Перейти к содержимому
AD Academy
К темам
Продвинутые атаки и современные средства защиты
Продвинутый15 мин.Обновлено: Тема 2 из 4

Golden Ticket и Silver Ticket

Подделка билетов Kerberos и её последствия.

Не прочитано

Что вы узнаете

  • Что такое Golden Ticket и Silver Ticket
  • Почему они так опасны
  • Как обнаружить и восстановиться

Перед этой темой стоит прочитать:AS-REP Roasting

— это поддельный , созданный с помощью хеша учётной записи krbtgt. Silver Ticket — это поддельный служебный билет (), созданный с помощью хеша самой учётной записи сервиса.

  • Golden — почти полный контроль над доменом, действителен даже если пароли пользователей были изменены.
  • Silver — более тихий: вообще не обращается к DC, поэтому его сложно обнаружить.
  • Восстановление: смена пароля krbtgt дважды, с интервалом в цикл Replication.
# Проверка возраста пароля krbtgt
Get-ADUser krbtgt -Properties PasswordLastSet

# Сброс krbtgt (дважды, с ожиданием между)
# Рекомендуется использовать официальный скрипт New-KrbtgtKeys.ps1
powershell
Архитектура и теория — под капотом

= поддельный , подписанный хэшем аккаунта krbtgt. Тот, кто обладает этим хэшем, может выдавать тикеты любому пользователю, включая несуществующих. Silver Ticket = поддельный для одной службы, подписанный паролем сервисной учетной записи, и вообще не проходит через DC.

  • Golden — полный контроль над доменом, действует даже после смены паролей пользователей.
  • Silver — более незаметный: нет трафика с DC, трудно обнаружить.
  • Поддельный PAC = поддельные группы внутри тикета.
Практическая настройка (PowerShell / GUI)
# Сброс krbtgt — дважды, с интервалом не менее 10 часов (цикл репликации)
Reset-ADServiceAccountPassword # или официальный скрипт New-KrbtgtKeys.ps1

# Проверка возраста пароля krbtgt
Get-ADUser krbtgt -Properties PasswordLastSet
powershell
Реальные сценарии в организации
  • После любого инцидента Compromise: сброс krbtgt является обязательным шагом, иначе злоумышленник останется в системе.
Диагностика и устранение неисправностей
  • Event 4769 для службы, которой не предшествовал 4768 () = подозрение на Silver Ticket.
  • Билет с аномальным сроком действия (10 лет) — по умолчанию для инструментов подделки.
  • Использование билета, не существующего в .
Глоссарий и быстрая командная строка
  • krbtgt — учетная запись, подписывающая все TGTs.
  • PAC — Privilege Attribute Certificate.
  • Tombstone для билета: 10 часов по умолчанию.

Проверь себя

Что необходимо для создания Golden Ticket?

Эта страница вам помогла?

НазадДалее