记一次某医院渗透（近源） - 中国网络渗透测试联盟

声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

众亦信安，中意你啊！
- D1 L2 I: R9 f) }" ~- r9 F- @# ]0 p
7 U. ~8 e0 R! N6 l& r. J ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

) i, b/ M8 }9 | u2 j( e+ d+ J
7 N ?: E Y3 ?% e/ J 众亦信安 / _7 A! m; j& B% v' ^& x* t$ l k
/ p" {2 B$ a: |# c! r2 S: O
0 Y0 G t9 \3 `* p/ e. z: R4 e l 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> ) _9 w4 S- {% u1 i! f% G
! V0 q9 C. P `& I- E
7 E8 p, @( y, V0 o! ?6 f. ]' \ ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> / O+ P1 o2 G6 B
4 a& c) m( r9 \, h2 m* N) U
6 D9 d) N* R( I) {% f6 ^6 f! C' u 公众号ingFang SC,serif;"> 2 c" z }( m9 d' B/ T# ^
o B$ _: [' k% L5 z( E8 y; `
: G4 [: q+ O0 k: c: Q" I, \
1 w4 J7 M7 A- u1 a1 ^* j/ q: i+ k
% l1 f" x7 e& K( J$ u( z- |) u7 [/ a1 I
# ]1 ^, n P3 z8 M
点不了吃亏，点不了上当，设置星标，方能无恙！ 7 G3 ?+ w3 R% u4 m
: e+ M5 `! Q. z1 J8 }$ m% O ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> ; m4 F: b! E1 P" o3 u# d$ g4 \
" k: c: l. x- ?) Y/ q ]
$ b) e+ m+ m2 F: I& `/ s* b 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 8 B# n6 s# X5 a' x+ O
. x. S+ N& K1 V: S0 ^# Z4 J- j
9 T G/ m M. h2 W 9 o8 w7 B; d3 A& a
7 y6 `3 Z' ^3 t/ `* h
8 b5 q: Q3 w& y: g& F q( W! \6 z: a# f; i
2 ^" c4 u+ e9 v( ? 无线or有线 6 S/ u, Z4 w( P& S* S* c
* ]4 I# ~1 @, m 0 R: R# H/ H8 Q! f' ~) v0 m ^ z! A
/ l( j+ l" _( W- ^: ?* i2 K0 Y O+ v! ^! _7 g
$ B3 r) V6 {. j0 j( k9 t+ ?9 Y! t 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 / b1 h U8 P4 D1 K
. h7 W8 D$ A! V0 l2 G5 B2 u
+ o3 l+ x* H. n$ Q- r 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 , g6 {, |5 \4 P7 S ^; N
: m* I* p& |; C$ B3 b
3 J( Y! I/ c- o T( I . v* o$ Y# {0 M( m" }- N
6 f8 K$ k* w8 ~8 S5 f- N7 b4 Z
: g/ }. _% I$ O3 h/ g, j, d0 _ 6 U: r+ x# R3 @& L; n1 W
& @$ D" U" r6 A; \
' U. u9 [3 t: W9 V# s. n 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 ; ]+ c q$ T7 }
) A+ @# d' _# s
# B2 i: l* q9 g! g* N- a; t , i. `$ E3 x" ]( { q- S
; k, ]1 S/ G) `: o* m/ ^
, [6 a2 |9 d# T! z# o( Y& S0 \$ `/ w 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） 6 i [* @& T* [/ b2 P! m2 b, u
& _- t F2 r' J" i$ ~" L
) O7 _+ _$ W8 j / o t, D& y1 P9 Z$ p: ]
! V5 B2 s& j' m7 Y" `
1 E7 t5 _) y/ ~, A! H- K e 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 0 E* v* b( e+ F: L. I# U
: g; Q' L5 y, s
& C& V5 G- d. D/ j* M' t# ~( T 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 8 L% R& S+ d% {/ N2 s. n |, j
, ?! q |/ o2 M, e* f# P6 N1 p) C
/ {: d& A |$ Y8 m- q1 U 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 - X, P( Q5 z: D" [5 r" ~$ Y
5 [: }0 j& |( P& `2 K3 ^
0 |9 U+ c4 T/ S8 v( l5 L/ v1 e5 R8 h 5 F4 D6 C) B) e4 s
