search
HomeWalkthroughsCheat Sheet

windowsFrom Windows

hashtag
Pass the Ticket (PtT) Attack

Necesitamos un ticket Kerberos válido para llevar a cabo un ataque Pass the Ticket (PtT). Este puede ser:

  • Un Service Ticket (TGS - Ticket Granting Service), que permite el acceso a un recurso específico.

  • Un Ticket Granting Ticket (TGT), que se utiliza para solicitar tickets de servicio y así acceder a cualquier recurso para el cual el usuario tenga privilegios.

Antes de realizar un ataque Pass the Ticket (PtT), vamos a ver algunos métodos para obtener un ticket utilizando Mimikatz y Rubeus.

hashtag
Scenario

Imaginemos que estamos en un pentest y logramos hacer phishing a un usuario, obteniendo acceso a su equipo. Además, encontramos una forma de escalar privilegios y ahora contamos con permisos de administrador local en esa máquina. Con este nivel de acceso, podemos explorar varias formas de obtener tickets Kerberos existentes y también crear nuevos tickets. Veamos algunas de las opciones:

hashtag
Mimikatz - Export Tickets

.\mimikatz.exe "privilege::debug" "sekurlsa::tickets /export" exit
c:\tools> mimikatz.exe

  .#####.   mimikatz 2.2.0 (x64) #19041 Aug  6 2020 14:53:43
 .## ^ ##.  "A La Vie, A L'Amour" - (oe.eo)
 ## / \ ##  /*** Benjamin DELPY `gentilkiwi` ( benjamin@gentilkiwi.com )
 ## \ / ##       > http://blog.gentilkiwi.com/mimikatz
 '## v ##'       Vincent LE TOUX             ( vincent.letoux@gmail.com )
  '#####'        > http://pingcastle.com / http://mysmartlogon.com   ***/

mimikatz # privilege::debug
Privilege '20' OK

mimikatz # sekurlsa::tickets /export

Authentication Id : 0 ; 329278 (00000000:0005063e)
Session           : Network from 0
User Name         : DC01$
Domain            : HTB
Logon Server      : (null)
Logon Time        : 7/12/2022 9:39:55 AM
SID               : S-1-5-18

         * Username : DC01$
         * Domain   : inlanefreight.htb
         * Password : (null)
         
        Group 0 - Ticket Granting Service

        Group 1 - Client Ticket ?
         [00000000]
           Start/End/MaxRenew: 7/12/2022 9:39:55 AM ; 7/12/2022 7:39:54 PM ;
           Service Name (02) : LDAP ; DC01.inlanefreight.htb ; inlanefreight.htb ; @ inlanefreight.htb
           Target Name  (--) : @ inlanefreight.htb
           Client Name  (01) : DC01$ ; @ inlanefreight.htb
           Flags 40a50000    : name_canonicalize ; ok_as_delegate ; pre_authent ; renewable ; forwardable ;
           Session Key       : 0x00000012 - aes256_hmac
             31cfa427a01e10f6e09492f2e8ddf7f74c79a5ef6b725569e19d614a35a69c07
           Ticket            : 0x00000012 - aes256_hmac       ; kvno = 5        [...]
           * Saved to file [0;5063e]-1-0-40a50000-DC01$@LDAP-DC01.inlanefreight.htb.kirbi !

        Group 2 - Ticket Granting Ticket

<SNIP>

mimikatz # exit
Bye!
c:\tools> dir *.kirbi

Directory: c:\tools

Mode                LastWriteTime         Length Name
----                -------------         ------ ----

<SNIP>

-a----        7/12/2022   9:44 AM           1445 [0;6c680]-2-0-40e10000-plaintext@krbtgt-inlanefreight.htb.kirbi
-a----        7/12/2022   9:44 AM           1565 [0;3e7]-0-2-40a50000-DC01$@cifs-DC01.inlanefreight.htb.kirbi

<SNIP>

Los tickets que terminan con $ corresponden a cuentas de equipo, ya que estas también necesitan un ticket para interactuar con Active Directory. Los tickets de usuario llevan el nombre del usuario, seguido de una @ que separa el nombre del servicio y el dominio. Por ejemplo: [randomvalue]-username@service-domain.local.kirbi.

circle-info

Nota: Si encontramos un ticket con el servicio krbtgt, corresponde al TGT de esa cuenta.

circle-exclamation

Nota: Al momento de escribir esto, usando Mimikatz versión 2.2.0 20220919, si ejecutamos sekurlsa::ekeys, se muestran todos los hashes como des_cbc_md4 en algunas versiones de Windows 10. Los tickets exportados con sekurlsa::tickets /export pueden no funcionar correctamente debido al cifrado incorrecto. Aun así, es posible usar esos hashes para generar nuevos tickets o utilizar Rubeus para exportar los tickets en formato base64.

