关于 conducting-pass-the-ticket-attack
用于开展获授权 Pass-the-Ticket 安全测试的技能，围绕 Kerberos 票据展开。内容说明票据提取与注入、横向移动验证及相关检测指标。
主要功能
- 01提取 Kerberos 票据
- 02将票据注入会话
- 03使用票据进行横向移动
- 04检查检测指标
- 05收集验证证据
适用场景
- 01在实验环境测试票据认证
- 02评估横向移动风险
- 03验证异常票据使用告警
- 04记录授权测试结果
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/conducting-pass-the-ticket-attack确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEassets/template.mdreferences/api-reference.mdstandards.mdworkflows.mdscripts/agent.pyprocess.py详细介绍
执行票据传递攻击
法律声明： 本技能仅用于经授权的安全测试和教育目的。未经授权对您不拥有或未获得书面授权进行测试的系统使用本技能是非法的，并可能违反计算机欺诈相关法律。
概述
票据传递（Pass-the-Ticket，PtT）是一种横向移动技术，它利用窃取的 Kerberos 票据（TGT 或 TGS）在不了解用户密码的情况下向服务进行身份验证。通过从被攻陷主机上的内存（LSASS）中提取 Kerberos 票据，攻击者可以将这些票据注入自己的会话，从而冒充票据所有者并以该用户身份访问资源。
何时使用
- 在进行涉及票据传递攻击的安全评估时
- 在针对相关安全事件遵循事件响应流程时
- 在执行计划内的安全测试或审计活动时
- 在通过动手测试验证安全控制措施时
前置条件
- 熟悉红队相关概念和工具
- 可访问测试或实验环境以安全执行
- Python 3.8+ 并安装所需依赖
- 开展任何测试活动所需的适当授权
MITRE ATT&CK 映射
- T1550.003 - 使用替代身份验证材料：票据传递
- T1003.001 - 操作系统凭证转储：LSASS 内存
- T1558 - 窃取或伪造 Kerberos 票据
- T1021.002 - 远程服务：SMB/Windows 管理共享
工作流
阶段 1：票据提取
- 获取目标工作站的本地管理员访问权限
- 使用 Mimikatz 或 Rubeus 从 LSASS 内存中转储 Kerberos 票据
- 以 .kirbi 格式（Mimikatz）或 base64（Rubeus）导出票据
- 识别高价值票据（域管理员 TGT、指向关键系统的服务票据）
阶段 2：票据注入
- 清除攻击者会话中现有的 Kerberos 票据
- 将窃取的票据导入/注入当前会话
- 验证票据已加载且有效
- 使用注入的票据访问目标资源
阶段 3：横向移动
- 使用窃取票据的身份访问远程系统
- 以被冒充用户的身份执行操作
- 从已访问系统中收集更多凭证
- 记录成功横向移动的证据
工具与资源
| 工具 | 用途 | 命令 |
|---|---|---|
| Mimikatz | 票据导出/导入 | sekurlsa::tickets /export, kerberos::ptt |
| Rubeus | 票据转储与注入 | dump, ptt, tgtdeleg |
| Impacket ticketConverter | 在格式之间转换 | ticketConverter.py ticket.kirbi ticket.ccache |
| Impacket psexec/smbexec | 使用票据进行远程执行 | KRB5CCNAME=ticket.ccache psexec.py |
检测指标
- 事件 ID 4768，且客户端地址异常
- 事件 ID 4769，来自意外主机的服务票据请求
- TGT 的使用来源 IP 与 TGT 签发对象不同
- 同一票据在不同工作站上出现多次身份验证
验证标准
- 从被攻陷主机提取 Kerberos 票据
- 将票据注入攻击者会话
- 使用窃取的票据演示横向移动
- 捕获证据以供报告
评论
支持 Markdown