Wonka 🍫

"हम संगीतकार हैं, और हम सपनों के सपने देखने वाले हैं।" - Willy Wonka

Wonka एक मीठा Windows टूल है जो Local Security Authority (LSA) कैश से Kerberos टिकट निकालता है। यह एक टिकट खोजने जैसा है, लेकिन सुरक्षा अनुसंधान और पैनेट्रेशन टेस्टिंग के लिए! 🎫

✨ विशेषताएँ

• 🔐 सिस्टम प्रतिरूपण - प्रशासनिक विशेषाधिकारों के साथ चलने पर LSA तक पहुँचने के लिए स्वचालित रूप से SYSTEM बन जाता है
• 👤 विशेषाधिकार-जागरूक - सामान्य उपयोगकर्ता केवल अपने स्वयं के सत्र को अविश्वसनीय LSA कनेक्शन के माध्यम से डंप करते हैं; किसी SYSTEM प्रतिरूपण की आवश्यकता नहीं
• 📋 सत्र खोज - सभी सक्रिय लॉगऑन सत्रों को ढूँढता है
• 🗂️ सूची मोड - केवल उपयोगकर्ताओं और टिकट मेटाडेटा को सूचीबद्ध करता है, base64 ब्लॉब्स को निकाले बिना
• 🎯 एकल-टिकट डंप - LUID और/या सेवा नाम द्वारा एक टिकट को लक्षित करें
• 🎟️ टिकट निष्कर्षण - विस्तृत Kerberos टिकट जानकारी प्राप्त करता है
• 📦 Base64 आउटपुट - उपयोग के लिए तैयार टिकट प्रारूप

🚀 त्वरित प्रारंभ

आवश्यकताएँ

• Windows मशीन
• प्रशासक विशेषाधिकार प्रत्येक सत्र को डंप करने के लिए (एक सामान्य उपयोगकर्ता अभी भी अपने स्वयं के टिकट डंप कर सकता है)
• .NET 8.0+ (निर्माण के लिए)

स्थापना

विकल्प 1: एकल निष्पादनीय बनाएँ (अनुशंसित)

dotnet publish -c Release -r win-x64 --self-contained true /p:PublishSingleFile=true

विकल्प 2: सरल निर्माण

dotnet build --configuration Release

उपयोग

.\Wonka.exe <list|dump> [/luid:<luid>] [/service:<name>]

बिना किसी तर्क (या -h) के .\Wonka.exe चलाने से सहायता मुद्रित होती है — कुछ भी करने के लिए आपको स्पष्ट रूप से dump या list पास करना होगा।

Wonka उन विशेषाधिकारों के अनुसार ढल जाता है जिनके साथ यह चल रहा है:

• प्रशासक → होस्ट पर प्रत्येक लॉगऑन सत्र को संसाधित करता है।
• सामान्य उपयोगकर्ता → केवल वर्तमान उपयोगकर्ता के टिकटों को संसाधित करता है (अविश्वसनीय LSA कनेक्शन, कोई SYSTEM प्रतिरूपण नहीं)।

मोड और विकल्प

/luid और /service केवल डंप-फ़िल्टर हैं; उन्हें list के साथ संयोजित करना अस्वीकार कर दिया जाता है।

उदाहरण

# Show help (also shown when run with no arguments)
.\Wonka.exe -h

# Dump every accessible ticket (all sessions if elevated, otherwise just yours)
.\Wonka.exe dump

# Just enumerate who has tickets, without pulling the blobs (admin)
.\Wonka.exe list

# Pull a single krbtgt ticket (TGT) for one logon session
.\Wonka.exe dump /luid:0x3e7 /service:krbtgt

📖 नमूना आउटपुट

Starting Kerberos ticket extraction process...
[+] Running with administrative privileges
[+] Successfully impersonated as SYSTEM
[+] Logon sessions found: 15

[+] User: [email protected]
[+] LogonId: 0x3e7 | Tickets found: 3

-----------------------------------------------------------------------
Username = charlie.bucket
DnsDomainName = chocolate.factory
StartTime ---> 10/21/2025 10:30:15 AM
EndTime ---> 10/21/2025 8:30:15 PM
Server Name ---> krbtgt/CHOCOLATE.FACTORY
Ticket b64 ---> YIIFgjCCBX6gAwIBBaEDAgEWooIEhjCCBIJhggR+MII...
-----------------------------------------------------------------------

list मोड में आउटपुट समान होता है सिवाय Ticket b64 / EncType पंक्तियों को छोड़ दिया जाता है — आपको बिना निकालने योग्य टिकट ब्लॉब के मेटाडेटा मिलता है।

🏗️ परियोजना संरचना

Wonka/
├── Program.cs      # CLI parsing + ticket extraction logic
├── Winapi.cs       # Windows API definitions
└── Wonka.csproj    # Project file

🔧 तकनीकी विवरण

उपयोग किए गए मुख्य API

• OpenProcessToken / DuplicateTokenEx / ImpersonateLoggedOnUser / RevertToSelf - SYSTEM प्रतिरूपण (प्रशासक पथ)
• LsaRegisterLogonProcess - विशेषाधिकार प्राप्त LSA पंजीकरण (प्रशासक पथ)
• LsaConnectUntrusted - वर्तमान उपयोगकर्ता के लिए अविश्वसनीय LSA कनेक्शन (सामान्य-उपयोगकर्ता पथ)
• LsaEnumerateLogonSessions - सत्र गणना
• LsaCallAuthenticationPackage - Kerberos संचार

यह कैसे काम करता है

उच्चाधिकार (प्रशासक):

1. winlogon प्रक्रिया टोकन के माध्यम से SYSTEM का प्रतिरूपण करता है
2. Local Security Authority के साथ पंजीकरण करता है (LsaRegisterLogonProcess)
3. सभी लॉगऑन सत्रों की गणना करता है
4. प्रत्येक सत्र से Kerberos टिकट निकालता है (या केवल /luid / /service से मेल खाने वाले)
5. टिकटों को Base64 प्रारूप में आउटपुट करता है (या list मोड में केवल मेटाडेटा)

सामान्य उपयोगकर्ता:

1. एक अविश्वसनीय LSA कनेक्शन खोलता है (LsaConnectUntrusted) — किसी प्रतिरूपण की आवश्यकता नहीं
2. कॉलर के स्वयं के लॉगऑन सत्र (LUID {0,0}) को क्वेरी करता है
3. वर्तमान उपयोगकर्ता के Kerberos टिकट निकालता है

🛠️ समस्या निवारण

⚠️ कानूनी सूचना

"कभी-कभी थोड़ी बकवास सबसे बुद्धिमान पुरुषों को भी भाती है।"

यह उपकरण केवल अधिकृत सुरक्षा अनुसंधान और परीक्षण के लिए है। Wonka के कारखाने की तरह, केवल अनुमति के साथ प्रवेश करें! 🏭

जिम्मेदारी से उपयोग करें:

• ✅ सुरक्षा अनुसंधान और शिक्षा
• ✅ अधिकृत पैनेट्रेशन परीक्षण
• ✅ सिस्टम प्रशासन
• ❌ सिस्टमों तक अनधिकृत पहुँच

🍫 परिचय

सुरक्षा पेशेवरों के लिए बनाया गया है जिन्हें Wonka की चॉकलेट जितने मीठे Kerberos टिकट निकालने की आवश्यकता है। याद रखें: महान शक्ति के साथ महान जिम्मेदारी आती है!

"एक थके हुए संसार में एक अच्छा काम ऐसे चमकता है।" 🌟