התקפת Pass-The-Ticket
חלק 2 - קבלת TGT עם Kekeo

תמלול ההרצאה: התקפת Pass-The-Ticket חלק 2 - קבלת TGT עם Kekeo

הטקסט המלא של הדקות הראשונות בהרצאה «התקפת Pass-The-Ticket חלק 2 - קבלת TGT עם Kekeo» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בסרטון זה אנחנו ממשיכים התקפת פס דה טיקט ובסרטון הזה אנחנו נגלה שיש שני סוגי TGT ויש מצב שיש לי את שניהם בו זמנית האמת אני חייב לבקש עוד TGT אם אני רוצה לתת זכות לשרת אחר להזדהות בשמי מול שרתים אחרים תחשבו שהיוזר הזה נמצא בבית או באיזושהי רשת שאסור לו לגשת לרשת אחרת בצורה ישירה אז אני יכול לקחת tgt מיוחד לתת אותו לאיזשהו שרת אחר והשרת אחר הזה

2. 00:36

   ילך בשמי ויבצע עימות. כדי שהדבר הזה יעבוד צריך לתת אישור גם ברמת היוזר וגם ברמת השרת. אנחנו עכשיו בדומיין קונטרולר נכנסים לאדוק Active Directory Users and Computers ואנחנו יכולים לראות פה נניח שבשרת ווב יש טאפ של delegation, האצלת סמכות ואני יכול להגיד לשרת ווב הזה שאני מאפשר לו לפעול בשמם של

3. 01:00

   היוזרים לבצע דיליגיישן לכל השירותים שקיימים או לציין לו ב-spn לאיזה שירות בדיוק אני מרשה לו זה נקרא קונסטריינט דיליגיישן דיליגיישן מותנה מוגבל או אנקונסטריינט דיליגיישן כדי שאנקונסטריינט דיליגיישן הזה יעבוד השרת הזה web1 הזה צריך לקבל מהיוזר את הtgt שלו ואז עם ה-TGT הזה הוא ילך

4. 01:26

   ויזדהה בשמו מול הסרוויסים, יקבל את הסרוויס טיקט וילך להזדהות. אז כדי שהסיפור הזה יעבוד במיקרוסופט עשו פה הרשאה מיוחדת ברמת הקומפיוטר שמותר לו להשתתף בסיפור הזה של דיליגייט וכברירת מחדל אסור לו וגם ברמה של יוזר נניח ביוזר דוד פה באקאונט בטאב המיוחד הזה יש V שאומר שהאקאונט הזה החשבון הזה של דוד היא

5. 01:52

   סנסיטיב מאוד מאוד רגיש ולא יכול לעבור delegation זה אומר שאם אני אשים את ה-v הזה אסור יהיה להנפיק tgt מיוחד בשביל להעביר לשרת אחר אבל ברירת מחדל שאין פה v מה זה אומר שאין פה v זה אומר שמותר להנפיק tgt מיוחד כדי להעביר את זה לשרת אחר אז עוד פעם כדי שה delegation הזה יעבוד כדי ששרת אחר יוכל להזדהות בשמו של דוד נניח צריך שלא יהיה פה את ה-v הזה שהוא לא יהיה

6. 02:21

   sensitive וכברירת מחדל אין אותו ורוב מנהלי הרשת לא יודעים מה זה ולא נוגעים בזה והדבר השני שצריך שבקומפיוטר יהיה פה בדיליגיישן את האופציה הזאת trust this computer for delegation אנחנו לא נוגעים בברירת מחדל אנחנו משאירים את זה שאין דיליגיישן למה אנחנו משאירים שאין דיליגיישן אני משאיר הכל כברירת מחדל כי אני לא באמת הולך להפעיל את כל המערכת הזאת של

7. 02:45

   שרת מזדהה בשמו של יוזר מול שרת אחר זה לא מעניין אותי כרגע אני עושה don't trust this computer for delegation כמו שזה בברירת מחדל למה? כי כל מה שמעניין אותי זה רק לגנוב את ה-TGT.

8. 02:58

   ואין לי בעיה לגנוב TGT, כי ה-V הזה פה למטה, שאף אחד לא יודע מה הוא אומר ואף אחד לא נוגע בזה.

9. 03:06

   Account is sensitive and cannot be delegated. אני אומר לך ש-99% ממנהלי הרשת לא יודעים מה זה ה-V הזה ולא נוגעים בזה. משאירים את זה כברירת מחדל.

