Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- kerberos [2025/03/29 20:11]
jango [Authentifizierung]
+++ kerberos [2025/04/06 11:07] (aktuell)
jango [Links]
@@ Zeile 33: / Zeile 33: @@
-=====Ticket Granting Ticket=====
+=====Authentication Ticket (Ticket Granting Ticket)=====
 Ein Ticket Granting Ticket (TGT) ist ein spezielles Kerberos-Ticket, das als Zugangsschlüssel für weitere Kerberos-Tickets dient. Sozusagen das Haupt-Ticket. Wenn du dich bei einem Kerberos-geschützten System anmeldest (z. B. Windows-Domäne mit Active Directory), sendet dein Computer deine Login-Daten (verschlüsselt) an den Key Distribution Center (KDC). Der KDC überprüft die Identität und stellt dir ein TGT aus.
@@ Zeile 75: / Zeile 75: @@
 # Zeige Ticket Verwendung
-klist sessions
+C:\> klist sessions
+[0] Sitzung 1 0:0x26d192ee D2000\admin_zarat Kerberos:CachedInteractive
+[1] Sitzung 0 0:0x136c4 \ NTLM:(0)
+C:\> klist sessions -li 0x136c4
+Aktuelle Anmelde-ID ist 0:0x26d192ee
+Ziel-Anmelde-ID ist 0:0x136c4
+Sitzung 0 0:0x136c4 \ NTLM:(0)
 </code>
+=====Sicherheit=====
+====Krbtgt====
+In jeder [[Active Directory]] Domäne gibt es ein spezielles, verstecktes Benutzerkonto namens krbtgt. Dieses Konto hat kein Login, aber es besitzt ein Passwort (genau wie jedes andere Konto). Aus diesem Passwort wird ein geheimer Schlüssel erzeugt: der KRBTGT-Key. Dieser Schlüssel wird von den Domänencontrollern verwendet, um:
+  * Ticket Granting Tickets (TGTs) zu signieren.
+  * Die Gültigkeit eingehender TGTs zu prüfen.
+Ohne diesen Key funktioniert Kerberos in der Domäne nicht mehr.
+====Angriffsmöglichkeiten====
+  * Pass-the-Ticket (PtT): Angreifer stiehlt ein gültiges Ticket Granting Ticket (TGT) oder Service Ticket (TGS) aus dem Speicher. Das Ticket kann auf einem anderen System wiederverwendet werden (z. B. mit Mimikatz oder Rubeus), solange es gültig ist.
+  * Overpass-the-Hash (Pass-the-Key): Angreifer hat NTLM-Hash → erstellt daraus ein Kerberos-TGT (z. B. mit Mimikatz). Funktioniert also auch "rückwärts", wenn man an den Hash kommt.
+  * Ticket Forging (Golden Ticket / Silver Ticket): Wenn Angreifer den KRBTGT-Key eines DC bekommt, kann er beliebige TGTs (Golden Ticket) oder TGS (Silver Ticket) ausstellen.
 =====Links=====

MBCDN

Benutzer-Werkzeuge

Webseiten-Werkzeuge

Unterschiede

Seiten-Werkzeuge