killvxk 使用说明
- 安装依赖：
pip install python-evtx lxml - 从域控制器收集 Windows Security EVTX 日志。
- 解析事件 ID：
- 4768：Kerberos TGT 请求（认证服务请求）
- 4624：登录事件（查找使用 NTLM 或 Kerberos 的 LogonType 3）
- 4672：特殊权限分配（管理员登录指标）
- 检测黄金票据指标：
- 有效期超过 10 小时的 TGT（默认最大值为 10 小时）
- 非 Domain Admins 成员账户触发事件 4672
- 无对应 4768 TGT 请求的登录事件
- 票据数据中的域 SID 不一致
- 生成带有时间线重建的检测报告。
python scripts/agent.py --evtx-file /path/to/Security.evtx --output golden_ticket_report.json
示例
检测异常权限分配
标准用户账户触发事件 4672 并获得 SeDebugPrivilege、SeTcbPrivilege 或 SeBackupPrivilege，表明可能存在黄金票据使用。
无对应 AS-REQ 的 TGT
使用 Kerberos 认证的登录事件（4624）但域控制器上没有匹配的 4768（TGT 请求），说明可能是伪造的 TGT。