{"id":4833,"date":"2026-08-11T20:59:14","date_gmt":"2026-08-11T18:59:14","guid":{"rendered":"https:\/\/www.sycope.com\/?post_type=dictionary-item&#038;p=4833"},"modified":"2026-08-11T22:47:00","modified_gmt":"2026-08-11T20:47:00","slug":"silver-ticket-attack","status":"publish","type":"dictionary-item","link":"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/silver-ticket-attack","title":{"rendered":"Silver Ticket Attack"},"content":{"rendered":"<p><strong>Silver Ticket Attack<\/strong> (atak srebrnego biletu) to technika u\u017cywana przez napastnika, kt\u00f3ry ju\u017c dosta\u0142 si\u0119 do sieci z <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/active-directory\">Active Directory<\/a>. Polega na podrobieniu kerberosowego biletu us\u0142ugi (<code>TGS<\/code>, czyli Ticket-Granting Service \u2014 bilet wystawiany na dost\u0119p do konkretnej us\u0142ugi) i pokazaniu go wprost tej us\u0142udze, z pomini\u0119ciem kontrolera domeny. Bilet jest zaszyfrowany has\u0142em konta us\u0142ugi lub konta komputera, do kt\u00f3rego us\u0142uga nale\u017cy \u2014 dlatego us\u0142uga uznaje go za prawdziwy. Kontroler domeny (KDC, Key Distribution Center \u2014 centrum, kt\u00f3re normalnie wystawia bilety Kerberos) w og\u00f3le nie bierze w tym udzia\u0142u, wi\u0119c nie zostawia po sobie \u017cadnego \u015bladu w logach. To g\u0142\u00f3wna r\u00f3\u017cnica wobec ataku Golden Ticket: tamten wymaga has\u0142a konta <code>krbtgt<\/code> i daje w\u0142adz\u0119 nad ca\u0142\u0105 domen\u0105, a Silver Ticket celuje w jedn\u0105 us\u0142ug\u0119 \u2014 przez co jest du\u017co trudniejszy do wykrycia.<\/p>\n<h2>Jak dzia\u0142a Silver Ticket Attack?<\/h2>\n<p>Atak nadu\u017cywa sposobu, w jaki Kerberos sprawdza bilety us\u0142ug. Normalnie klient pobiera z kontrolera domeny bilet wst\u0119pny (TGT), wymienia go na bilet us\u0142ugi (TGS), a potem pokazuje ten bilet us\u0142udze. Bilet jest zaszyfrowany d\u0142ugoterminowym kluczem konta us\u0142ugi (pochodz\u0105cym z jego has\u0142a), wi\u0119c us\u0142uga potrafi go odczyta\u0107 i ufa jego zawarto\u015bci. W \u015brodku biletu znajduje si\u0119 struktura <code>PAC<\/code> (Privileged Attribute Certificate), kt\u00f3ra m\u00f3wi, kim jest u\u017cytkownik i do jakich grup nale\u017cy (tzw. SID-y, czyli identyfikatory kont i grup).<\/p>\n<p>Je\u015bli napastnik zdob\u0119dzie hash has\u0142a konta us\u0142ugi (lub konta komputera), mo\u017ce sam zbudowa\u0107 i zaszyfrowa\u0107 poprawny bilet TGS \u2014 bez kontaktu z kontrolerem domeny. Zwykle wygl\u0105da to tak:<\/p>\n<ol>\n<li><strong>Rozpoznanie<\/strong> \u2014 napastnik zbiera identyfikator domeny (Domain SID), jej nazw\u0119 oraz nazw\u0119 SPN (Service Principal Name) us\u0142ugi, w kt\u00f3r\u0105 celuje. SPN to po prostu nazwa, pod kt\u00f3r\u0105 us\u0142uga jest znana w domenie.<\/li>\n<li><strong>Zdobycie hasha konta us\u0142ugi<\/strong> \u2014 wyci\u0105gni\u0119cie hasha has\u0142a konta us\u0142ugi lub komputera. Robi si\u0119 to r\u00f3\u017cnie: przez Kerberoasting (\u0142amanie hase\u0142 kont z SPN w trybie offline, czyli na w\u0142asnym sprz\u0119cie), zrzut pami\u0119ci procesu LSASS, atak DCSync albo z bazy SAM lub NTDS.dit przej\u0119tego komputera.<\/li>\n<li><strong>Podrobienie biletu<\/strong> \u2014 wygenerowanie biletu TGS z dowolnym PAC (np. udaj\u0105c administratora domeny) i zaszyfrowanie go hashem konta us\u0142ugi. Krok ten automatyzuj\u0105 narz\u0119dzia takie jak Mimikatz czy Impacket (<code>ticketer.py<\/code>).