用途：Pass-the-Ticket（PtT）是一种横向移动技术，利用窃取的 Kerberos 票据（TGT 或 TGS）在不知道用户密码的情况下向服务认证。从被控主机的内存（LSASS）中提取 Kerberos 票据后，可将其注入自身会话，冒充票据所有者访问资源。该技能仅限授权安全测试与教育用途；未经授权对非自有或未获书面许可的系统使用属违法。
主要能力与工作流：
- 票据提取：在目标工作站获得本地管理员权限，使用 Mimikatz 或 Rubeus 从 LSASS 内存转储 Kerberos 票据，导出为 .kirbi（Mimikatz）或 base64（Rubeus），识别高价值票据（域管理员 TGT、关键系统的服务票据）。
- 票据注入：清除攻击者会话中现有 Kerberos 票据，导入/注入窃取的票据，验证票据已加载且有效，使用注入票据访问目标资源。
- 横向移动：以被盗票据身份访问远程系统，执行操作，从被访问系统收集更多凭据，记录成功横向移动的证据。
工具与命令：Mimikatz 用于票据导出/导入（sekurlsa::tickets /export、kerberos::ptt）；Rubeus 用于票据转储与注入（dump、ptt、tgtdeleg）；Impacket ticketConverter 转换格式（ticketConverter.py ticket.kirbi ticket.ccache）；Impacket psexec/smbexec 配合票据远程执行（KRB5CCNAME=ticket.ccache psexec.py）。
MITRE ATT&CK 映射：T1550.003（使用替代认证材料：Pass the Ticket）、T1003.001（OS 凭据转储：LSASS 内存）、T1558（窃取或伪造 Kerberos 票据）、T1021.002（远程服务：SMB/Windows 管理共享）。
适用场景：涉及 PtT 攻击的安全评估、相关安全事件的事件响应流程、计划性安全测试或审计、通过实操验证安全控制。
前提条件：熟悉红队概念与工具；可安全执行的测试或实验环境；Python 3.8+ 及所需依赖；测试活动具备适当授权。
检测指标：事件 ID 4768 出现异常客户端地址；事件 ID 4769 来自意外主机的服务票据请求；TGT 使用 IP 与签发 IP 不同；同一票据在多台工作站上多次认证。
验证标准：从被控主机提取 Kerberos 票据；票据注入攻击者会话；使用被盗票据演示横向移动；为报告捕获证据。
限制：资料未提供具体收费、价格、平台支持范围或效果保证等信息。