T1550.003: 传递票据

摘要

攻击者可能使用被盗的 Kerberos 票据“传递票据”，以在环境中横向移动，绕过正常的系统访问控制。传递票据（PtT）是一种在无法访问账户密码的情况下使用 Kerberos 票据向系统进行身份验证的方法。Kerberos 身份验证可用作向远程系统横向移动的第一步。 在执行 PtT 时，[有效账户](https://attack.mitre.org/techniques/T1078)的有效 Kerberos 票据由[操作系统凭据转储](https://attack.mitre.org/techniques/T1003)捕获。根据访问级别，可以获取用户的服务票据或票据授予票据（TGT）。服务票据允许访问特定资源，而 TGT 可用于从票据授予服务（TGS）请求服务票据，以访问用户有权访问的任何资源。(Citation: ADSecurity AD Kerberos Attacks)(Citation: GentilKiwi Pass the Ticket) 可以为使用 Kerberos 作为身份验证机制的服务获取[白银票据](https://attack.mitre.org/techniques/T1558/002)，并使用它生成票据以访问该特定资源以及托管该资源的系统（例如 SharePoint）。(Citation: ADSecurity AD Kerberos Attacks) 可以使用密钥分发服务账户 KRBTGT 账户的 NTLM 哈希为域获取[黄金票据](https://attack.mitre.org/techniques/T1558/001)，这能够为 Active Directory 中的任何账户生成 TGT。(Citation: Campbell 2014) 攻击者还可能使用其他用户信息（如被盗密码哈希或 AES 密钥）创建有效的 Kerberos 票据。例如，“过度传递哈希”涉及使用 NTLM 密码哈希以用户身份进行身份验证（即[传递哈希](https://attack.mitre.org/techniques/T1550/002)），同时也使用密码哈希创建有效的 Kerberos 票据。(Citation: Stealthbits Overpass-the-Hash)