搜索

[8580] 2015-01-12_深入解读MS14-068漏洞：微软精心策划的后门？

文档创建者：s7ckTeam
浏览次数：37
最后更新：2025-01-17
2015-01-12_深入解读MS14-068漏洞：微软精心策划的后门？ 深 入 解 读 M S 1 4 - 0 6 8 漏 洞 ： 微 软 精 心 策 划 的 后 门 ？ F r e e B u f   2 0 1 5 - 0 1 - 1 2 0 x 0   背 景 背 景 初 次 认 识 该 漏 洞 是 在 初 次 认 识 该 漏 洞 是 在 F r e e B u f 上 对 该 漏 洞 的 预 警 《 漏 洞 预 警 ： 系 统 权 限 提 升 漏 洞 （ 上 对 该 漏 洞 的 预 警 《 漏 洞 预 警 ： 系 统 权 限 提 升 漏 洞 （ C V E - 2 0 1 4 - 6 3 2 4 ） 影 响 全 版 本 ） 影 响 全 版 本 W i n d o w s 服 务 器 》 ： 服 务 器 》 ： 微 软 今 天 （ 2 0 1 4 - 1 1 - 1 8 ） 发 布 了 一 个 紧 急 补 丁 ， 修 复 了 一 个 影 响 全 部 版 本 W i n d o w s 服 务 器 的 严 重 漏 洞 。 今 天 发 布 的 M S 1 4 - 0 6 8 漏 洞 补 丁 用 于 解 决 M i c r o s o f t   W i n d o w s   K e r b e r o s   K D C 漏 洞 （ C V E - 2 0 1 4 - 6 3 2 4 ） ， 该 漏 洞 允 许 黑 客 提 升 任 意 普 通 用 户 权 限 成 为 域 管 理 员 （ D o m a i n   A d m i n ） 身 份 。 也 就 是 说 ， 你 在 一 台 普 通 域 用 户 的 机 器 上 利 用 这 个 漏 洞 ， 那 么 这 个 域 用 户 就 变 成 域 管 理 员 权 限 ， 然 后 ， 该 域 用 户 就 可 以 控 制 整 个 域 的 所 有 机 器 了 。 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 5 2 1 2 7 . h t m l 那 么 ， 问 题 来 了 ， 该 漏 洞 的 威 力 真 的 有 这 么 大 吗 ？ 那 么 ， 问 题 来 了 ， 该 漏 洞 的 威 力 真 的 有 这 么 大 吗 ？ 网 上 出 现 了 G i t h u b 上 爆 出 的 该 漏 洞 的 P y t h o n 利 用 程 序 ， P y t h o n   K e r b e r o s   E x p l o i t a t i o n   K i t ， 也 就 是 P y K e k ， 当 然 ， 其 它 站 点 也 都 开 始 了 转 发 。 经 经 过 测 试 ， 过 测 试 ， W i n 7 的 普 通 域 用 户 运 行 该 漏 洞 程 序 确 实 能 够 成 为 域 管 理 员 权 限 。 但 网 上 大 家 的 测 试 都 是 在 域 用 户 的 本 地 账 户 中 才 能 测 试 的 普 通 域 用 户 运 行 该 漏 洞 程 序 确 实 能 够 成 为 域 管 理 员 权 限 。 但 网 上 大 家 的 测 试 都 是 在 域 用 户 的 本 地 账 户 中 才 能 测 试 成 功 。 成 功 。 为 什 么 为 什 么 W i n d o w s 关 于 关 于 M S 1 4 - 0 6 8 的 公 告 板 中 并 没 有 提 出 这 一 点 ？ 按 道 理 来 说 ， 越 是 有 限 制 的 漏 洞 利 用 对 软 件 开 发 人 员 越 是 有 利 的 ， 的 公 告 板 中 并 没 有 提 出 这 一 点 ？ 按 道 理 来 说 ， 越 是 有 限 制 的 漏 洞 利 用 对 软 件 开 发 人 员 越 是 有 利 的 ， 漏 洞 利 用 的 机 会 越 少 ， 他 们 受 到 的 谴 责 就 会 越 少 。 漏 洞 利 用 的 机 会 越 少 ， 他 们 受 到 的 谴 责 就 会 越 少 。 那 么 ， 问 题 又 来 了 ， 真 的 只 能 用 域 用 户 的 本 地 账 户 漏 洞 才 能 利 用 成 功 吗 ？ 那 么 ， 问 题 又 来 了 ， 真 的 只 能 用 域 用 户 的 本 地 账 户 漏 洞 才 能 利 用 成 功 吗 ？ 