hashtag
Rubeus - Export Tickets

También podemos exportar tickets usando Rubeus con la opción dump. Esta opción permite volcar todos los tickets (si tenemos privilegios de administrador local). A diferencia de Mimikatz, Rubeus dump no genera archivos, sino que imprime el ticket directamente en formato base64. Podemos añadir la opción /nowrap para facilitar el copiado y pegado.

circle-exclamation

Nota: Para recolectar todos los tickets, necesitamos ejecutar Mimikatz o Rubeus con privilegios de administrador.

Este es un método común para recuperar tickets desde una máquina. Una de las ventajas de abusar de los tickets Kerberos es que también podemos forjar nuestros propios tickets.

Veamos cómo podemos hacerlo utilizando la técnica OverPass the Hash o también conocida como Pass the Key.

hashtag
Pass the Key or OverPass the Hash

La técnica tradicional de Pass the Hash (PtH) consiste en reutilizar un hash de contraseña NTLM y no interactúa con Kerberos. En cambio, la técnica Pass the Key o OverPass the Hash convierte un hash o clave (como rc4_hmac, aes256_cts_hmac_sha1, etc.) de un usuario unido al dominio en un Ticket-Granting-Ticket (TGT) completo.

Esta técnica fue desarrollada por Benjamin Delpy y Skip Duckwall en su presentación Abusing Microsoft Kerberos - Sorry you guys don't get it. Más adelante, Will Schroeder adaptó ese trabajo y creó la herramienta Rubeus.

Para forjar nuestros propios tickets, necesitamos tener el hash del usuario. Podemos usar Mimikatz para volcar todas las claves de cifrado Kerberos de los usuarios con el módulo:

Este módulo enumerará todos los tipos de claves disponibles para el paquete Kerberos.

hashtag
Mimikatz - Extract Kerberos Keys

Ahora que ya tenemos acceso a las claves AES256_HMAC y RC4_HMAC, podemos llevar a cabo el ataque OverPass the Hash o Pass the Key utilizando Mimikatz o Rubeus.

hashtag
Mimikatz - Pass the Key or OverPass the Hash

Esto generará una nueva ventana de cmd.exe que podremos usar para solicitar acceso a cualquier servicio que queramos, ya en el contexto del usuario objetivo.

Para forjar un ticket usando Rubeus, podemos utilizar el módulo asktgt junto con el nombre de usuario, el dominio y el hash correspondiente, que puede ser /rc4, /aes128, /aes256 o /des.

hashtag
Rubeus - Pass the Key or OverPass the Hash

En el siguiente ejemplo usamos el hash aes256 obtenido previamente con Mimikatz usando sekurlsa::ekeys:

circle-info

Nota: Mimikatz requiere privilegios de administrador para ejecutar ataques Pass the Key / OverPass the Hash, mientras que Rubeus no los necesita.

Si queremos profundizar en la diferencia entre sekurlsa::pth de Mimikatz y asktgt de Rubeus, podemos consultar la documentación oficial de Rubeus en el apartado Example for OverPass the Hasharrow-up-right.

circle-info

Nota: En dominios modernos de Windows (nivel funcional 2008 en adelante), el cifrado por defecto en los intercambios Kerberos es AES. Si usamos un hash rc4_hmac (NTLM) en lugar de una clave aes256_cts_hmac_sha1 o aes128, es posible que se detecte como un intento de "encryption downgrade" (reducción del nivel de cifrado).

hashtag
Pass the Ticket (PtT)

Ahora que ya tenemos algunos tickets Kerberos, podemos usarlos para movernos lateralmente dentro del entorno.

Con Rubeus, realizamos un ataque OverPass the Hash y recuperamos el ticket en formato base64. Sin embargo, en lugar de simplemente mostrar el ticket, también podemos usar la opción /ptt para inyectarlo directamente (ya sea un TGT o un TGS) en la sesión de inicio actual.

Esto nos permite actuar como el usuario comprometido y acceder a recursos dentro del dominio sin necesidad de autenticarnos con su contraseña.

hashtag
Rubeus - Pass The Ticket

Hay que notar que ahora aparece el mensaje Ticket successfully imported!, lo que indica que el ticket se ha inyectado correctamente en la sesión actual.

