conducting-pass-the-ticket-attack
Ajuda seu agente a se mover por redes usando credenciais roubadas. É útil para testar a segurança de redes ou para acesso autorizado após uma invasão.
O que ela faz
Esta ferramenta ajuda a testar a segurança de redes. Ela simula um ataque onde um invasor rouba 'credenciais de acesso' (chamadas tickets Kerberos) de um computador e as usa para entrar em outros computadores na rede, fingindo ser outra pessoa, sem precisar da senha.
Quando usar
- ✓Ao testar a segurança de uma rede com permissão.
- ✓Ao investigar um incidente de segurança.
- ✓Ao verificar se os sistemas de segurança estão funcionando corretamente.
Exemplo do que pedir para a IA
“Simule um ataque de roubo e uso de tickets Kerberos para acessar um servidor.”
Quer saber mais? Abra as seções abaixo.
Como usar
O jeito mais fácil: copie a mensagem abaixo e cole no Claude, ChatGPT, Cursor ou outra IA. Ela lê a skill e segue as instruções.
Link da skill
Mensagem pronta para colar
Como funciona
A ferramenta primeiro copia os tickets de acesso de um computador comprometido. Depois, ela insere esses tickets em outra sessão para que você possa agir como o dono original do ticket e acessar recursos na rede.
Instalação
Jeito mais fácil: copie o link da skill e cole no Claude, ChatGPT ou Cursor pedindo para seguir as instruções.
No terminal (Claude Code, Codex, Cursor), na pasta do projeto:
npx skills add mukul975/Anthropic-Cybersecurity-Skills --skill conducting-pass-the-ticket-attackOu baixe só o arquivo:
curl -L https://raw.githubusercontent.com/mukul975/Anthropic-Cybersecurity-Skills/main/skills/conducting-pass-the-ticket-attack/SKILL.md -o SKILL.mdConteúdo técnico (SKILL.md)
Tradução do texto original do autor no GitHub. Os comandos e códigos estão como no original.
Conduzindo Ataque Pass-the-Ticket
Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude de computador.
Visão Geral
Pass-the-Ticket (PtT) é uma técnica de movimento lateral que utiliza tickets Kerberos roubados (TGT ou TGS) para autenticar em serviços sem conhecer a senha do usuário. Ao extrair tickets Kerberos da memória (LSASS) em um host comprometido, um atacante pode injetar esses tickets em sua própria sessão para se passar pelo proprietário do ticket e acessar recursos como esse usuário.
Quando Usar
- Ao conduzir avaliações de segurança que envolvam a realização de ataque pass-the-ticket
- Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
- Ao realizar testes de segurança ou atividades de auditoria agendadas
- Ao validar controles de segurança por meio de testes práticos
Pré-requisitos
- Familiaridade com conceitos e ferramentas de red teaming
- Acesso a um ambiente de teste ou laboratório para execução segura
- Python 3.8+ com as dependências necessárias instaladas
- Autorização apropriada para quaisquer atividades de teste
Mapeamento MITRE ATT&CK
- T1550.003 - Use Alternate Authentication Material: Pass the Ticket
- T1003.001 - OS Credential Dumping: LSASS Memory
- T1558 - Steal or Forge Kerberos Tickets
- T1021.002 - Remote Services: SMB/Windows Admin Shares
Fluxo de Trabalho
Fase 1: Extração de Ticket
- Obtenha acesso de administrador local na estação de trabalho alvo
- Despeje tickets Kerberos da memória LSASS usando Mimikatz ou Rubeus
- Exporte tickets no formato .kirbi (Mimikatz) ou base64 (Rubeus)
- Identifique tickets de alto valor (TGTs de Administrador de Domínio, tickets de serviço para sistemas críticos)
Fase 2: Injeção de Ticket
- Limpe os tickets Kerberos existentes da sessão do atacante
- Importe/injete o ticket roubado na sessão atual
- Verifique se o ticket foi carregado e é válido
- Acesse recursos alvo usando o ticket injetado
Fase 3: Movimento Lateral
