Wonka 🍫

« Nous sommes les créateurs de musique, et nous sommes les rêveurs de rêves. » - Willy Wonka

Wonka est un délicieux outil Windows qui extrait les tickets Kerberos du cache de l’autorité de sécurité locale (LSA). Comme trouver un ticket d’or, mais pour la recherche en sécurité et les tests d’intrusion ! 🎫

✨ Fonctionnalités

• 🔐 Usurpation SYSTEM - Devient automatiquement SYSTEM pour accéder à la LSA (lorsqu’il est exécuté avec des privilèges élevés)
• 👤 Sensible aux privilèges - Les utilisateurs standard ne vident que leur propre session via une connexion LSA non approuvée ; aucune usurpation SYSTEM requise
• 📋 Découverte de sessions - Trouve toutes les sessions d’ouverture de session actives
• 🗂️ Mode liste - Liste les utilisateurs et les métadonnées des tickets uniquement, sans extraire les blobs base64
• 🎯 Extraction d’un seul ticket - Cible un ticket par LUID et/ou nom de service
• 🎟️ Extraction de tickets - Récupère les informations détaillées des tickets Kerberos
• 📦 Sortie Base64 - Format de ticket prêt à l’emploi

🚀 Démarrage rapide

Prérequis

• Machine Windows
• Privilèges administrateur pour vider toutes les sessions (un utilisateur standard peut toujours vider ses propres tickets)
• .NET 8.0+ (pour la compilation)

Installation

Option 1 : Compiler un exécutable unique (recommandé)

dotnet publish -c Release -r win-x64 --self-contained true /p:PublishSingleFile=true

Option 2 : Compilation simple

dotnet build --configuration Release

Utilisation

.\Wonka.exe <list|dump> [/luid:<luid>] [/service:<name>]

Exécuter .\Wonka.exe sans arguments (ou avec -h) affiche l’aide — vous devez passer explicitement dump ou list pour faire quoi que ce soit.

Wonka s’adapte aux privilèges avec lesquels il est exécuté :

• Administrateur → traite toutes les sessions d’ouverture de session sur l’hôte.
• Utilisateur standard → traite uniquement les tickets de l’utilisateur courant (connexion LSA non approuvée, pas d’usurpation SYSTEM).

Modes et options

/luid et /service sont des filtres réservés à dump ; les combiner avec list est rejeté.

Exemples

# Show help (also shown when run with no arguments)
.\Wonka.exe -h

# Dump every accessible ticket (all sessions if elevated, otherwise just yours)
.\Wonka.exe dump

# Just enumerate who has tickets, without pulling the blobs (admin)
.\Wonka.exe list

# Pull a single krbtgt ticket (TGT) for one logon session
.\Wonka.exe dump /luid:0x3e7 /service:krbtgt

📖 Exemple de sortie

Starting Kerberos ticket extraction process...
[+] Running with administrative privileges
[+] Successfully impersonated as SYSTEM
[+] Logon sessions found: 15

[+] User: [email protected]
[+] LogonId: 0x3e7 | Tickets found: 3

-----------------------------------------------------------------------
Username = charlie.bucket
DnsDomainName = chocolate.factory
StartTime ---> 10/21/2025 10:30:15 AM
EndTime ---> 10/21/2025 8:30:15 PM
Server Name ---> krbtgt/CHOCOLATE.FACTORY
Ticket b64 ---> YIIFgjCCBX6gAwIBBaEDAgEWooIEhjCCBIJhggR+MII...
-----------------------------------------------------------------------

En mode list, la sortie est identique sauf que les lignes Ticket b64 / EncType sont omises — vous obtenez les métadonnées sans le blob de ticket extractible.

🏗️ Structure du projet

Wonka/
├── Program.cs      # CLI parsing + ticket extraction logic
├── Winapi.cs       # Windows API definitions
└── Wonka.csproj    # Project file

🔧 Détails techniques

API principales utilisées

• OpenProcessToken / DuplicateTokenEx / ImpersonateLoggedOnUser / RevertToSelf - Usurpation SYSTEM (chemin administrateur)
• LsaRegisterLogonProcess - Enregistrement LSA privilégié (chemin administrateur)
• LsaConnectUntrusted - Connexion LSA non approuvée pour l’utilisateur courant (chemin utilisateur standard)
• LsaEnumerateLogonSessions - Énumération des sessions
• LsaCallAuthenticationPackage - Communication Kerberos

Comment cela fonctionne

Élevé (Administrateur) :

1. Usurpe SYSTEM via le jeton du processus winlogon
2. S’enregistre auprès de l’autorité de sécurité locale (LsaRegisterLogonProcess)
3. Énumère toutes les sessions d’ouverture de session
4. Extrait les tickets Kerberos de chaque session (ou uniquement ceux correspondant à /luid / /service)
5. Génère les tickets au format Base64 (ou uniquement les métadonnées en mode list)

Utilisateur standard :

1. Ouvre une connexion LSA non approuvée (LsaConnectUntrusted) — aucune usurpation requise
2. Interroge la propre session d’ouverture de session de l’appelant (LUID {0,0})
3. Extrait les tickets Kerberos de l’utilisateur courant

🛠️ Dépannage

⚠️ Avis légal

« Un peu de folie de temps en temps est apprécié par les plus sages. »

Cet outil est destiné uniquement à la recherche en sécurité et aux tests autorisés. Comme l’usine de Wonka, n’entrez qu’avec permission ! 🏭

À utiliser de manière responsable :

• ✅ Recherche en sécurité et éducation
• ✅ Tests d’intrusion autorisés
• ✅ Administration système
• ❌ Accès non autorisé à des systèmes

🍫 À propos

Créé pour les professionnels de la sécurité qui ont besoin d’extraire des tickets Kerberos aussi doux que le chocolat de Wonka. Souvenez-vous : un grand pouvoir implique de grandes responsabilités !

« Ainsi brille une bonne action dans un monde las. » 🌟