记一次某医院渗透（近源） - 中国网络渗透测试联盟

声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

众亦信安，中意你啊！
8 _) n$ R5 j, {3 e
5 L j) V5 ?6 e% M: Q0 V% `ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

k2 w' R! ^( I0 v0 Q. u
! f) M# e5 U& ^& i# w 众亦信安 : {' j: X0 s# T0 x
6 k' M3 l/ N; G G3 R/ Y- L2 l
z+ C- ^3 x+ g. ?" p* k 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> 0 {( V$ N- u2 c
/ |1 o2 t9 m# M
! O- O- @, T! ~4 p; @3 I& w ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> # ]" p0 e/ H$ p
) S0 `" h5 H7 `8 {0 e$ E7 ?* T
& S; ^1 S+ V( ]" ]1 B2 X# a 公众号ingFang SC,serif;"> ; O; t& p( Y$ E' o0 D. d/ E
) a# O7 p4 f1 C, g$ G9 ^
: l4 |3 ^% L' Y) w& m
8 v0 _7 `% j3 r3 o! u, Q; E
: J4 A" u& }, O. S+ x0 @3 _& C2 z& C5 p% v; ~, O0 n
, u9 H. g2 A- I1 L% a- a* Y/ n
点不了吃亏，点不了上当，设置星标，方能无恙！ ' u: z% y w' C2 t4 U& s
- n/ { p8 E1 _7 G7 p ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> " b: {5 d6 K! U9 D& _6 `9 A
) l$ l1 E* m T
* N& m Q" b$ k1 u; { 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 " ?3 i9 z& B; X. e; n" S, a, P
2 O$ v$ O( R. [% n
, T3 ]" K6 j5 n b6 j 6 m/ m) N! P" X9 K! }2 P) Y
8 q; g7 ?( Z; O, E0 Y2 f
; O. z3 ^5 o0 B4 n7 P4 |0 e5 u; A ! Y [0 {4 X0 L- b6 B- ^( w0 d
4 R- g6 {3 Y! Y' N) U) \8 } 无线or有线6 P! R3 d. D _3 e
6 \" I. v" v' G3 s# @1 P8 F- @ 3 D: L9 { k' {- _5 ^! ]" z
* v% b1 ~1 K: R0 h# V7 l* V$ M: s. c 9 G T1 b& l* Q0 r% y, [
% @9 F7 l' M( F5 G: t, ` 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 8 O- x: b# ?6 B/ f+ J# o
* w* t$ ^, r: ]# E/ @6 L: y$ _
7 T$ c* Z, C1 N9 ]. J* T6 @* a 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 7 ?7 k! T2 {8 y6 H
& ~" k# s& B: b2 Y% i
8 p# i2 u. O Z5 h# l+ M4 e: N) S7 e 3 V @* P2 m6 M2 a5 {' g
: |6 S M2 c6 e6 A9 b' U; O+ a
4 Y5 N1 L- n) f+ z Z" Y) E; } & a7 W6 ]( c7 t8 L$ e/ M+ R
% j ], T b# M& [; c: |
! l6 m% G! ~' f' U% b; Y, O 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 ! v4 Q* v6 j( l: V) {9 n, _
. R: |3 n% T" W& y! Q
' `0 O5 E9 G+ M( | $ c( V1 m% g. J/ U, {# c
* t0 y! C6 Z E8 b1 W( w- L+ k* H N
# G! x* X; h1 B+ I" g: ~9 ` 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） ( j+ J; }9 }' b; s) I- A& ^; ?0 @
( @1 q! E8 r1 x2 A) J1 \: H
$ ?9 D% w! _1 r # a4 R! x% l- }6 c
4 ?/ y9 X; l/ j* @+ v* ^6 }5 q
+ ~* m3 j& s% t9 u, z 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 1 S& x: d& n6 ?/ [) p7 i) _ F
% ` X, _- P1 r; f( q2 r3 ]
4 P# O6 ~4 u: z' q, Y* T5 A 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 0 j+ q, T' i, z
) w% _7 M: t* [0 h) C
' D3 _/ _5 E% N0 h, V6 r 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 1 g: R' g1 o) |, F; v
& \- Q. k/ }1 z3 E% T; d
