记一次某医院渗透（近源） - 中国网络渗透测试联盟

声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

众亦信安，中意你啊！
1 g: V! v. F2 M# s8 U/ `2 n
3 X1 Y; g, \1 c. D2 H& ZingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

8 A ^7 J& X& R, E
/ B2 F/ p$ T- ]! [ 众亦信安 9 ]5 K2 X# s! @, s1 V
3 c! U; U c5 A; J7 w1 c9 t
1 ?) p9 @) }6 ~, x: o+ n5 r 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> @9 N0 F! D& F) p- ^
5 s3 H' Q% u/ h* g4 M5 o
* j2 M( t+ g5 p) H) |% z: Q; N/ p! K' h ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> / T2 t, b# G# f/ t& s# b* g, V
6 M$ q! x, C4 H; V
* J' E' z2 Z1 Q0 u1 l5 \7 { 公众号ingFang SC,serif;"> . C2 X: r" S) D6 O+ W3 S9 W' c
" ?6 Q+ C: k& f1 k9 y; }
. A) y `& ^1 ^$ v$ r3 U
8 N) N# v2 A8 J1 l' j+ I
, G# D5 v+ G' S; g : x7 Y/ F' ~4 g r8 L
0 M9 {1 B/ B' [! T r+ t% x
点不了吃亏，点不了上当，设置星标，方能无恙！ 1 D: i! \6 M" _1 M
' C" x4 _: b5 e' w6 D ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> % J8 O6 d$ r1 Z3 i3 m' `
2 ~3 C K" e/ [
2 C( s- X: K/ L/ p1 Z 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 . P) |7 }, X( `. l3 z4 R
3 _# E4 B' _: @5 `; R/ v6 {. ]& L/ C
4 o& R3 {" g4 p V3 @5 J 0 |" ^1 Z7 p1 }' l0 o
` M) y. N3 a0 v# w
! {" f2 O3 E5 P; W1 X 1 e0 {8 P6 E, X
# n$ E+ g# U2 y/ v 无线or有线& ?' U$ L' \ R: {6 C) A
# w3 A; c9 u+ ?0 ]/ X7 k7 ~ 4 k7 C. r* B3 P5 [8 |9 z# X* k6 z! m
0 |9 w7 i" P2 B( L& _8 S& E + z# H& ~1 S- A! p
8 ?! x- f: ?0 u) K0 q 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 $ f" T" B9 h( L+ @7 V: Z
! @5 S! ~3 x' a* u2 b; n, H# ^
: b. @; B& F- u; Q* c) i" d J 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 ! w$ \* Q7 r7 t
' A5 ^- T8 L5 f( j/ a) Z
_. K7 _" X5 N" ~+ E - x: e/ I- \3 P5 _2 Z$ o
' {* |7 U2 g2 q' k0 l: D% x: w
: Q" F- e- L3 D0 |. e |
- G8 ]; k- }0 s% u$ ]/ ~! L
* r8 S% q @9 W7 p 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 0 c" ^. ^3 Z+ O8 w! A( d& [
* M! @* N a4 K
. o/ N8 @7 b2 q! }; C7 Z, _, Z 2 I2 `4 j) Q' M9 _* H
( p0 V/ o7 k1 I O
5 h4 v" K( Y; [$ |# o* ~! V) D 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） 6 g/ ] \# w) o" h6 u4 O- ]
, k! x4 P$ @ I& n% U) N
1 r* q; o, m9 ^4 n+ p9 X' W8 I 3 w! A+ e& ~+ A
+ w; ` Y* b l" u3 | ~3 o) D0 X
1 s- p* _6 f/ h# E0 r2 Q 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 4 }3 r* ?1 G% \7 \# f& D6 u
6 e* A0 t2 U2 C
) v! c, [/ E5 R+ ` 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 " d6 n; t2 T( X5 r9 t
2 z' c1 n& s1 O& P0 Z- k
$ |% }4 K$ Y& k0 [) a- _9 n V% N& r 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 * G( g m7 T M- W7 Y6 P
! ]( Z, H7 t1 P: k a# a- d3 J
