Ab Version 6.3 bietet Metasploit native Unterstuetzung fuer Kerberos – das Authentifizierungsprotokoll, das vor allem in Active Directory genutzt wird. Damit lassen sich Tickets anfordern, faelschen, umwandeln und pruefen; gewonnene Tickets werden als Loot in der Datenbank zwischengespeichert.
Das KDC-Modell
Das Key Distribution Center (KDC) besteht aus zwei Teilen:
- Authentication Server (AS) – authentifiziert den Client (ueber ein Geheimnis wie das Passwort oder per PKINIT mit Zertifikaten) und gibt bei Erfolg ein Ticket Granting Ticket (TGT) aus.
- Ticket Granting Server (TGS) – nimmt das TGT plus die gewuenschten Dienstdaten entgegen und gibt ein Service Ticket zurueck. In Kerberos-Werkzeugen, auch in Metasploit, heissen diese Service Tickets ebenfalls TGS.
Service Tickets dienen dem Zugriff auf Dienste wie SMB oder WinRM.
SID und RID
In Active Directory identifiziert ein Security Identifier (SID) Benutzer, Gruppen und Computer eindeutig, z. B. S-1-5-21-1266190811-2419310613-1856291569-500. Der letzte Teil ist der Relative Identifier (RID) – das Administrator-Konto hat den RID 500. Diese Angaben braucht man etwa beim Modul auxiliary/admin/kerberos/forge_ticket.
Tickets betrachten
Mit klist zeigt Metasploit den Kerberos-Ticket-Cache an. Angeforderte Tickets werden als MIT-Credential-Cache-Dateien im Loot gespeichert, sodass keine manuelle Verwaltung von Umgebungsvariablen noetig ist.