传递票证

对手可能会使用被盗的Kerberos票证“传递票证”在环境中横向移动，绕过正常的系统访问控制。传递票证（PtT）是一种使用Kerberos票证进行系统身份验证的方法，而无需访问账户的密码。Kerberos身份验证可以用作横向移动到远程系统的第一步。 在执行PtT时，通过操作系统凭据转储捕获有效账户的有效Kerberos票证。根据访问级别，可能会获得用户的服务票证或票证授予票证（TGT）。服务票证允许访问特定资源，而TGT可以用于从票证授予服务（TGS）请求服务票证，以访问用户有权限访问的任何资源。(引用: ADSecurity AD Kerberos Attacks)(引用: GentilKiwi Pass the Ticket) 可以为使用Kerberos作为身份验证机制的服务获取银票，并用于生成访问特定资源和托管该资源的系统的票证（例如，SharePoint）。(引用: ADSecurity AD Kerberos Attacks) 可以使用密钥分发服务账户KRBTGT账户NTLM哈希为域获取金票，这使得可以为Active Directory中的任何账户生成TGT。(引用: Campbell 2014) 对手还可以使用其他用户信息（例如被盗的密码哈希或AES密钥）创建有效的Kerberos票证。例如，“覆盖哈希”涉及使用NTLM密码哈希进行用户身份验证（即传递哈希），同时使用密码哈希创建有效的Kerberos票证。(引用: Stealthbits Overpass-the-Hash)