6 S3 {9 J* W. y( X' W! { 内网渗透0 K4 I" n& X. V! C+ z
+ X" C+ N$ H5 D2 B- _; j7 p; z 8 \9 f. T( {) z, O% {
- S. l( P5 g" | % [% X/ ?; |. @2 [
1 b# e8 Z- c" R" l5 Q5 D$ a" D0 r win下搭建cs和linux类似。 ( u2 I: }$ r( \$ x; B4 l
% |, h, S% u" @% N- Y' A6 P3 z
; c! z$ o1 A! d0 }( X* c
teamserver.bat + ip + 密码
9 P9 Z7 V9 D& U! n9 l1 Z7 j
- T; [2 l: @, j" |: o0 }/ ]
% U4 H/ _! s0 w; P& X - V6 b9 d$ i, r/ a, |; P
' g# H" U1 o+ d0 u( A2 Y
; M E* s2 n% c E% Q$ P fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） 0 _0 W _) Z# z- r
7 v4 n! z" x* H
5 W K' b: i+ ~ C4 q 2 u9 `, y( v: H/ \8 e# w0 X& Y
& u6 y$ F. P; T5 X0 e' p( [9 L
6 g: Q4 O5 ~: C " z3 J {# D$ {6 a( L3 ]( M) [ F
8 R! g$ T6 W: N+ y
. d" I1 @5 T4 z3 T 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
- ~+ W9 R7 O% a2 c V
) h* ?) u% w0 G8 [# j # I$ T8 u, ~/ \- r# W
7 \# l! O A0 X- D- q3 Z
: R& {3 L8 x3 q2 W) }/ z# A + _0 o* w5 o0 v% c
- |- p8 S3 J* g" i4 _; |/ B; T7 D
5 ?% H; \$ N$ i7 i& B7 \! g fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 0 l" q }+ s9 @% @7 D
0 F, j9 }$ q% o4 j9 ?
, w* S' C, q, L4 [ a. ` PACS系统 ; {7 G6 o- s- w$ g( C6 A5 _$ |
2 c, h" S4 s" B" |7 ~% K$ p
( |# V% o5 E8 B& l7 r* f m# z% @ ) y& J9 j9 P! Q0 c/ r6 Y8 j
) g4 S1 z$ A" R4 F9 A; J _
" ^! w9 O/ L$ f& y% r5 Q. u
/ g& {3 n+ D4 ~5 U- c1 N
3 L1 q! B( |5 U' D% E " L/ h' ?5 G' p' A
( [; r# S3 j; i" P& h3 N2 B5 F
- {0 G3 E! ~9 [3 w, K HIS系统 . v1 P9 @5 g' S l9 Y3 L
* K5 ^. @( J' K7 A5 [+ e
: e$ a- p- \# d 2 s0 x! K6 v9 Z2 C. P9 c
' W" x8 H! b) s7 i% }! b# L
# T+ [7 z1 ?5 |. ~ % ~8 }. [$ h% g/ J$ S
4 s8 ^" Q5 \3 @: {9 R5 E+ f. H
& Q S8 n0 i8 d7 ? # m% @! B. ]; e t) D' B, G
: [5 h y' A' x T
/ F9 r( ~& z& I" v9 a 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 , u t; _8 ]% R/ |' G D' e
* E' t/ r# R+ t' A
. A+ w; q+ t7 j" ?9 \
$ B8 ^2 W; q, B- n) \" x+ p
3 u; i) w! v$ z9 h. R4 A4 Y( ?! f2 y8 K8 ` k' h; f2 K1 ?3 U
% C7 _. P5 d/ n: [. J/ s2 I. s
" A' ^6 }, |, q5 c3 Y: X 后话 1 l! t' M3 a1 S) ]
* q: W2 D7 z% X( R
U3 j+ D/ q" v1 K' W! P3 N% [ 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 9 [6 g1 e" F' d* Z% S6 {( }( v
! V, ?( ~: g2 y5 w6 E: D
- M, ^0 n" F3 p1 V. g% J 1 z6 P. U6 x* H _8 z8 Q" `
0 X: {3 {- U% Q1 Z) m 4 {' S: M1 X' l6 s' c3 e9 D! @
; ?" ~4 U" C8 x6 D- l; @0 c- J3 w 6 d! n/ n5 F! \7 I2 f6 t7 B m1 k
5 l' | m; F0 j, W 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 % X4 F l, `' f: q$ P
0 N' {, |$ w# U; m* R" r
& n7 _# L8 K8 D' p; Z 2 k6 a' P0 o+ p5 V+ s7 s; ~
* d- d: k7 X9 S2 ]0 m2 R: t

中国网络渗透测试联盟

2 ^" c4 u+ e9 v( ? 无线or有线 6 S/ u, Z4 w( P& S* S* c

6 S3 {9 J* W. y( X' W! { 内网渗透0 K4 I" n& X. V! C+ z