渗透测试某大型集团企业内网

admin

+ w* `0 r( D/ p! P

0 z+ [* c1 y+ Q( k

3 j# O @# J( d8 T: A& n; _' f 1、弱口令扫描提权进服务器 + l6 i3 O3 i/ T6 I; X

+ d" P+ w/ s, X& O0 Y

9 f; J& l. |" H, {$ o8 ^ 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: : h, o% y) ~" p" Y7 f# J0 I- a5 ] c3 |

; f- u* C5 f6 k4 h0 a" N

---

- P: B) u" F- W6 A+ b) h ) }/ V! f1 l8 T/ m/ `& n

) h- J& z6 n* x& u

2 r) ^2 q. T) N1 K

/ ]& [. ~& h+ B, F ! e, N, `- [' Z" ?7 _% w

n# d' f2 n- e* ^$ ~: q: A0 I, E

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 # y) j( i3 v- p$ Q% P1 m

3 g3 z, l; j5 l9 h

$ p6 e: m6 v. L" u 执行一下命令看看 8 |: }8 U" Q( s% @9 L5 F1 g

+ i" H- M) z# Q5 p1 T5 ]

( z0 s) Q7 R/ H$ V6 g; H

) t3 s0 Q: l2 [$ a

: Q2 T$ {* i! ~ " R' ]! G$ b+ ]4 R' L- B4 r: Q* h; A( o

---

+ `% l5 J( m8 s , `# t* ^! U* M4 G

% `* [6 g( w, F( j

! n, q z$ C' ~2 N( | s3 b3 S 开了3389 ，直接加账号进去 7 [0 B+ _9 z+ S; Z2 ~9 q0 m; w. `

% w$ K% F, ]' ]8 L1 d* k5 u) v

4 B; r g9 x$ p( a+ F 1 C. A5 ]5 ]* q) B: P2 n

---

* p8 E' r* C0 \3 |3 J: R

9 k- w( r( M/ _& ]

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 9 Z+ ?; R" M8 A: k5 \

. K6 C) g1 L2 F1 ^& n( X! b) h/ l

0 B( H: n/ x! N. k n5 P

---

3 Z' e9 \& t- V3 r2 D. j 4 [# Y9 Y% n9 M0 t) t3 l

2 X* u1 W, m: Z: g& t1 v& Z

+ D: ~2 @6 Y- o1 g# b

; S; d" t W, X& L8 X2 h

1 ^# p Y2 Y+ I. w J* s 直接加个后门，

' g6 E2 g( O2 t9 i

1 j6 V3 Z$ k, S9 e( ?