10. 03:15

    השארתם את זה כברירת מחדל, אני פרצתי ליוזר הזה, אני יכול לקבל את ה-TGT כאילו אני רוצה להזדהות מול שרת אחר, כאילו אני רוצה לתת אותו לאיזשהו שרת אחר ברשת שילך בשמי הלאה, אבל בפועל אני אקח את ה-TGT הזה ואני אתחיל להזדהות בשמו של יוזר.

11. 03:32

    זה כל הטריק. טוב, בואו נעשה את זה. אנחנו מגיעים לתחנה, לתחנה של דאריט. הבעיה שלי שמימיקאץ לא יודע לעשות את הפעולה הזאת, אז אני סוגר מימיקאץ ואני פותח תוכנה אחרת שנקראת KKO וזה של אותו בחור.

12. 03:46

    זה אותו ג'נטל וויקי כתב גם תוכנה שדומה מאוד למימיקאץ, משתמשת באיזשהן ספריות חיצוניות שצריך לקנות אותן אם רוצים לשנות משהו בזה אז הוא עשה את זה כפרויקט נפרד אז אותו בחור כתב עוד כלי אני מוריד אותו וגם כאן יש קוד מקור שלו אז אין שום בעיה להוריד אותו ולשנות אותו אני מחלץ אותו פותח את הזיפ נכנס פנימה לx64 הנה יש לי את הקיקאו הזה שוב אני לא יכול לעשות run as אדמיניסטרטור

13. 04:16

    אין לי את האדמיניסטרטור אתם רואים run anyway לא יעזור לי כי הוא יבקש ממני שם וסיסמה. אני מדגיש לכם שאני עובד כיוזר פשוט.

14. 04:24

    ועכשיו גם כאן אני רואה את ה-carverous list הזה, הוא מאוד מאוד דומה ל-mimicats, אותו בחור עשה את זה פשוט, הוא השתמש בכלים מוכנים, אז זה נראה יותר יפה, פשוט מבחינת רישיון הוא היה חייב להפריד את זה לפרויקט נפרד.

15. 04:37

    ואנחנו רואים פה שוב שה-TGT, ה-encryption key שלו, ה-session key שלו 0.0.0, לעומת זאת נניח טיקט של סיפס, של שיתופים, לי את האינקריפשן קי שלו זאת אומרת ווינדוס מסתיר ממני רק את הסשן קי של טי ג'י טי והוא אומר אם אתה רוצה משהו מטי ג'י טי אם אתה רוצה משהו מדומיין קונטרולר תפנה אליי לווינדוס

16. 05:00

    ואני אארגן לך את הטיקט אתה לא צריך לדעת איך מאחורי הקלעים אני עושה את זה ומה הסיסמה הסודית מול דומיין קונטרולר טוב אז מה עושים אמרנו מבקשים עוד טיקט אחד זה נקרא דיליגיישן טיקט טי ג'י טי לדיליגיישן כאילו אני רוצה להציל סמכות לאיזשהו שירת אחר ללכת בשמי למקומות אחרים אז אני צריך את ה-TGT עם דיליגיישן הזה כי אני לא

17. 05:22

    יכול להעביר את ה-TGT הרגיל ואני מקבל פה את הקובץ והוא נשמר בקירבי קירבי זה הפורמט ששומר גם את הטיקט וגם את הסיסמה הסודית שקשורה אליו הנה הקובץ הזה פה בהארדיסק וזה דרך אגב קצת מסוכן שאנחנו שומרים קובץ קירבי כי יש הרבה מערכות התראה שיודעות לקפוץ על קובץ קירבי חדש בהארדיסק לכן עדיף לפלוט הכל למסך ולא באמת לשמור בארדיסק את הקובץ הזה במחשב

18. 05:49

    של הקורבן כדי שהאנטיווירוס לא יקפוץ עלינו. אז נעשה קופי לקובץ הזה. אנחנו כאקרים לוקחים את ה-TGT הזה, מגיעים ל-Windows 11, ושימו לב, אני כל הזמן הזה לא יודע את הסיסמה של user.

19. 06:02

    אני לא יודע מה היא, לא הצלחתי לפרוץ את ה-hash. אני פשוט נכנסתי לתחנה, הרצתי רק פקודה אחת, TGT delegation מתוך קיקאו הזה, קיבלתי את הקובץ ולקחתי אותו לתחנה של האקר.