Wonka 🍫

"Somos los creadores de música, y somos los soñadores de sueños." - Willy Wonka

Wonka es una dulce herramienta de Windows que extrae tickets Kerberos del caché de la Autoridad de Seguridad Local (LSA). ¡Como encontrar un ticket, pero para investigación de seguridad y pruebas de penetración! 🎫

✨ Características

• 🔐 Impersonación del Sistema - Se convierte automáticamente en SYSTEM para acceder a LSA (cuando se ejecuta con privilegios elevados)
• 👤 Consciente de Privilegios - Los usuarios estándar vuelcan solo su propia sesión mediante una conexión LSA no confiable; no se requiere impersonación SYSTEM
• 📋 Descubrimiento de Sesiones - Encuentra todas las sesiones de inicio de sesión activas
• 🗂️ Modo Lista - Lista solo usuarios y metadatos de tickets, sin extraer los blobs en base64
• 🎯 Volcado de un solo ticket - Apunta a un ticket por LUID y/o nombre de servicio
• 🎟️ Extracción de Tickets - Recupera información detallada del ticket Kerberos
• 📦 Salida en Base64 - Formato de ticket listo para usar

🚀 Inicio Rápido

Requisitos

• Máquina Windows
• Privilegios de administrador para volcar cada sesión (un usuario estándar aún puede volcar sus propios tickets)
• .NET 8.0+ (para compilar)

Instalación

Opción 1: Compilar un Ejecutable Único (Recomendado)

dotnet publish -c Release -r win-x64 --self-contained true /p:PublishSingleFile=true

Opción 2: Compilación Simple

dotnet build --configuration Release

Uso

.\Wonka.exe <list|dump> [/luid:<luid>] [/service:<name>]

Ejecutar .\Wonka.exe sin argumentos (o -h) muestra la ayuda — debes pasar explícitamente dump o list para hacer algo.

Wonka se adapta a los privilegios con los que se ejecuta:

• Administrador → procesa cada sesión de inicio de sesión en el host.
• Usuario estándar → procesa solo los tickets del usuario actual (conexión LSA no confiable, sin impersonación SYSTEM).

Modos y opciones

/luid y /service son filtros solo de volcado; combinarlos con list es rechazado.

Ejemplos

# Show help (also shown when run with no arguments)
.\Wonka.exe -h

# Dump every accessible ticket (all sessions if elevated, otherwise just yours)
.\Wonka.exe dump

# Just enumerate who has tickets, without pulling the blobs (admin)
.\Wonka.exe list

# Pull a single krbtgt ticket (TGT) for one logon session
.\Wonka.exe dump /luid:0x3e7 /service:krbtgt

📖 Ejemplo de Salida

Starting Kerberos ticket extraction process...
[+] Running with administrative privileges
[+] Successfully impersonated as SYSTEM
[+] Logon sessions found: 15

[+] User: [email protected]
[+] LogonId: 0x3e7 | Tickets found: 3

-----------------------------------------------------------------------
Username = charlie.bucket
DnsDomainName = chocolate.factory
StartTime ---> 10/21/2025 10:30:15 AM
EndTime ---> 10/21/2025 8:30:15 PM
Server Name ---> krbtgt/CHOCOLATE.FACTORY
Ticket b64 ---> YIIFgjCCBX6gAwIBBaEDAgEWooIEhjCCBIJhggR+MII...
-----------------------------------------------------------------------

En el modo list la salida es idéntica excepto que se omiten las líneas Ticket b64 / EncType — obtienes los metadatos sin el blob de ticket extraíble.

🏗️ Estructura del Proyecto

Wonka/
├── Program.cs      # CLI parsing + ticket extraction logic
├── Winapi.cs       # Windows API definitions
└── Wonka.csproj    # Project file

🔧 Detalles Técnicos

APIs Centrales Utilizadas

• OpenProcessToken / DuplicateTokenEx / ImpersonateLoggedOnUser / RevertToSelf - Impersonación SYSTEM (ruta de administrador)
• LsaRegisterLogonProcess - Registro LSA privilegiado (ruta de administrador)
• LsaConnectUntrusted - Conexión LSA no privilegiada para el usuario actual (ruta de usuario estándar)
• LsaEnumerateLogonSessions - Enumeración de sesiones
• LsaCallAuthenticationPackage - Comunicación Kerberos

Cómo Funciona

Elevado (Administrador):

1. Impersona SYSTEM mediante el token del proceso winlogon
2. Se registra con la Autoridad de Seguridad Local (LsaRegisterLogonProcess)
3. Enumera todas las sesiones de inicio de sesión
4. Extrae tickets Kerberos de cada sesión (o solo aquellos que coincidan con /luid / /service)
5. Muestra los tickets en formato Base64 (o solo metadatos en modo list)

Usuario estándar:

1. Abre una conexión LSA no confiable (LsaConnectUntrusted) — no se necesita impersonación
2. Consulta la propia sesión de inicio de sesión del llamante (LUID {0,0})
3. Extrae los tickets Kerberos del usuario actual

🛠️ Solución de Problemas

⚠️ Aviso Legal

"Un poco de sinsentido de vez en cuando es saboreado por los hombres más sabios."

Esta herramienta es solo para investigación de seguridad autorizada y pruebas. ¡Como la fábrica de Wonka, entra solo con permiso! 🏭

Úsalo responsablemente:

• ✅ Investigación y educación en seguridad
• ✅ Pruebas de penetración autorizadas
• ✅ Administración de sistemas
• ❌ Acceso no autorizado a sistemas

🍫 Acerca de

Creado para profesionales de seguridad que necesitan extraer tickets Kerberos tan dulces como el chocolate de Wonka. Recuerda: un gran poder conlleva una gran responsabilidad.

"Así brilla una buena acción en un mundo cansado." 🌟