<\/li>\n<li><strong>Pokazanie biletu<\/strong> \u2014 przekazanie podrobionego biletu wprost us\u0142udze (np. CIFS, <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/http-https\">HTTP<\/a>, MSSQL, HOST), kt\u00f3ra go odszyfrowuje i akceptuje.<\/li>\n<li><strong>Wykorzystanie dost\u0119pu<\/strong> \u2014 dzia\u0142anie w roli us\u0142ugi: dost\u0119p do plik\u00f3w, zapytania do bazy danych, uruchamianie kodu czy przechodzenie dalej w g\u0142\u0105b sieci.<\/li>\n<\/ol>\n<h2>Czym r\u00f3\u017cni si\u0119 Silver Ticket od Golden Ticket?<\/h2>\n<p>Oba ataki polegaj\u0105 na podrabianiu bilet\u00f3w Kerberos, ale r\u00f3\u017cni\u0105 si\u0119 kluczem, zasi\u0119giem i tym, jak \u0142atwo je zauwa\u017cy\u0107:<\/p>\n<ul>\n<li><strong>Klucz \/ hash<\/strong> \u2014 Golden Ticket podrabia bilet wst\u0119pny (TGT) hashem konta <code>krbtgt<\/code>; Silver Ticket podrabia bilet us\u0142ugi (TGS) hashem konkretnego konta us\u0142ugi lub komputera.<\/li>\n<li><strong>Zasi\u0119g<\/strong> \u2014 Golden Ticket otwiera dost\u0119p do dowolnej us\u0142ugi w ca\u0142ej domenie (de facto przej\u0119cie domeny); Silver Ticket ogranicza si\u0119 do jednej us\u0142ugi na jednym komputerze.<\/li>\n<li><strong>Udzia\u0142 kontrolera domeny<\/strong> \u2014 Golden Ticket wci\u0105\u017c wymienia TGT na TGS w kontrolerze domeny, wi\u0119c zostawia tam zdarzenia; Silver Ticket ca\u0142kowicie omija kontroler, bo bilet powstaje lokalnie.<\/li>\n<li><strong>Wykrywalno\u015b\u0107 i trwa\u0142o\u015b\u0107<\/strong> \u2014 \u017ceby uniewa\u017cni\u0107 Golden Ticket, trzeba dwukrotnie zmieni\u0107 has\u0142o <code>krbtgt<\/code>; Silver Ticket bywa w praktyce trwalszy, bo has\u0142a kont us\u0142ug i komputer\u00f3w zmienia si\u0119 rzadziej, a brak \u015bladu po stronie kontrolera utrudnia jego wychwycenie.<\/li>\n<\/ul>\n<h2>Jak wykry\u0107 Silver Ticket Attack?<\/h2>\n<p>Wykrycie jest trudne, bo \u017c\u0105danie biletu nigdy nie trafia do kontrolera domeny. Brakuje wi\u0119c zdarze\u0144 <code>4768<\/code> (\u017c\u0105danie biletu wst\u0119pnego) i <code>4769<\/code> (\u017c\u0105danie biletu us\u0142ugi), kt\u00f3re normalnie poprzedza\u0142yby taki dost\u0119p. Telemetri\u0119 trzeba zbiera\u0107 po stronie komputera z us\u0142ug\u0105 i szuka\u0107 niesp\u00f3jno\u015bci:<\/p>\n<ul>\n<li><strong>Logowanie bez wcze\u015bniejszego \u017c\u0105dania biletu<\/strong> \u2014 zdarzenie logowania <code>4624<\/code> przez Kerberos na serwerze us\u0142ugi, kt\u00f3remu nie odpowiada \u017cadne zdarzenie <code>4769<\/code> na kontrolerze domeny.<\/li>\n<li><strong>Dziwne pola w bilecie i PAC<\/strong> \u2014 niezgodne lub puste dane to\u017csamo\u015bci, SID-y, kt\u00f3re nie pasuj\u0105 do \u017cadnego prawdziwego konta, albo czas wa\u017cno\u015bci biletu niezgodny z polityk\u0105 domeny.<\/li>\n<li><strong>S\u0142abe szyfrowanie<\/strong> \u2014 bilety szyfrowane RC4 (typ <code>0x17<\/code>, etype 23) tam, gdzie \u015brodowisko wymusza AES, bywaj\u0105 sygna\u0142em podr\u00f3bki.<\/li>\n<li><strong>Nietypowy dost\u0119p kont us\u0142ug i komputer\u00f3w<\/strong> \u2014 logowania o dziwnych porach, z nieoczekiwanych komputer\u00f3w albo do zasob\u00f3w spoza zwyk\u0142ego wzorca pracy danej us\u0142ugi.<\/li>\n<\/ul>\n<p>Dla zespo\u0142\u00f3w <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/soc-security-operations-center\">SOC<\/a>, monitoringu sieci i rozwi\u0105za\u0144 <a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/ndr-network-detection-and-response\">NDR<\/a> najwa\u017cniejsze jest jedno: ten atak jest \u201ecichy\u201d na poziomie katalogu, a widoczny dopiero na poziomie komputera z us\u0142ug\u0105 i wzorc\u00f3w dost\u0119pu. Skuteczne wykrywanie wymaga zbierania log\u00f3w tak\u017ce z serwer\u00f3w cz\u0142onkowskich (nie tylko z kontroler\u00f3w domeny), ustalenia normalnego zachowania kont us\u0142ug i por\u00f3wnywania logowa\u0144 Kerberos z rzeczywistym ruchem do us\u0142ug.