mirror of
https://github.com/HackTricks-wiki/hacktricks.git
synced 2025-10-10 18:36:50 +00:00
24 lines
1.8 KiB
Markdown
24 lines
1.8 KiB
Markdown
{{#include ../../banners/hacktricks-training.md}}
|
|
|
|
### Archiviazione delle Credenziali in Linux
|
|
|
|
I sistemi Linux memorizzano le credenziali in tre tipi di cache, ovvero **File** (nella directory `/tmp`), **Kernel Keyrings** (un segmento speciale nel kernel Linux) e **Memoria del Processo** (per uso di un singolo processo). La variabile **default_ccache_name** in `/etc/krb5.conf` rivela il tipo di archiviazione in uso, impostandosi su `FILE:/tmp/krb5cc_%{uid}` se non specificato.
|
|
|
|
### Estrazione delle Credenziali
|
|
|
|
Il documento del 2017, [**Kerberos Credential Thievery (GNU/Linux)**](https://www.delaat.net/rp/2016-2017/p97/report.pdf), delinea metodi per estrarre credenziali da keyrings e processi, enfatizzando il meccanismo del keyring del kernel Linux per gestire e memorizzare le chiavi.
|
|
|
|
#### Panoramica dell'Estrazione del Keyring
|
|
|
|
La **chiamata di sistema keyctl**, introdotta nella versione del kernel 2.6.10, consente alle applicazioni in spazio utente di interagire con i keyrings del kernel. Le credenziali nei keyrings sono memorizzate come componenti (principale predefinito e credenziali), distinti dalle cache di file che includono anche un'intestazione. Lo **script hercules.sh** del documento dimostra come estrarre e ricostruire questi componenti in un file ccache utilizzabile per il furto di credenziali.
|
|
|
|
#### Strumento di Estrazione dei Ticket: Tickey
|
|
|
|
Basandosi sui principi dello **script hercules.sh**, lo strumento [**tickey**](https://github.com/TarlogicSecurity/tickey) è specificamente progettato per estrarre ticket dai keyrings, eseguito tramite `/tmp/tickey -i`.
|
|
|
|
## Riferimenti
|
|
|
|
- [**https://www.tarlogic.com/en/blog/how-to-attack-kerberos/**](https://www.tarlogic.com/en/blog/how-to-attack-kerberos/)
|
|
|
|
{{#include ../../banners/hacktricks-training.md}}
|