Otra forma de hacerlo es importar el ticket manualmente desde el disco, usando un archivo .kirbi previamente exportado.

hashtag
Rubeus - Pass the Ticket - Base64Format

hashtag
Convert .kirbi to Base64 Format

También podemos usar la salida en base64 generada por Rubeus, o convertir un archivo .kirbi a base64, para llevar a cabo un ataque Pass the Ticket.

circle-exclamation

Nota: Cambiar [0;6c680]-2-0-40e10000-plaintext@krbtgt-inlanefreight.htb.kirbi por el ticket correspondiente.

hashtag
Rubeus - Pass the Ticket

Con Rubeus, también podemos realizar un ataque Pass the Ticket proporcionando directamente la cadena en base64 en lugar del nombre del archivo .kirbi.

hashtag
Mimikatz - Pass The Ticket

Finalmente, también podemos realizar el ataque Pass the Ticket utilizando el módulo kerberos::ptt de Mimikatz, importando directamente el archivo .kirbi que contiene el ticket que queremos inyectar.

circle-info

Nota: modificar C:\Users\plaintext\Desktop\Mimikatz\[0;6c680]-2-0-40e10000-plaintext@krbtgt-inlanefreight.htb.kirbi por la ubicación donde se encuentre el .kirbi.

circle-info

Nota: En lugar de abrir mimikatz.exe desde una ventana de cmd.exe y luego salir para que el ticket quede disponible en esa consola, podemos usar el módulo misc de Mimikatz para lanzar una nueva ventana de símbolo del sistema con el ticket ya inyectado, usando el siguiente comando:

Esto abrirá una nueva consola donde el ticket estará activo, permitiéndonos operar directamente en el contexto del usuario comprometido sin tener que reiniciar o cerrar sesiones. Muy útil para mantener el flujo sin complicaciones

hashtag
Pass the Ticket with PowerShell Remoting (Windows)

PowerShell Remoting nos permite ejecutar scripts o comandos en un equipo remoto. Los administradores suelen usarlo para gestionar equipos en la red.

Al habilitar PowerShell Remoting, se crean listeners tanto HTTP como HTTPS. El listener se ejecuta en el puerto estándar TCP/5985 para HTTP y TCP/5986 para HTTPS.

Para crear una sesión remota de PowerShell en otro equipo, debemos tener permisos de administrador, ser miembros del grupo Remote Management Users, o tener permisos explícitos de PowerShell Remoting en la configuración de la sesión.

Supongamos que encontramos una cuenta de usuario que no tiene privilegios de administrador en el equipo remoto, pero sí es miembro del grupo Remote Management Users. En ese caso, podemos usar PowerShell Remoting para conectarnos a ese equipo y ejecutar comandos.

hashtag
Mimikatz - PowerShell Remoting with Pass the Ticket

Para usar PowerShell Remoting junto con Pass the Ticket, podemos usar Mimikatz para importar nuestro ticket Kerberos y luego abrir una consola de PowerShell para conectarnos a la máquina objetivo.

Primero, abrimos una nueva ventana de cmd.exe y ejecutamos mimikatz.exe. Luego importamos el ticket que recolectamos usando:

Una vez que el ticket esté importado en la sesión de cmd.exe, lanzamos una consola de PowerShell desde esa misma ventana con powershell.

Finalmente, usamos el comando:

Esto nos permite conectarnos a la máquina remota aprovechando el ticket Kerberos inyectado, sin necesidad de ingresar credenciales.

Mimikatz - Pass the Ticket for Lateral Movement

circle-info

Nota: modificar C:\Users\Administrator.WIN01\Desktop\[0;1812a]-2-0-40e10000-john@krbtgt-INLANEFREIGHT.HTB.kirbi por la ubicación donde se encuentre el .kirbi.

hashtag
Rubeus - PowerShell Remoting with Pass the Ticket

Rubeus tiene la opción createnetonly, que crea un proceso o sesión de inicio de sesión "sacrificial" (tipo de logon 9). Este proceso está oculto por defecto, pero podemos usar el flag /show para mostrarlo. El resultado es equivalente a ejecutar runas /netonly.

Esto evita que se sobrescriban o eliminen los TGTs existentes de la sesión de inicio actual.

Create a Sacrificial Process with Rubeus

El comando anterior abrirá una nueva ventana de cmd. Desde esa ventana, podemos ejecutar Rubeus para solicitar un nuevo TGT usando la opción /ptt, lo que inyectará el ticket en la sesión actual.

Una vez hecho esto, ya podremos conectarnos al Domain Controller usando PowerShell Remoting dentro de esa misma sesión.

Rubeus - Pass the Ticket for Lateral Movement

AnteriorPass the Ticket (PtT)SiguienteFrom Linux

Última actualización

¿Te fue útil?