Wonka 🍫

"우리는 음악을 만드는 자들이며, 꿈을 꾸는 자들입니다." - 윌리 웡카

Wonka는 LSA(로컬 보안 기관) 캐시에서 Kerberos 티켓을 추출하는 달콤한 Windows 도구입니다. 보안 연구 및 침투 테스트를 위한 티켓 찾기와 같습니다! 🎫

✨ 기능

• 🔐 시스템 가장 - 상승된 권한으로 실행 시 자동으로 SYSTEM이 되어 LSA에 접근
• 👤 권한 인식 - 표준 사용자는 신뢰할 수 없는 LSA 연결을 통해 자신의 세션만 덤프하며, SYSTEM 가장이 필요하지 않음
• 📋 세션 검색 - 모든 활성 로그온 세션 찾기
• 🗂️ 목록 모드 - base64 블롭을 추출하지 않고 사용자 및 티켓 메타데이터만 나열
• 🎯 단일 티켓 덤프 - LUID 및/또는 서비스 이름으로 하나의 티켓 대상 지정
• 🎟️ 티켓 추출 - 자세한 Kerberos 티켓 정보 검색
• 📦 Base64 출력 - 바로 사용할 수 있는 티켓 형식

🚀 빠른 시작

요구사항

• Windows 머신
• 모든 세션을 덤프하려면 관리자 권한 필요 (표준 사용자는 자신의 티켓만 덤프 가능)
• .NET 8.0+ (빌드용)

설치

옵션 1: 단일 실행 파일 빌드 (권장)

dotnet publish -c Release -r win-x64 --self-contained true /p:PublishSingleFile=true

옵션 2: 간단한 빌드

dotnet build --configuration Release

사용법

.\Wonka.exe <list|dump> [/luid:<luid>] [/service:<name>]

.\Wonka.exe를 인수 없이 실행하면 도움말이 출력됩니다. 실제 작업을 수행하려면 dump 또는 list를 명시적으로 전달해야 합니다.

Wonka는 실행 중인 권한에 따라 동작을 조정합니다:

• 관리자 → 호스트의 모든 로그온 세션 처리
• 표준 사용자 → 현재 사용자의 티켓만 처리 (신뢰할 수 없는 LSA 연결, SYSTEM 가장 없음)

모드 및 옵션

/luid와 /service는 덤프 전용 필터이며, list와 함께 사용하면 거부됩니다.

예제

# Show help (also shown when run with no arguments)
.\Wonka.exe -h

# Dump every accessible ticket (all sessions if elevated, otherwise just yours)
.\Wonka.exe dump

# Just enumerate who has tickets, without pulling the blobs (admin)
.\Wonka.exe list

# Pull a single krbtgt ticket (TGT) for one logon session
.\Wonka.exe dump /luid:0x3e7 /service:krbtgt

📖 샘플 출력

Starting Kerberos ticket extraction process...
[+] Running with administrative privileges
[+] Successfully impersonated as SYSTEM
[+] Logon sessions found: 15

[+] User: [email protected]
[+] LogonId: 0x3e7 | Tickets found: 3

-----------------------------------------------------------------------
Username = charlie.bucket
DnsDomainName = chocolate.factory
StartTime ---> 10/21/2025 10:30:15 AM
EndTime ---> 10/21/2025 8:30:15 PM
Server Name ---> krbtgt/CHOCOLATE.FACTORY
Ticket b64 ---> YIIFgjCCBX6gAwIBBaEDAgEWooIEhjCCBIJhggR+MII...
-----------------------------------------------------------------------

list 모드에서는 Ticket b64 / EncType 줄이 생략된다는 점을 제외하고 출력이 동일합니다. 추출 가능한 티켓 블롭 없이 메타데이터만 제공됩니다.

🏗️ 프로젝트 구조

Wonka/
├── Program.cs      # CLI parsing + ticket extraction logic
├── Winapi.cs       # Windows API definitions
└── Wonka.csproj    # Project file

🔧 기술 세부사항

사용된 핵심 API

• OpenProcessToken / DuplicateTokenEx / ImpersonateLoggedOnUser / RevertToSelf - SYSTEM 가장 (관리자 경로)
• LsaRegisterLogonProcess - 권한 있는 LSA 등록 (관리자 경로)
• LsaConnectUntrusted - 권한 없는 LSA 연결 (표준 사용자 경로)
• LsaEnumerateLogonSessions - 세션 열거
• LsaCallAuthenticationPackage - Kerberos 통신

작동 방식

상승된 권한 (관리자):

1. winlogon 프로세스 토큰을 통해 SYSTEM 가장
2. 로컬 보안 기관에 등록 (LsaRegisterLogonProcess)
3. 모든 로그온 세션 열거
4. 각 세션에서 Kerberos 티켓 추출 (/luid / /service에 일치하는 것만 또는 전체)
5. Base64 형식으로 티켓 출력 (또는 list 모드에서는 메타데이터만)

표준 사용자:

1. 신뢰할 수 없는 LSA 연결 열기 (LsaConnectUntrusted) — 가장 불필요
2. 호출자의 자체 로그온 세션 조회 (LUID {0,0})
3. 현재 사용자의 Kerberos 티켓 추출

🛠️ 문제 해결

⚠️ 법적 고지

"가끔씩 약간의 넌센스는 가장 현명한 사람들도 즐깁니다."

이 도구는 승인된 보안 연구 및 테스트 전용입니다. 웡카 공장처럼, 허가를 받고 입장하세요! 🏭

책임감 있게 사용하세요:

• ✅ 보안 연구 및 교육
• ✅ 승인된 침투 테스트
• ✅ 시스템 관리
• ❌ 시스템에 대한 무단 접근

🍫 소개

웡카의 초콜릿처럼 달콤하게 Kerberos 티켓을 추출해야 하는 보안 전문가를 위해 제작되었습니다. 기억하세요: 큰 힘에는 큰 책임이 따릅니다!

"지친 세상에서 선행은 그렇게 빛납니다." 🌟