Wonka 🍫

«Мы — создатели музыки, и мы — мечтатели мечты». — Вилли Вонка

Wonka — это сладкий Windows-инструмент, который извлекает билеты Kerberos из кэша Local Security Authority (LSA). Как найти билет, но для исследований безопасности и пентеста! 🎫

✨ Возможности

• 🔐 Имитация системы — автоматически становится SYSTEM для доступа к LSA (при запуске с повышением прав)
• 👤 Осведомлённость о привилегиях — обычные пользователи выгружают только свою сессию через ненадёжное LSA-соединение; имитация SYSTEM не требуется
• 📋 Обнаружение сессий — находит все активные сеансы входа
• 🗂️ Режим списка — выводит только пользователей и метаданные билетов без извлечения base64-бобов
• 🎯 Извлечение одного билета — цель по LUID и/или имени службы
• 🎟️ Извлечение билетов — получает подробную информацию о билетах Kerberos
• 📦 Вывод в Base64 — готовый к использованию формат билета

🚀 Быстрый старт

Требования

• Windows-машина
• Права администратора для выгрузки всех сессий (обычный пользователь всё равно может выгрузить свои собственные билеты)
• .NET 8.0+ (для сборки)

Установка

Вариант 1: Сборка одного исполняемого файла (рекомендуется)

dotnet publish -c Release -r win-x64 --self-contained true /p:PublishSingleFile=true

Вариант 2: Простая сборка

dotnet build --configuration Release

Использование

.\Wonka.exe <list|dump> [/luid:<luid>] [/service:<name>]

Запуск .\Wonka.exe без аргументов (или с -h) выводит справку — для выполнения каких-либо действий нужно явно указать dump или list.

Wonka адаптируется к привилегиям, с которыми запущен:

• Администратор → обрабатывает все сеансы входа на хосте.
• Обычный пользователь → обрабатывает только билеты текущего пользователя (ненадёжное LSA-соединение, без имитации SYSTEM).

Режимы и опции

/luid и /service — фильтры только для режима dump; их использование с list отвергается.

Примеры

# Показать справку (также отображается при запуске без аргументов)
.\Wonka.exe -h

# Выгрузить все доступные билеты (все сессии, если с повышением прав, иначе только ваши)
.\Wonka.exe dump

# Просто перечислить, у кого есть билеты, без извлечения блобов (администратор)
.\Wonka.exe list

# Извлечь один билет krbtgt (TGT) для одной сессии входа
.\Wonka.exe dump /luid:0x3e7 /service:krbtgt

📖 Пример вывода

Starting Kerberos ticket extraction process...
[+] Running with administrative privileges
[+] Successfully impersonated as SYSTEM
[+] Logon sessions found: 15

[+] User: [email protected]
[+] LogonId: 0x3e7 | Tickets found: 3

-----------------------------------------------------------------------
Username = charlie.bucket
DnsDomainName = chocolate.factory
StartTime ---> 10/21/2025 10:30:15 AM
EndTime ---> 10/21/2025 8:30:15 PM
Server Name ---> krbtgt/CHOCOLATE.FACTORY
Ticket b64 ---> YIIFgjCCBX6gAwIBBaEDAgEWooIEhjCCBIJhggR+MII...
-----------------------------------------------------------------------

В режиме list вывод идентичен, за исключением того, что строки Ticket b64 / EncType опущены — вы получаете метаданные без извлекаемого блоба билета.

🏗️ Структура проекта

Wonka/
├── Program.cs      # Разбор CLI + логика извлечения билетов
├── Winapi.cs       # Определения Windows API
└── Wonka.csproj    # Файл проекта

🔧 Технические детали

Используемые основные API

• OpenProcessToken / DuplicateTokenEx / ImpersonateLoggedOnUser / RevertToSelf — имитация SYSTEM (путь администратора)
• LsaRegisterLogonProcess — привилегированная регистрация LSA (путь администратора)
• LsaConnectUntrusted — непривилегированное LSA-соединение для текущего пользователя (путь обычного пользователя)
• LsaEnumerateLogonSessions — перечисление сессий
• LsaCallAuthenticationPackage — взаимодействие с Kerberos

Как это работает

С повышением прав (Администратор):

1. Имитирует SYSTEM через маркер процесса winlogon
2. Регистрируется в Local Security Authority (LsaRegisterLogonProcess)
3. Перечисляет все сеансы входа
4. Извлекает билеты Kerberos из каждой сессии (или только те, что соответствуют /luid / /service)
5. Выводит билеты в формате Base64 (или только метаданные в режиме list)

Обычный пользователь:

1. Открывает ненадёжное LSA-соединение (LsaConnectUntrusted) — имитация не требуется
2. Запрашивает собственную сессию входа вызывающего (LUID {0,0})
3. Извлекает билеты Kerberos текущего пользователя

🛠️ Устранение неполадок

⚠️ Правовое уведомление

«Немного чепухи время от времени нравится и самым мудрым людям».

Этот инструмент предназначен только для авторизованных исследований безопасности и тестирования. Как и фабрика Вонки, входите только с разрешения! 🏭

Используйте ответственно:

• ✅ Исследования и обучение в области безопасности
• ✅ Авторизованное тестирование на проникновение
• ✅ Администрирование систем
• ❌ Несанкционированный доступ к системам

🍫 О проекте

Создан для профессионалов в области безопасности, которым нужно извлекать билеты Kerberos такие же сладкие, как шоколад Вонки. Помните: с большой силой приходит большая ответственность!

«Так сияет добрый поступок в усталом мире». 🌟