! B5 Y# `& `- j4 M0 l3 h8 f! f! I 6 h+ S; n- O( T4 g4 `5 {
0 Q5 S$ X2 P2 y. M& q8 q 内网渗透0 t' [2 j8 W& C6 t6 s" M; X
" r# b# W: g1 L) N: @; H : I% b2 I5 F5 h3 O
1 L( h! X8 y2 p) g 9 l) R( E! A4 B4 I
1 ~% I/ q: C% S4 d win下搭建cs和linux类似。 % e( N( |/ {( a2 @) {
' \$ h' c7 X/ P* a# A( X! C
7 f: f5 U* c2 S1 z2 g" [$ _" Q
teamserver.bat + ip + 密码
1 Y6 Z) t1 V. V( F# c8 [
* E' p: Y' y2 V8 U" X# M% ~. T6 G
& M0 }+ ^3 i2 C0 T+ A 4 z1 i/ ^! a4 Z6 v1 n0 Q) B4 E/ q
0 i6 i1 N- Y9 L+ e m( N
; f3 Z/ S% A/ ^% E fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） ' @' F$ t+ }( o1 V+ @. c
2 u: w; S l+ C! H% l" i
2 s4 C+ ^% Y3 M( Y8 w5 v 6 ^: n1 C+ v& D8 c
: p0 H9 t( I" L; F% x
) H5 s8 V8 g" a' [7 B4 L4 F ) N: a8 f$ w6 u% [1 v
6 h4 {5 _5 C& m' X, k% H8 M/ ?( w. l
8 V w; q1 _! v9 n! w 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
7 ?0 Y: r+ Y4 n# v/ B
( @# q2 H. K# F0 }4 r; c - k6 Z, \' w( G# c4 D& O
b) p$ g3 y' ?* S3 f7 E
2 s" t1 m, W: H: E, q# E& | : y; [9 S0 w/ R4 ~: Z
; u+ i' Z8 Q$ @( ?, S
( f, ]5 }- ?* F0 M. A fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 . ^8 g, |( ?' v: \
' X1 V4 E& d' b; \- W g
+ W& }: f8 _7 f* g PACS系统 . p. x3 ~( l0 J! ?, l: S
0 O8 e6 k, f% m
% h' L7 _2 l8 P4 q 4 B! m/ j1 a: L
$ T2 l/ O, e" ?/ E5 x- @- H
; E' [% H$ p# F% O
9 x' L# b( B9 P' T$ G/ e* ]) W
' P; W0 p0 e0 S ^ ?8 U# i% ^ ) n1 c% B0 z3 v) R1 B1 Z3 c
/ C+ N7 x6 F% Y i2 o1 B$ i
, ]7 H( d2 Q' N HIS系统 & D/ ~; e" i$ R/ [% L w* `# z! u
: h2 x. Z. U5 i/ o3 {
/ l; u% Q5 q" b9 `5 N% @ 7 d& y3 x: F; y4 ?8 P) D. u$ c
* |) u- Z7 D! G0 G
0 z6 A0 S8 S9 |$ n# J0 j$ R& K& U 5 |" _; i: W& _0 m6 r7 m# b/ m6 K
5 i* a& f+ H2 ^) p, _$ U
5 r! t6 P; H5 k" w. G2 k : ?2 Y+ X& b/ K0 o
! S8 ~0 o8 `* V0 f, e: \ R# u$ r
# ]3 G/ g. |7 N 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 b- f# W4 L) _: }8 g
! R3 a2 ~/ X( ]+ Y" c
$ {7 s0 }+ r* m8 k
2 F7 K4 J' h0 \% q% @
/ B) _/ e+ i5 o& W' h 8 l7 u- B! P7 L) T
0 h1 U4 c& `$ p2 r" a0 P
! I/ y+ X* }8 |' f5 E+ ` 后话 # w7 e, n1 s1 c3 S& {5 @# i* M
: b+ o/ z$ O4 G/ M* ?
/ u O) Y9 C* @/ k: H 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 0 ?' Q+ g& {0 @4 m# l
: s# ?9 n1 n) J9 R+ | m- |
M) \$ i: |8 S) C 4 m' H0 i u4 l& N. @/ X
1 c! C: ]: X2 j; B( Y 7 S- Y" d: z: g- s) C$ r
- G' e4 b% X% `6 o* g H& ^6 V9 T' d9 |5 @ d
* B: s4 v3 |4 d* U2 V 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 ' Y+ U0 e5 g9 |) ]$ B) @$ W E
& Q: p8 f5 G# m% N' N
' [) U- k7 f+ }! }% ?' z7 A , P# l$ w8 u( `4 M
$ t( l; a: }2 f# @, ?) X

中国网络渗透测试联盟

# n$ E+ g# U2 y/ v 无线or有线& ?' U$ L' \ R: {6 C) A

0 Q5 S$ X2 P2 y. M& q8 q 内网渗透0 t' [2 j8 W& C6 t6 s" M; X