: E8 A" v O7 Y9 U( {

& ]% ?: N9 R8 R, R$ S

---

* P! s }% I! E/ }3 Z& V

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 ! q$ h o$ D1 C6 q5 w% |. a

* E3 o' m2 a5 ]/ X8 F* W$ R

" H0 S F& F0 V5 { 2 、域环境下渗透搞定域内全部机器 ! E: j, g9 I5 o. Z- h

: r& U. _3 w1 M5 g& y* T4 a

5 N ^( M: r! d8 ?, X& b7 C 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

! e9 X- f3 a. J E1 z' X& {, J1 ^

---

0 L6 k+ M$ Y0 m7 B p* V

; y% N) W4 z$ k& [5 V

) N6 V0 p% T0 t

F7 o- U6 q. m 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

7 `) ?! {* ~8 E. K0 K, w4 Y$ l6 x1 o * g. U) `( k1 |( c5 l

---

$ f% h2 U) w, t! e' g$ q$ G

; P, }7 |# Z$ f; x: [# w

- |# ~; O2 t, w0 U( b. x z% T* R7 W 5 R9 g8 j! Q3 {) u/ W6 @' y

! X1 y3 n; k8 M* _& q 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

6 @% m' _: r L6 \( R

---

, G4 b' q1 ~# W" M% y$ W3 z& N

3 p: U8 L5 a: d5 I- Y# X + r: \$ j" g8 r! E: o

利用cluster 这个用户我们远程登录一下域服务器如图： + }) O- h6 H( U* H4 d- e1 T2 X; A: R6 z' F

( q# X9 M- b. S

---

+ j* w& x( S% j4 {6 i/ n* W7 y . m% z2 s* S. l2 q

) X) U! ^0 @# \4 T8 o 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

$ @/ `2 Z( W1 Q# n9 L

- C, J8 f$ M6 R( Z; ]& k' ~% S

---

# {' g4 [. h" f( l

# i# P1 f7 e7 h! c

7 x/ ?% w# o0 n# A

9 @' z* a% O6 g9 R+ m9 k 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

# s# b. H' l3 B0 B: B2 V3 |

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

4 @6 B7 }/ e: _" p* p% {. v

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

# o$ Y, J( F% ~

---

+ e+ a; p! p0 w2 N4 B

$ X9 M' a& G! n Q* P 8 x* G+ z+ f5 T- y w0 G

- q: C/ Q2 C. ?+ g* r; L# q- v 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 6 D1 d4 Z g6 E$ t/ r" A- U

---

5 d9 D( G; p, g0 T* V/ F+ M& S

" x- v# V7 j e; M

6 h+ a3 i) I3 `! a

& K2 q' V% E5 y$ n" w) C 利用ms08067 成功溢出服务器，成功登录服务器 + `; r' `: L( |' }5 g( ~7 c! `

# k! ^" V5 \/ ]1 r9 Q5 ]" P

---

& a4 n- `: n5 R9 u; s5 W

; b. C9 t, T! }& F, i

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen $ I6 W) h" N; b; h, f

A: P; y _- U5 ?: f 这样两个域我们就全部拿下了。 ; M# w' ?) y4 ?. [' S' u2 U r

; k" O% R* U {- d$ W

3 、通过oa 系统入侵进服务器 % [, m# ^" X, Q

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

8 \( f5 j$ c4 l0 N' h! H

* D1 ]% u+ \) {3 }6 a

---

1 x6 n v; u4 g5 r( q' ^, O 4 m# H: y. R4 \. ^

- I6 }1 d! l. a6 j5 _ U4 b7 X$ I) p

4 b2 d% J5 g0 y* p

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 1 B: I; k5 `0 f

) o) t0 f& @8 H5 j

---

( G5 J4 J) I0 m8 p$ p0 G

+ ?$ x) h# ], x& Y+ J9 w ! E4 z! k, W* M

填写错误标记开扫结果如下 , M- D4 T; J' c

/ T9 W" `- p( o: [# P( T+ m " z$ {$ ?+ |4 @1 J6 X1 U/ \1 ^" B

---

: f, K3 s0 y& B/ H9 X" m; f

$ ]! ^/ O9 D, u# W3 r 8 i! U0 z3 W( k" d2 o6 _

下面我们进OA ) ^8 ]8 o, a/ \

$ ^+ s% O& W7 Y

% c* @) O' x) L" x% d" k7 f) f' i; B

---

5 D; ~: y! a% l9 s+ |

. Y: k! K! D! x) x

% m8 V" x2 k5 ^ * N/ s: Z; I: a

我们想办法拿webshell ，在一处上传地方上传jsp 马如图

3 i: H& @6 O3 p0 d3 r! l; I

, J' `3 D7 D m: L6 u- d! p

---

9 Q2 {6 o$ p5 k: P' G2 @" b

. ?" H% g% \, |5 u2 Q

0 e; O5 `5 }$ m4 k

) m0 H. q6 H; S# O5 g& T8 c) K 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

