlシステムコールは、カーネルバージョン2.6.10で導入され、ユーザースペースアプリケーションがカーネルキーリングと対話することを可能にします。キーリング内の資格情報は、ファイルccacheに含まれるヘッダーとは異なり、コンポーネント（デフォルトのプリンシパルと資格情報）として保存されます。論文のhercules.shスクリプトは、これらのコンポーネントを抽出し、資格情報窃盗のために使用可能なファイルccacheに再構築する方法を示しています。

チケット抽出ツール: Tickey

hercules.shスクリプトの原則に基づいて、tickeyツールは、キーリングからチケットを抽出するために特別に設計されており、/tmp/tickey -iを介して実行されます。

参考文献

• https://www.tarlogic.com/en/blog/how-to-attack-kerberos/