<\/p>\n<h2>Jak chroni\u0107 si\u0119 przed Silver Ticket Attack?<\/h2>\n<p>Atak zale\u017cy od zdobycia hasha konta us\u0142ugi, wi\u0119c obrona skupia si\u0119 na utrudnieniu kradzie\u017cy hase\u0142, wymuszeniu sprawdzania bilet\u00f3w i skr\u00f3ceniu czasu, w kt\u00f3rym wykradziony klucz jest przydatny:<\/p>\n<ul>\n<li><strong>gMSA \/ dMSA<\/strong> \u2014 grupowe zarz\u0105dzane konta us\u0142ug, kt\u00f3re same zmieniaj\u0105 d\u0142ugie, losowe has\u0142a (domy\u015blnie co 30 dni). Dzi\u0119ki temu znikaj\u0105 statyczne, s\u0142abe has\u0142a kont us\u0142ug.<\/li>\n<li><strong>Silne has\u0142a i regularna zmiana<\/strong> \u2014 w tym rutynowa zmiana hase\u0142 kont us\u0142ug i resetowanie hase\u0142 kont komputer\u00f3w; d\u0142ugie has\u0142a utrudniaj\u0105 Kerberoasting.<\/li>\n<li><strong>Wymuszenie AES<\/strong> \u2014 wy\u0142\u0105czenie szyfrowania RC4 dla bilet\u00f3w Kerberos, by utrudni\u0107 \u0142amanie hase\u0142 i \u0142atwiej wy\u0142apywa\u0107 podejrzane bilety.<\/li>\n<li><strong>Sprawdzanie PAC po stronie us\u0142ugi<\/strong> \u2014 w\u0142\u0105czenie walidacji PAC, dzi\u0119ki kt\u00f3rej us\u0142uga potwierdza poprawno\u015b\u0107 biletu u kontrolera domeny, zamiast ufa\u0107 mu w ciemno.<\/li>\n<li><strong>Zasada najmniejszych uprawnie\u0144<\/strong> \u2014 ograniczenie uprawnie\u0144 kont us\u0142ug, oznaczanie kont wra\u017cliwych jako \u201eniepodlegaj\u0105ce delegacji\u201d i trzymanie ich poza grupami administracyjnymi.<\/li>\n<li><strong>Reakcja na incydent<\/strong> \u2014 przy podejrzeniu w\u0142amania: ustalenie, kt\u00f3re konto us\u0142ugi pad\u0142o ofiar\u0105, natychmiastowy reset jego has\u0142a i analiza, jak daleko napastnik m\u00f3g\u0142 zaj\u015b\u0107 w sieci.<\/li>\n<\/ul>\n<h2>Dowiedz si\u0119 wi\u0119cej<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/atak-golden-ticket-wykrywanie-atakow-kerberos-i-zabezpieczenia-active-directory\">Atak Golden Ticket \u2013 wykrywanie atak\u00f3w Kerberos i zabezpieczenia Active Directory<\/a> \u2014 Golden Ticket i Silver Ticket to r\u00f3\u017cne nadu\u017cycia Kerberos, cz\u0119sto omawiane razem.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/apt-advanced-persistent-threat\">APT (Advanced Persistent Threat)<\/a> \u2014 Silver Ticket Attack bywa elementem d\u0142ugotrwa\u0142ej kampanii APT w sieci Windows.<\/li>\n<li><a href=\"https:\/\/www.sycope.com\/pl\/post\/dictionary-item\/siem\">SIEM<\/a> \u2014 SIEM pomaga wykrywa\u0107 anomalie i \u015blady po u\u017cyciu Silver Ticket Attack.<\/li>\n<\/ul>\n","protected":false},"featured_media":0,"template":"","class_list":["post-4833","dictionary-item","type-dictionary-item","status-publish","hentry"],"acf":{"tytul":"Silver Ticket Attack","ikona":"","krotki_opis":"Technika ataku w Active Directory: napastnik podrabia kerberosowy bilet us\u0142ugi (TGS) hashem konta us\u0142ugi i omija kontroler domeny, by dosta\u0107 si\u0119 do pojedynczej us\u0142ugi."},"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item\/4833","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/dictionary-item"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/dictionary-item"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4833"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}