4 、利用tomcat 提权进服务器 6 z+ J1 C% F" Z6 g# s- G+ r

1 w! m4 a! ^6 x+ K. K' Q

用nessus 扫描目标ip 发现如图 9 J) |5 N3 F" ]; y. v

7 T3 `# Y6 J6 r( _( P

" f0 F" J3 `; |3 I2 P 1 L, c* a$ r$ Y0 p

---

; ?6 P' b _) b. n 7 ]' m6 z9 y7 a2 @- `

/ c# D, G. E2 G4 m( z I4 F& j q6 b, O* U3 `7 Y3 C

1 {) ^7 ?# N! U# \0 B* Q

* k6 ~- H7 E1 M9 T+ ` 登录如图： * @, }+ X0 N6 C2 a1 H. J/ V2 `! \

1 |; T3 ^% t* i/ B! t0 V0 G+ X; C6 _$ t

+ \! a; P1 k% M$ T

---

: C8 m3 Q, M5 m3 ^$ [

' Y, e$ Z: o0 m

找个上传的地方上传如图：

9 Q8 W- O7 s3 a

---

& k0 u M/ s: f7 D

" ~/ i4 H8 j3 I$ d / w: [- V# E( X. z

% P. d& @/ U4 }) X4 I2 N) a 然后就是同样执行命令提权，过程不在写了

( ^7 W2 `* b0 z6 _2 }/ O

( A0 E0 \/ h) A% ^* V# j$ i( h( i 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 6 i2 T: \# D( p0 m( p5 \

" Z z- a' V: B8 O/ t

首先测试ARP 嗅探如图

---

8 S) @2 b8 O4 O4 v4 T/ y5 y& h0 v

$ V4 y8 @5 O" W

测试结果如下图： 4 `6 T+ `" d0 H, Y: B/ }

---

哈哈嗅探到的东西少是因为这个域下才有几台机器

; D t* x. `# R* a

下面我们测试DNS欺骗，如图：

5 F4 J7 I* d' X8 b1 u

2 @+ Y' `. ^) J! N! f" n ^ + ]/ N4 [6 B+ e

---

7 N) x& U, z0 l% |' ~ w9 b6 @ - N! ^6 M; t% \' I5 F! O

' ]- L! K9 k4 H$ n# D" \0 J

3 G0 F# C( @6 J$ }: z* b 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： $ {* x2 K4 m+ g& ]; T

8 ^1 R/ e( C- Q

---

7 Z2 k5 a4 d; v, @* d3 L+ J/ T4 z: l

0 h+ ~- ^( U% V2 a9 F0 j

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

2 A0 t, U" v; b1 S' w$ b! Z5 @ g4 n

6 、成功入侵交换机

9 X+ S/ C. Q4 C4 j) _

! m* s# ?1 g% W: ?' M 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

/ z$ i8 r" X* m2 H) y: Q 我们进服务器看看，插有福吧看着面熟吧 3 L5 F* A: a# @! @* [' b; g

---

% Q( g/ c; N, ^% S2 _" {; r

, B2 v5 ?5 W: }% i9 c

1 T) k# D1 Z% w1 j

X! Y, m& z9 r1 h- F( c/ ] 装了思科交换机管理系统，我们继续看，有两个 管理员 1 Q9 b9 b9 M6 J- m7 J) }; y; ]2 Y

: ^0 i' q: x* D5 ^* J' _' a

* b9 I( f5 y+ I6 H K# s

---

! V2 P' _8 Q) Q9 h8 M$ W: [ 7 }" I: Y u q0 J

; P+ M/ T( w' c5 O

) l; Q" U) A k# V. v8 j

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

$ K7 l0 T4 v9 b/ p7 r

---

% R) J- \* f6 F( u

0 n9 i+ u7 T8 x: C9 s6 k' y

( A/ \5 q' M7 c- u- v 2 _6 g% V/ V0 v) c

/ T% w; U4 T4 u

; a: K0 |" y; o1 a3 R 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： 2 M8 } I! j1 }3 T# ] [* [

