Wonka 🍫

"Nós somos os criadores da música, e nós somos os sonhadores dos sonhos." - Willy Wonka

Wonka é uma ferramenta doce do Windows que extrai tickets Kerberos do cache da Autoridade de Segurança Local (LSA). Como encontrar um ticket, mas para pesquisa de segurança e testes de penetração! 🎫

✨ Funcionalidades

• 🔐 Impersonação do Sistema - Torna-se automaticamente SYSTEM para acessar o LSA (quando executado com privilégios elevados)
• 👤 Ciente de privilégios - Usuários padrão extraem apenas sua própria sessão por meio de uma conexão LSA não confiável; nenhuma impersonação de SYSTEM necessária
• 📋 Descoberta de Sessão - Encontra todas as sessões de logon ativas
• 🗂️ Modo lista - Lista apenas usuários e metadados de tickets, sem extrair os blobs base64
• 🎯 Extração de ticket único - Mira um ticket por LUID e/ou nome de serviço
• 🎟️ Extração de Tickets - Recupera informações detalhadas de tickets Kerberos
• 📦 Saída Base64 - Formato de ticket pronto para uso

🚀 Início Rápido

Requisitos

• Máquina Windows
• Privilégios de Administrador para extrair todas as sessões (um usuário padrão ainda pode extrair seus próprios tickets)
• .NET 8.0+ (para compilar)

Instalação

Opção 1: Compilar Executável Único (Recomendado)

dotnet publish -c Release -r win-x64 --self-contained true /p:PublishSingleFile=true

Opção 2: Compilação Simples

dotnet build --configuration Release

Uso

.\Wonka.exe <list|dump> [/luid:<luid>] [/service:<name>]

Executar .\Wonka.exe sem argumentos (ou -h) exibe a ajuda — você deve passar dump ou list explicitamente para fazer algo.

Wonka se adapta aos privilégios com os quais está sendo executado:

• Administrador → processa todas as sessões de logon no host.
• Usuário padrão → processa apenas os tickets do usuário atual (conexão LSA não confiável, sem impersonação de SYSTEM).

Modos e opções

/luid e /service são filtros apenas para dump; combiná-los com list é rejeitado.

Exemplos

# Show help (also shown when run with no arguments)
.\Wonka.exe -h

# Dump every accessible ticket (all sessions if elevated, otherwise just yours)
.\Wonka.exe dump

# Just enumerate who has tickets, without pulling the blobs (admin)
.\Wonka.exe list

# Pull a single krbtgt ticket (TGT) for one logon session
.\Wonka.exe dump /luid:0x3e7 /service:krbtgt

📖 Exemplo de Saída

Starting Kerberos ticket extraction process...
[+] Running with administrative privileges
[+] Successfully impersonated as SYSTEM
[+] Logon sessions found: 15

[+] User: [email protected]
[+] LogonId: 0x3e7 | Tickets found: 3

-----------------------------------------------------------------------
Username = charlie.bucket
DnsDomainName = chocolate.factory
StartTime ---> 10/21/2025 10:30:15 AM
EndTime ---> 10/21/2025 8:30:15 PM
Server Name ---> krbtgt/CHOCOLATE.FACTORY
Ticket b64 ---> YIIFgjCCBX6gAwIBBaEDAgEWooIEhjCCBIJhggR+MII...
-----------------------------------------------------------------------

No modo list a saída é idêntica exceto que as linhas Ticket b64 / EncType são omitidas — você obtém os metadados sem o blob de ticket extraível.

🏗️ Estrutura do Projeto

Wonka/
├── Program.cs      # CLI parsing + ticket extraction logic
├── Winapi.cs       # Windows API definitions
└── Wonka.csproj    # Project file

🔧 Detalhes Técnicos

Principais APIs Utilizadas

• OpenProcessToken / DuplicateTokenEx / ImpersonateLoggedOnUser / RevertToSelf - impersonação de SYSTEM (caminho admin)
• LsaRegisterLogonProcess - Registro LSA privilegiado (caminho admin)
• LsaConnectUntrusted - Conexão LSA não privilegiada para o usuário atual (caminho de usuário padrão)
• LsaEnumerateLogonSessions - Enumeração de sessões
• LsaCallAuthenticationPackage - Comunicação Kerberos

Como Funciona

Elevado (Administrador):

1. Impessoa o SYSTEM via o token do processo winlogon
2. Registra-se na Autoridade de Segurança Local (LsaRegisterLogonProcess)
3. Enumera todas as sessões de logon
4. Extrai tickets Kerberos de cada sessão (ou apenas aqueles que correspondem a /luid / /service)
5. Saída de tickets em formato Base64 (ou apenas metadados no modo list)

Usuário padrão:

1. Abre uma conexão LSA não confiável (LsaConnectUntrusted) — nenhuma impersonação necessária
2. Consulta a própria sessão de logon do chamador (LUID {0,0})
3. Extrai os tickets Kerberos do usuário atual

🛠️ Solução de Problemas

⚠️ Aviso Legal

"Um pouco de absurdo de vez em quando é apreciado pelos homens mais sábios."

Esta ferramenta é apenas para pesquisa e testes de segurança autorizados. Como a fábrica de Wonka, entre apenas com permissão! 🏭

Use com responsabilidade:

• ✅ Pesquisa e educação em segurança
• ✅ Testes de penetração autorizados
• ✅ Administração de sistemas
• ❌ Acesso não autorizado a sistemas

🍫 Sobre

Criado para profissionais de segurança que precisam extrair tickets Kerberos tão doces quanto o chocolate de Wonka. Lembre-se: com grandes poderes vêm grandes responsabilidades!

"Assim brilha uma boa ação em um mundo cansado." 🌟