Wonka 🍫

"نحن صانعو الموسيقى، ونحن حالمون بالأحلام." - ويلي وونكا

Wonka هي أداة ويندوز رائعة تستخرج تذاكر Kerberos من ذاكرة التخزين المؤقت لهيئة الأمان المحلية (LSA). مثل العثور على تذكرة، لكن لأغراض البحث الأمني واختبار الاختراق! 🎫

✨ المميزات

• 🔐 انتحال هوية النظام - يصبح تلقائياً SYSTEM للوصول إلى LSA (عند التشغيل بصلاحيات مرتفعة)
• 👤 مدرك للصلاحيات - المستخدمون العاديون يفرغون جلساتهم الخاصة فقط عبر اتصال LSA غير موثوق؛ لا يتطلب انتحال هوية SYSTEM
• 📋 اكتشاف الجلسات - يعثر على جميع جلسات تسجيل الدخول النشطة
• 🗂️ وضع القائمة - يسرد المستخدمين وبيانات التذاكر الوصفية فقط، دون استخراج كتل base64
• 🎯 تفريغ تذكرة واحدة - استهداف تذكرة واحدة بواسطة LUID و/أو اسم الخدمة
• 🎟️ استخراج التذاكر - يسترجع معلومات مفصلة عن تذاكر Kerberos
• 📦 مخرجات Base64 - تنسيق تذاكر جاهز للاستخدام

🚀 البدء السريع

المتطلبات

• جهاز يعمل بنظام Windows
• صلاحيات المسؤول لتفريغ كل جلسة (يمكن للمستخدم العادي تفريغ تذكرته الخاصة)
• .NET 8.0+ (للبناء)

التثبيت

الخيار 1: بناء ملف تنفيذي واحد (موصى به)

dotnet publish -c Release -r win-x64 --self-contained true /p:PublishSingleFile=true

الخيار 2: بناء بسيط

dotnet build --configuration Release

الاستخدام

.\Wonka.exe <list|dump> [/luid:<luid>] [/service:<name>]

تشغيل .\Wonka.exe بدون وسائط (أو -h) يعرض المساعدة — يجب تمرير dump أو list صراحةً للقيام بأي شيء.

تتكيف Wonka مع الصلاحيات التي تعمل بها:

• المسؤول → يعالج كل جلسة تسجيل دخول على المضيف.
• المستخدم العادي → يعالج فقط تذاكر المستخدم الحالي (اتصال LSA غير موثوق، لا انتحال لهوية SYSTEM).

الأوضاع والخيارات

/luid و/service مرشحات خاصة بأمر dump فقط؛ دمجها مع list مرفوض.

أمثلة

# Show help (also shown when run with no arguments)
.\Wonka.exe -h

# Dump every accessible ticket (all sessions if elevated, otherwise just yours)
.\Wonka.exe dump

# Just enumerate who has tickets, without pulling the blobs (admin)
.\Wonka.exe list

# Pull a single krbtgt ticket (TGT) for one logon session
.\Wonka.exe dump /luid:0x3e7 /service:krbtgt

📖 نموذج الإخراج

Starting Kerberos ticket extraction process...
[+] Running with administrative privileges
[+] Successfully impersonated as SYSTEM
[+] Logon sessions found: 15

[+] User: [email protected]
[+] LogonId: 0x3e7 | Tickets found: 3

-----------------------------------------------------------------------
Username = charlie.bucket
DnsDomainName = chocolate.factory
StartTime ---> 10/21/2025 10:30:15 AM
EndTime ---> 10/21/2025 8:30:15 PM
Server Name ---> krbtgt/CHOCOLATE.FACTORY
Ticket b64 ---> YIIFgjCCBX6gAwIBBaEDAgEWooIEhjCCBIJhggR+MII...
-----------------------------------------------------------------------

في وضع list يكون الإخراج مطابقاً باستثناء أن سطري Ticket b64 / EncType محذوفان — تحصل على البيانات الوصفية دون كتلة التذكرة القابلة للاستخراج.

🏗️ هيكل المشروع

Wonka/
├── Program.cs      # CLI parsing + ticket extraction logic
├── Winapi.cs       # Windows API definitions
└── Wonka.csproj    # Project file

🔧 التفاصيل التقنية

واجهات برمجة التطبيقات الأساسية المستخدمة

• OpenProcessToken / DuplicateTokenEx / ImpersonateLoggedOnUser / RevertToSelf - انتحال هوية SYSTEM (مسار المسؤول)
• LsaRegisterLogonProcess - تسجيل LSA بصلاحيات مرتفعة (مسار المسؤول)
• LsaConnectUntrusted - اتصال LSA غير مميز للمستخدم الحالي (مسار المستخدم العادي)
• LsaEnumerateLogonSessions - تعداد الجلسات
• LsaCallAuthenticationPackage - التواصل مع Kerberos

كيف يعمل

بصلاحيات مرتفعة (المسؤول):

1. ينتحل هوية SYSTEM عبر رمز عملية winlogon
2. يسجل لدى هيئة الأمان المحلية (LsaRegisterLogonProcess)
3. يعدّ جميع جلسات تسجيل الدخول
4. يستخرج تذاكر Kerberos من كل جلسة (أو فقط تلك المطابقة لـ/luid / /service)
5. يخرج التذاكر بصيغة Base64 (أو البيانات الوصفية فقط في وضع list)

المستخدم العادي:

1. يفتح اتصال LSA غير موثوق (LsaConnectUntrusted) — لا حاجة لانتحال الهوية
2. يستعلم عن جلسة تسجيل دخول المتصل نفسه (LUID {0,0})
3. يستخرج تذاكر Kerberos الخاصة بالمستخدم الحالي

🛠️ استكشاف الأخطاء وإصلاحها

⚠️ إشعار قانوني

"القليل من الهراء بين الفينة والأخرى يستمتع به أكثر الرجال حكمة."

هذه الأداة للبحث والاختبار الأمني المصرح به فقط. مثل مصنع Wonka، ادخل فقط بإذن! 🏭

استخدم بمسؤولية:

• ✅ البحث والتعليم الأمني
• ✅ اختبار الاختراق المصرح به
• ✅ إدارة الأنظمة
• ❌ الوصول غير المصرح به إلى الأنظمة

🍫 حول

أُنشئت لمحترفي الأمن الذين يحتاجون إلى استخراج تذاكر Kerberos بحلاوة شوكولاتة Wonka. تذكر: القوة العظيمة تأتي مع مسؤولية عظيمة!

"هكذا يلمع العمل الصالح في عالمٍ مُتعَب." 🌟