- Acesse sistemas remotos usando a identidade do ticket roubado
- Execute ações como o usuário impersonado
- Colete credenciais adicionais dos sistemas acessados
- Documente evidências de movimento lateral bem-sucedido
Ferramentas e Recursos
| Ferramenta | Propósito | Comando |
|---|---|---|
| Mimikatz | Exportação/importação de ticket | sekurlsa::tickets /export, kerberos::ptt |
| Rubeus | Despejo e injeção de ticket | dump, ptt, tgtdeleg |
| Impacket ticketConverter | Converter entre formatos | ticketConverter.py ticket.kirbi ticket.ccache |
| Impacket psexec/smbexec | Execução remota com ticket | KRB5CCNAME=ticket.ccache psexec.py |
Indicadores de Detecção
- Event ID 4768 com endereços de cliente incomuns
- Event ID 4769 solicitações de ticket de serviço de hosts inesperados
- Uso de TGT de um IP diferente do qual o TGT foi emitido
- Múltiplas autenticações do mesmo ticket em diferentes estações de trabalho
Critérios de Validação
- Tickets Kerberos extraídos do host comprometido
- Tickets injetados na sessão do atacante
- Movimento lateral demonstrado usando tickets roubados
- Evidências capturadas para relatórios
Perguntas frequentes
O que são tickets Kerberos?
São como crachás digitais que permitem que você acesse diferentes sistemas em uma rede sem ter que digitar sua senha toda hora. Essa ferramenta rouba e reutiliza esses crachás.
O que é 'movimento lateral'?
É quando um invasor, depois de entrar em um computador, se move para outros computadores na mesma rede para ter acesso a mais informações ou sistemas.
Preciso de permissão para usar isso?
Sim, absolutamente. Esta ferramenta só deve ser usada em redes que você tem permissão explícita para testar, como em um ambiente de laboratório ou com autorização por escrito.
Detalhes
Descrição original do autor
Perform Pass-the-Ticket (PtT) lateral movement by extracting Kerberos TGT/TGS tickets from LSASS memory on a compromised host and injecting them into another session to impersonate the ticket owner without knowing their password. Use during authorized post-exploitation to move laterally or escalate access via stolen Kerberos tickets, or to validate detections for Kerberos ticket theft and reuse.
Popularidade
- Estrelas no GitHub
- 35 mil
- Posição no ranking
- #5583
- Licença
- Apache-2.0
- Atualizada em
- 31/08/2026
Comentários
- …
Mais skills deste repositório
abusing-dpapi-for-credential-access
Dá ao seu agente de IA instruções prontas para uma tarefa específica, para ele fazer melhor e mais rápido.
mukul975/Anthropic-Cybersecurity-Skills
abusing-shadow-credentials-for-privesc
Ensina seu agente de IA a escrever textos claros e bem estruturados.
mukul975/Anthropic-Cybersecurity-Skills
achieving-cmmc-level-2-compliance
Ajuda seu agente a preparar um ambiente para conformidade com CMMC Nível 2. Ele implementa requisitos de segurança e gerencia a documentação necessária.
mukul975/Anthropic-Cybersecurity-Skills
acquiring-disk-image-with-dd-and-dcfldd
Ajuda seu agente a criar cópias exatas de discos rígidos. Isso é útil para garantir que nenhuma informação seja perdida ou alterada durante investigações.
mukul975/Anthropic-Cybersecurity-Skills
Skills parecidas
django-security
Ajuda seu agente a implementar práticas de segurança em aplicações Django. Ele foca em autenticação, autorização e prevenção contra ataques comuns, garantindo um código mais seguro.
affaan-m/ECC
laravel-security
Ajuda seu agente a proteger aplicações Laravel contra ameaças. Implementa práticas de segurança para autenticação, autorização e prevenção de ataques comuns.
affaan-m/ECC
module-regression
Ajuda seu agente a gerenciar mudanças em projetos grandes. Garante que alterações em uma parte do código não quebrem outras partes.
affaan-m/ECC