自 从 F r e e b u f 发 布 该 漏 洞 预 警 后 ， 再 也 没 看 到 另 有 分 析 文 章 出 现 ， 甚 至 也 没 有 P O C ， 这 让 我 为 心 目 中 伟 大 的 F r e e b u f 捉 急 哇 ， 心 情 低 落 到 极 点 ， 所 以 ， 自 己 决 心 从 头 开 始 研 究 该 漏 洞 。 这 样 的 话 ， 问 题 又 来 了 ， 作 为 不 懂 这 样 的 话 ， 问 题 又 来 了 ， 作 为 不 懂 K e r b e r o s 协 议 的 小 白 ， 这 个 漏 洞 到 底 是 怎 么 产 生 的 ？ 协 议 的 小 白 ， 这 个 漏 洞 到 底 是 怎 么 产 生 的 ？ 带 着 种 种 疑 问 ， 我 开 始 了 分 析 之 旅 ， 时 隔 半 月 ， 分 析 完 成 后 ， 没 想 到 却 发 现 了 一 个 天 大 的 秘 密 ， 我 从 下 面 几 点 向 大 家 分 析 一 下 关 带 着 种 种 疑 问 ， 我 开 始 了 分 析 之 旅 ， 时 隔 半 月 ， 分 析 完 成 后 ， 没 想 到 却 发 现 了 一 个 天 大 的 秘 密 ， 我 从 下 面 几 点 向 大 家 分 析 一 下 关 于 这 个 漏 洞 的 方 方 面 面 ， 来 揭 示 这 个 笔 者 认 为 有 人 精 心 策 划 的 漏 洞 。 于 这 个 漏 洞 的 方 方 面 面 ， 来 揭 示 这 个 笔 者 认 为 有 人 精 心 策 划 的 漏 洞 。 0 x 1   P y t h o n 版 版 P o C 的 测 试 利 用 的 测 试 利 用 首 先 网 上 的 P y t h o n 版 P y K e k ， 搭 建 域 环 境 、 P y t h o n 环 境 ， 对 该 漏 洞 进 行 了 测 试 ： （ （ 1 ） 测 试 环 境 ） 测 试 环 境 目 的 ： 将 普 通 域 用 户 权 限 提 升 为 域 控 权 限 （ 漏 洞 利 用 后 ， n e t   u s e   s w g . s e r v e r . c o m c $ 可 以 直 接 访 问 域 控 的 网 络 资 源 ） （ （ 2 ） 测 试 步 骤 ） 测 试 步 骤 A . 利 用 域 账 户 d o m a i n u s e r / D o m 1 2 3 4 5 登 录 普 通 域 机 器 W i n 7 ， 获 得 该 域 账 户 的 域 S I D ： B . 以 本 地 账 户 t e s t / 1 2 3 4 5 6 登 录 普 通 域 机 器 W i n 7 ， 运 行 P y K e k 漏 洞 利 用 程 序 ：
此 时 在 C : U s e r s t e s t 文 件 件 会 产 生 M I T 格 式 的 T G T 文 件 T G T _ d o m a i n u s e r @ S E R V E R . C O M . c c a c h e C . 利 用 m i m i k a t z 工 具 将 得 到 的 T G T _ d o m a i n u s e r @ S E R V E R . C O M . c c a c h e 写 入 内 存 ， 创 建 缓 存 证 书 ： 利 用 k l i s t 命 令 能 够 看 到 m i m i k a t z 创 建 缓 存 证 书 前 后 的 区 别 。 创 建 缓 存 证 书 之 前 ： 创 建 缓 存 之 后 ： D .   在 普 通 域 机 器 W i n 7 的 本 地 账 户 中 执 行 ： 你 会 惊 奇 地 发 现 ， 不 用 提 供 W i n 2 0 0 3 域 控 的 账 号 密 码 就 直 接 可 以 连 接 到 其 C 盘 ， 也 就 是 说 ， 现 在 可 以 访 问 W i n 2 0 0 3 域 控 机 器 C 盘 ：
正 如 宣 称 的 那 样 ， 漏 洞 成 功 利 用 后 ， 域 用 户 在 不 知 道 域 控 密 码 的 情 况 下 ， 可 以 随 意 访 问 域 控 上 的 资 源 ， 怪 不 得 大 家 都 说 ， 有 了 这 个 漏 洞 ， 再 也 不 用 狂 扫 密 码 了 。 这 是 网 上 普 遍 转 发 的 一 种 漏 洞 利 用 姿 势 ， 需 要 注 意 的 是 ， 域 S I D 是 以 域 用 户 登 录 W i n 7 域 机 器 获 得 的 ， 而 漏 洞 利 用 则 是 在 该 域 机 器 的 本 地 账 户 下 才 能 测 试 成 功 。 