Wonka 🍫

"Siamo i creatori di musica, e siamo i sognatori di sogni." - Willy Wonka

Wonka è uno strumento Windows che estrae i ticket Kerberos dalla cache della Local Security Authority (LSA). Come trovare un biglietto d'oro, ma per la ricerca sulla sicurezza e i penetration test! 🎫

✨ Caratteristiche

• 🔐 Impersonazione di sistema - Diventa automaticamente SYSTEM per accedere alla LSA (quando eseguito con privilegi elevati)
• 👤 Consapevole dei privilegi - Gli utenti standard esportano solo la propria sessione tramite una connessione LSA non attendibile; nessuna impersonazione di SYSTEM richiesta
• 📋 Rilevamento sessioni - Trova tutte le sessioni di accesso attive
• 🗂️ Modalità elenco - Elenca solo utenti e metadati dei ticket, senza estrarre i blob base64
• 🎯 Estrazione di un singolo ticket - Seleziona un ticket tramite LUID e/o nome del servizio
• 🎟️ Estrazione dei ticket - Recupera informazioni dettagliate sui ticket Kerberos
• 📦 Output Base64 - Formato ticket pronto all'uso

🚀 Avvio rapido

Requisiti

• Computer Windows
• Privilegi di amministratore per esportare ogni sessione (un utente standard può comunque esportare i propri ticket)
• .NET 8.0+ (per la compilazione)

Installazione

Opzione 1: Compila un singolo eseguibile (consigliata)

dotnet publish -c Release -r win-x64 --self-contained true /p:PublishSingleFile=true

Opzione 2: Compilazione semplice

dotnet build --configuration Release

Utilizzo

.\Wonka.exe <list|dump> [/luid:<luid>] [/service:<name>]

Eseguendo .\Wonka.exe senza argomenti (o con -h) viene mostrato l'aiuto — devi passare esplicitamente dump o list per fare qualsiasi cosa.

Wonka si adatta ai privilegi con cui viene eseguito:

• Amministratore → elabora ogni sessione di accesso sull'host.
• Utente standard → elabora solo i ticket dell'utente corrente (connessione LSA non attendibile, nessuna impersonazione di SYSTEM).

Modalità e opzioni

/luid e /service sono filtri solo per dump; la loro combinazione con list viene rifiutata.

Esempi

# Show help (also shown when run with no arguments)
.\Wonka.exe -h

# Dump every accessible ticket (all sessions if elevated, otherwise just yours)
.\Wonka.exe dump

# Just enumerate who has tickets, without pulling the blobs (admin)
.\Wonka.exe list

# Pull a single krbtgt ticket (TGT) for one logon session
.\Wonka.exe dump /luid:0x3e7 /service:krbtgt

📖 Output di esempio

Starting Kerberos ticket extraction process...
[+] Running with administrative privileges
[+] Successfully impersonated as SYSTEM
[+] Logon sessions found: 15

[+] User: [email protected]
[+] LogonId: 0x3e7 | Tickets found: 3

-----------------------------------------------------------------------
Username = charlie.bucket
DnsDomainName = chocolate.factory
StartTime ---> 10/21/2025 10:30:15 AM
EndTime ---> 10/21/2025 8:30:15 PM
Server Name ---> krbtgt/CHOCOLATE.FACTORY
Ticket b64 ---> YIIFgjCCBX6gAwIBBaEDAgEWooIEhjCCBIJhggR+MII...
-----------------------------------------------------------------------

In modalità list l'output è identico tranne per le righe Ticket b64 / EncType che vengono omesse — ottieni i metadati senza il blob del ticket estraibile.

🏗️ Struttura del progetto

Wonka/
├── Program.cs      # CLI parsing + ticket extraction logic
├── Winapi.cs       # Windows API definitions
└── Wonka.csproj    # Project file

🔧 Dettagli tecnici

API principali utilizzate

• OpenProcessToken / DuplicateTokenEx / ImpersonateLoggedOnUser / RevertToSelf - impersonazione di SYSTEM (percorso amministratore)
• LsaRegisterLogonProcess - registrazione LSA privilegiata (percorso amministratore)
• LsaConnectUntrusted - connessione LSA non privilegiata per l'utente corrente (percorso utente standard)
• LsaEnumerateLogonSessions - enumerazione delle sessioni
• LsaCallAuthenticationPackage - comunicazione Kerberos

Come funziona

Con privilegi elevati (Amministratore):

1. Impersona SYSTEM tramite il token del processo winlogon
2. Si registra presso la Local Security Authority (LsaRegisterLogonProcess)
3. Enumera tutte le sessioni di accesso
4. Estrae i ticket Kerberos da ogni sessione (o solo quelli corrispondenti a /luid / /service)
5. Emette i ticket in formato Base64 (o solo metadati in modalità list)

Utente standard:

1. Apre una connessione LSA non attendibile (LsaConnectUntrusted) — nessuna impersonazione necessaria
2. Interroga la propria sessione di accesso del chiamante (LUID {0,0})
3. Estrae i ticket Kerberos dell'utente corrente

🛠️ Risoluzione dei problemi

⚠️ Nota legale

"Un po' di follia, ogni tanto, è gradita anche agli uomini più saggi."

Questo strumento è destinato solo a ricerca e test di sicurezza autorizzati. Come la fabbrica di Wonka, si entra solo con il permesso! 🏭

Usalo in modo responsabile:

• ✅ Ricerca e formazione sulla sicurezza
• ✅ Penetration test autorizzati
• ✅ Amministrazione di sistema
• ❌ Accesso non autorizzato ai sistemi

🍫 Informazioni

Creato per i professionisti della sicurezza che devono estrarre ticket Kerberos dolci come il cioccolato di Wonka. Ricorda: da grandi poteri derivano grandi responsabilità!

"Così risplende una buona azione in un mondo stanco." 🌟