% O. k3 w* ^) k9 Z

---

) n# I3 g9 l$ f : f. Y* G* c3 s/ N0 [

& w+ h: ?3 F( s" w4 g$ E9 U

g1 N( d# ]. u+ ?0 \/ {

+ E7 S* Q C% r3 B) \) r3 d) k6 w1 y

点config ，必须写好对应的communuity string 值，如图：

* K5 Q- {, Z- K% m

---

: O! V) U$ h$ Q% T4 w- e" ?) `9 Z

$ Z# Z" g' r, P" N# Y7 z

6 B6 M) l. u9 J. @ 6 p2 x! a+ ~" o5 c/ m

远程登录看看，如图： O. A* `1 I/ ?; n

9 e9 a F, o; e

---

: g5 S1 c6 T) D

( x1 r. x( i6 Y- O a

+ w! X0 o: i0 s# {- H& R 直接进入特权模式，以此类推搞了将近70 台交换机如图： i; Q9 b" J( x- ]# o* b4 X

" }9 y1 {4 g7 o$ a4 U D8 [% N

---

4 r- ]$ f3 J' c4 z/ D! [

$ }6 g2 O5 G1 D% c7 O' Z : G7 j+ c# v/ S% F2 V1 f) E, ?& E

9 L0 Z4 Q8 v) K$ j% F6 [1 u- U; G

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

: R, z ?+ ]- \6 v" a

! C& p# |4 }& u! \$ I, b& { G

---

1 z$ u, l% q1 t : Q$ v& e$ n0 U$ u& c* y

: x$ Q/ ^8 p C/ ^$ }8 L5 o! I1 J

L- C5 c/ z. K" P 9 D% K1 ]' s6 a. Q5 C- x

确实可以读取配置文件的。

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

, }, q' T3 m0 q+ N. k5 G

' e; I1 u8 }" W5 J! o$ t K. E' V4 o0 ^3 a; ~! G

---

6 y- o" E# s. F" k. N " n; S6 A3 Q$ u

& B0 B! F+ i& @/ l " x( `2 s% y F1 l8 M o

2 ?3 b2 B2 e: X# `% @9 F 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 $ f: s6 s& U1 v+ S& w

8 D& u1 f6 d3 b; [

% ]* G" |7 J- c) f5 e5 j 1 x/ x6 g, Z, M% E

---

* {) l+ O( b3 X5 a9 d

! z! Y+ i8 Z6 z r" j, E

. {$ i; h1 e* m' J T & z, I( \ `9 r; F

3 I: b0 ?1 @+ K/ g; B

/ k4 C r0 }8 u4 M6 }8 R 上图千兆交换机管理系统。 " @# M8 B1 j5 t/ \' d

1 ~6 a1 i/ A! J+ R 7 、入侵山石网关防火墙

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 6 o6 y5 C7 N6 ?& p: U; B" c* s8 H

---

% v4 m0 P# \6 H1 @, B4 I' E& F6 N3 f

! E2 o! Y# e3 F, l! {

0 x4 N# g6 V7 D4 B0 v* R5 O

' t* h) |" {0 R) W6 ~ 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： & }( ` j2 k. @2 d8 t) k/ F

---

2 x, g/ ]! b1 \3 n2 ] L/ f w9 m. X

# o9 c/ k/ A5 u0 W ! H% } v) A" ~/ h

+ |$ @; a9 q0 T {

然后登陆网关如图：**

2 ]+ q( G: u" o: u# p

---

* F& u8 _3 o$ x- ^3 J* v

' n( |8 f/ I2 V4 P" }$ j

! c7 w* A0 p Q4 r# i ) |2 r$ z4 W- D- U% Y% ^# u7 j

---

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 8 s$ `" a; d) t% {+ }, O" R: n

% r7 B5 Z+ @, @ M0 g5 w# S1 g2 f 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** ; a. i9 v0 E! `# n$ K+ O

---

, i5 K- K( O/ `" d% {5 e) I" r ! H7 K- t6 q3 w/ W9 ]/ T; T0 t, E

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 4 `& h! T @8 E' n6 |7 n7 e

8 s" [ F& Z- [" R  

7 m4 X/ r8 N9 F/ o# W, M# U

* v( _6 }) K4 j, n