T1558.005: Ccache 文件

摘要

攻击者可能尝试窃取存储在凭据缓存文件（或 ccache）中的 Kerberos 票据。这些文件用于短期存储用户的活动会话凭据。ccache 文件在用户身份验证时创建，允许访问多个服务而无需用户重新输入凭据。 <code>/etc/krb5.conf</code> 配置文件和 <code>KRB5CCNAME</code> 环境变量用于设置 ccache 条目的存储位置。在 Linux 上，凭据通常存储在 `/tmp` 目录中，命名格式为 `krb5cc_%UID%` 或 `krb5.ccache`。在 macOS 上，ccache 条目默认存储在内存中，命名方案为 `API:{uuid}`。通常，用户使用 <code>kinit</code>（为主体获取票据授予票据（TGT））、<code>klist</code>（列出凭据缓存中当前持有的已获取票据）以及其他内置二进制文件来与票据存储交互。(Citation: Kerberos GNU/Linux)(Citation: Binary Defense Kerberos Linux) 攻击者可以从磁盘上存储的 ccache 文件收集票据，并在不知道其密码的情况下以当前用户身份进行身份验证，以执行[传递票据](https://attack.mitre.org/techniques/T1550/003)攻击。攻击者还可以使用这些票据冒充具有提升权限的合法用户以执行[权限提升](https://attack.mitre.org/tactics/TA0004)。诸如 Kekeo 之类的工具也可以被攻击者用于将 ccache 文件转换为 Windows 格式以进行进一步的[横向移动](https://attack.mitre.org/tactics/TA0008)。在 macOS 上，攻击者可能使用开源工具或 Kerberos 框架通过较低级别的 API 与 ccache 文件交互并提取 TGT 或服务票据。(Citation: SpectorOps Bifrost Kerberos macOS 2019)(Citation: Linux Kerberos Tickets)(Citation: Brining MimiKatz to Unix)(Citation: Kekeo)