0 _! x F6 D+ G4 o g8 x + v, M* [, k4 ]
8 Q7 x! i6 A0 W 内网渗透 ' l2 \. g8 x! a( P
8 \1 Y& W6 W r9 V( m) s% K * S, f+ R3 p: B' ~' [. v
, |' B- Q8 _4 v 6 V4 d5 b0 O9 ^. I. p4 A
. c6 R8 b' `3 D1 I% s* H win下搭建cs和linux类似。 4 p. f3 {: m# Q! T) }% v; M/ {. u" f
0 a* Z2 b7 A9 ], {, k* v
! j; X* U5 i: I6 \- \ F- S. m+ G
teamserver.bat + ip + 密码
( K" k/ m9 o( N2 I1 \- H. G
% y* M4 e9 @. X3 s
6 @1 F! o+ S. X1 x, q) q 3 O5 X0 s t- P8 h% \1 L- X- o
6 M& F' k% X1 z4 @& x2 o8 a0 @
5 N4 h3 U) c+ m$ H' d% F fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） + u5 b, Y3 R& B$ b' a' d
J- j. j/ K/ `* z4 e; ^- B
5 r {6 i3 I; u* K9 }8 e+ b ) g/ b7 ]% ^! s6 w
* X/ ]" n' C7 T) ?- \6 v% Q
& L7 P" U+ O1 Q) k- n) A( U) c) T7 } $ h' s2 f' s/ f9 z3 C
; I q1 x8 ^; L5 D
* y+ w& B" n5 ^' x2 d; F4 C% [ 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
1 f! }% c! g& T, w* v
' K+ b9 F: T2 T* u& G+ _7 ^ 9 q- I4 |3 x' z; \, M. ~* A
+ |5 P) P( `! W: k$ t
" ?! F& }/ ]# x9 N4 z $ F4 ~4 |4 W% l
/ w. T7 |( L) o7 o
+ e: U: ]/ @$ T2 B3 m5 O U fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 ) \2 k: m3 \( S- F$ L+ b [
$ R9 _; l0 s- v, K& W2 C; E
* ?* ?( l; W( h [" p+ E' V( T4 {% e PACS系统 - p$ g; G/ f f& I7 a1 _) \, x/ K( D
2 W1 s, {% q/ J1 m4 O* X
! f$ Z i7 Q' i% [* r & Q0 \- o3 r$ n7 G+ Z" M @+ E
2 _# R- j: A7 _7 @
2 H; M. r, v1 l+ Z
, _% Y- V& P$ [* y7 `% Y
8 M; U' c& r9 u V$ L, F , Z3 c; w9 p$ T* r4 j
6 c1 }0 z9 D) A3 z0 H; N
, I8 d9 j# y; U8 V8 X: v; u- x HIS系统 % ~$ v/ M# n$ l
n1 C9 l3 d r4 }/ J. \$ U$ ~
) K& O# a! H$ N" A3 Y# q3 H $ o6 i9 w, o7 B) w
4 V" j2 n9 B/ r! Q
! c' l+ d2 {6 W `$ B# M 2 F* G# B; l5 ]
& Y0 {! y( @; |1 a8 ~$ D
4 l Z U- E6 y) p P J 3 ]4 |# B# `# ~4 {
7 L5 w3 ]- X ?
5 W: f+ P) m0 ?9 h, k 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 8 N7 \ w: K- a% b
9 H; G/ L& ^4 l! \6 a$ D- V2 ]
* \$ _ x% m: ~: j J8 j
8 K& z( @! q8 P8 S8 @5 d
1 X# F; p. Z2 k* I9 }. x # @# X6 {$ w8 d+ w* A0 z7 f
/ d+ o" k4 J0 k: ]" m$ H
' R8 p2 _( a4 R4 V, O 后话 ' V% h }; x, X3 u8 m
]7 {) w' w, r: @" v
) F8 ~1 C5 k% [. |7 u% E- w8 O 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 ! i) n9 F4 P3 M3 t2 _
- j5 m) Q) f% S" a# g9 j2 h
7 Y( r0 m/ N* k3 \' J5 ~ ! h% ^2 _3 h: `; `* _/ d: ~7 B! r
6 R7 U2 Q" \! i# r; ^ n l" [. {1 Q4 c
# X+ Z$ S: |, s, O# e+ n; E+ r2 F* S ! b! z( O' f7 C
4 A) J- B$ Q; l5 M7 f% D 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 * m! P2 C% a3 f7 _: }$ P3 X
1 Q1 r) |4 _; f, L2 I& W' {; |6 T
. Q4 x7 m! ^" H$ Q1 q* s 4 U* ]$ z! Q- c6 U' ]: C; O
% `1 W* E, ^+ c8 }6 Z

中国网络渗透测试联盟

4 R- g6 {3 Y! Y' N) U) \8 } 无线or有线6 P! R3 d. D _3 e

8 Q7 x! i6 A0 W 内网渗透 ' l2 \. g8 x! a( P