如 果 搭 建 了 测 试 环 境 ， 你 会 发 现 ， “ 先 用 域 账 户 获 得 S I D ， 然 后 不 得 不 再 登 录 本 地 账 户 测 试 漏 洞 ” 这 一 过 程 是 多 么 繁 （ d a n ） 琐 （ t e n g ） 。 当 然 ， 后 面 会 讨 论 为 什 么 在 域 账 户 下 无 法 利 用 成 功 ， 并 提 出 一 种 绕 过 方 法 。 漏 洞 利 用 就 是 这 样 的 ， 接 下 来 我 们 分 析 一 下 这 个 漏 洞 到 底 是 怎 样 产 生 的 。 漏 洞 利 用 就 是 这 样 的 ， 接 下 来 我 们 分 析 一 下 这 个 漏 洞 到 底 是 怎 样 产 生 的 。 0 x 2   关 于 关 于 K e r b e r o s 协 议 协 议 在 谈 M S 1 4 - 0 6 8 漏 洞 之 前 ， 有 必 要 先 了 解 一 下 K e r b e r o s 协 议 。 K e r b e r o s 协 议 是 一 种 基 于 第 三 方 可 信 主 机 的 计 算 机 网 络 协 议 ， 它 允 许 两 个 实 体 之 间 在 非 安 全 网 络 环 境 （ 可 能 被 窃 听 、 被 重 放 攻 击 ） 下 以 一 种 安 全 的 方 式 证 明 自 己 的 身 份 。 下 面 我 们 从 下 面 我 们 从 K e r b e r o s 是 如 何 设 计 出 来 的 来 学 习 该 协 议 的 原 理 。 是 如 何 设 计 出 来 的 来 学 习 该 协 议 的 原 理 。 这 个 协 议 解 决 的 根 本 问 题 ， 假 设 A 和 B 共 有 一 个 秘 密 ， 在 一 个 非 安 全 网 络 环 境 中 ， A 怎 样 才 能 向 B 证 明 自 己 就 是 A 。 最 简 单 的 方 式 就 是 ， 最 简 单 的 方 式 就 是 ， A 直 接 将 秘 密 发 送 给 直 接 将 秘 密 发 送 给 B ， 由 ， 由 B 来 判 断 这 个 秘 密 的 真 伪 。 但 在 非 安 全 网 络 环 境 中 ， 秘 密 可 能 会 被 窃 听 或 中 间 人 攻 来 判 断 这 个 秘 密 的 真 伪 。 但 在 非 安 全 网 络 环 境 中 ， 秘 密 可 能 会 被 窃 听 或 中 间 人 攻 击 ， 所 以 这 种 方 式 不 可 取 。 击 ， 所 以 这 种 方 式 不 可 取 。 接 下 来 考 虑 的 是 ， A 用 秘 密 作 为 密 钥 加 密 一 段 文 字 生 成 一 段 密 文 ， 然 后 将 文 字 本 身 和 密 文 一 起 发 给 B ， B 接 收 后 用 秘 密 解 密 密 文 得 到 文 字 ， 然 后 和 接 收 的 文 字 对 比 ， 如 果 两 者 一 致 ， 那 么 也 能 证 明 秘 密 的 正 确 性 ， 从 而 也 能 验 证 A 的 身 份 。 但 如 果 该 认 证 请 求 被 窃 听 ， 攻 击 者 能 得 到 加 密 后 密 文 和 加 密 前 的 明 文 ， 只 要 时 间 允 许 ， 总 能 推 导 出 密 钥 的 数 值 ， 也 就 是 秘 密 肯 定 会 被 窃 取 。 所 以 密 码 界 有 个 规 定 ， 长 期 存 在 的 密 钥 不 适 合 在 网 络 中 传 输 ， 否 则 总 会 有 被 窃 取 的 风 险 。 不 使 用 长 期 存 在 的 密 钥 ， 那 使 用 短 期 存 在 的 密 钥 进 行 验 证 应 该 是 没 问 题 的 ， 关 键 是 ， 谁 来 提 供 这 个 短 期 存 在 密 钥 给 A 和 B ？ 于 是 就 出 现 了 第 三 方 可 信 机 构 K e y D i s t r i b u t i o n   C e n t e r ， K D C 。 … … … … 【 更 多 内 容 请 点 击 最 下 方 的 阅 读 原 文 】 【 更 多 内 容 请 点 击 最 下 方 的 阅 读 原 文 】 [ 本 文 作 者 本 文 作 者 w a l k e r f u z ， 本 文 属 ， 本 文 属 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） 原 创 文 章 奖 励 计 划 ， 未 经 允 许 禁 止 转 载 ） 原 创 文 章 奖 励 计 划 ， 未 经 允 许 禁 止 转 载 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理