记一次某医院渗透（近源） - 中国网络渗透测试联盟

声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

众亦信安，中意你啊！
8 ?* H/ X+ i, Y# u6 N6 A
3 P! P% i3 I# X, V- x5 W; tingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

) }$ N0 x- V) V$ `/ `. _5 i- i
c0 a5 ~6 |' j }$ ]" a2 N( W 众亦信安 ! l! d: K5 J+ ^7 m9 g
+ D) F! H( y/ b, ?9 r5 W* x. v8 W
4 r5 F( D) G' S5 s& g) z' y' C 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> # A2 d$ s+ M: @3 j# c& ^
" v0 h! x) f' }% m5 W
% x" a. |* o. B& E( C! i ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> , ?6 b7 w' ?% U ^
7 t* i/ q2 p6 ~! ?. f
8 X" |. B( m, W 公众号ingFang SC,serif;"> " D1 J, O1 Z- c; _1 |1 A
_$ R0 q" |) F, K
& i# v: e/ }/ s! \+ b
2 T& {( p% s+ Y; p) n8 j: Q5 R
$ o1 f2 {9 P, C: }2 f/ D" o( | , k2 z- b& F1 I2 b
! N w: S3 Z* m
点不了吃亏，点不了上当，设置星标，方能无恙！ ) a h0 d9 L$ b4 p
" ~, e4 \- g m6 [ t ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> 8 ]1 _! s7 B: t, \3 E. h/ y. {
5 Y" \) V1 f; ]' u) m
& g' P' \* f0 U! @, B# E' x 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 C5 t- y/ {6 a9 o9 _% n- w
! ]$ S }3 Z$ d& [: b# K1 ^
) b1 N3 B/ M0 h 3 @3 X7 }: D& C( J& _
8 c# D+ u9 x7 ]5 b7 E
% N# H8 E( |) t4 {" h" Y & ]) l6 g) e# F( |
! p. H4 ]; n. k 无线or有线 " I3 L- \7 T* H3 @) G" t
) s! C1 V8 c' k W9 O. O9 z 3 [1 c: M7 w3 q# U& Y# U$ ?* n
, K+ c2 c* ~. b* i ) q5 S/ B/ y$ M; _1 R
v0 S" z2 E) D/ W* b0 m 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 ) h* k, u9 v3 {2 J. {. E
& P& I" s7 K0 {/ Q( S# {. Q
" h5 J2 Y3 T6 r/ C5 N$ } 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 # a+ a$ S5 a& V( v1 ~' R" {( h4 U
+ V% o/ g) k8 P+ `
) J) V- l* t* p( }) R- n1 y' k ' n+ g' j$ |; t8 y3 p: H' t& S
/ U/ L' I' c1 \: C2 f1 C
, |3 v- r+ y1 a) b, m4 k, K + K# W M$ q7 u0 F
) P; Q0 o6 f8 K1 P
^/ H4 D2 |4 Z' F' T 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 8 m! A. o$ U* q+ x
0 h+ G' Z. a' | d" B* H& J7 [
6 |8 T* C- `1 ~( e! f2 w& e 8 K0 Z3 R) A: `# y0 m1 J
5 ^7 W2 i# k: r& J$ C* X, ~" N
7 U9 q5 C8 x: C4 j8 ~ 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） . \, R9 |. n: }. R: d4 z' o$ S
" N$ r& V( p, o
( z+ `$ Y7 z- m, z6 \ 7 m. Q$ M& m+ ?6 ]+ w2 y; a
& U) }& S3 l% ?! f
* T' z0 f R& e# E) q- H1 I 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 0 }& J( M' z- A G
0 T' g$ `2 Z9 E6 Z- C/ c- j, w
& [4 O& j5 q. @+ b- v# ?$ Y 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 ) U! C& p' \4 @+ U8 T
8 Z- s2 r! K) U0 ]" m5 t
; y& v) s6 C* a6 e 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 7 F( p: U# I0 F; W
( t9 A* V0 ~4 d+ L
, }4 _+ B& N$ }1 L7 v& v( p/ M : c. P! H- g3 o+ v" F, X, `3 [6 q
7 s1 W D% t9 Y/ K' j( k3 A* J 内网渗透 - p# s. r: }3 n1 |0 y7 y2 T
# F" Z6 D+ R6 e Y* p( f0 O6 d ) O! W! Q; G/ B0 S
2 V p) Y1 y! v. J- p' I4 `/ u " g& o- ^: V3 W: A( X7 u4 `
( f( h9 Z* F5 b9 [ win下搭建cs和linux类似。 0 |& u: x+ [8 N0 }8 @, t
/ {0 }. s% |, M2 w7 h
2 u+ W+ U( V+ w2 M- W# a
teamserver.bat + ip + 密码
. j: Z1 ~& T' J$ ]
' Q) H- m" \ e5 V+ @- m, v
6 |& [/ X; o6 H# e+ f* K8 d 9 [- X2 o( ~; E1 @; `1 o
; V' B5 i) q* D
) X5 }. T1 c3 |* k9 o& k" u' \ fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） : l& h q0 Y1 A- v# U* T
6 L1 Q# I1 s9 P& G+ D# z/ _: A P" B
0 s/ e' J e P+ [9 J7 M! b/ W + S) T7 H: `1 j# g7 R+ {, S: e5 \
# _. ]$ M1 l7 I/ J2 f/ x, r6 C3 n
/ H4 d8 {! F7 B2 ~5 a, M6 Z 2 N. R5 p# T3 x6 E
( a7 S6 D2 ^- Z$ D/ \4 y0 l
' u% N8 z( p( \8 T6 S* n 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
" w8 K8 O5 q+ k9 u) n) ~
7 e2 A# j2 t- k- W3 o( v# E# J# d6 n3 g+ X4 X9 O
. h& K7 s! M o: C% J5 a
% N# S& F; {* \- R- I7 i 7 m% x) H) C4 u9 t# U% l
; Z E+ | `! r
7 a1 K5 g* a/ n/ n fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 * f; S6 U; F+ Q. K6 u/ P x5 N
: O* v) L+ n# q* `7 b. a
) h2 D; K* ^9 h7 c PACS系统 $ E3 m% ^: T( Z- C" w/ N
! D; `4 _/ P. i5 ?% b! p
. z) d6 B* H& y7 I6 ?4 F& f8 T. h " c- u$ n' j( z2 {; b" F; U
" w) X, @7 d& z* \/ h* Y, Z* q: X
7 Q2 X) v6 `+ T/ s" z
2 Z7 C8 e' a4 B6 i6 E
9 \& h4 M9 A! E# v; N , g* M4 f4 s& Q: H+ B# \ A
& _( r( g# f" U6 y D
. ^# `) Z9 U/ A# F( v3 p! n. b6 m HIS系统 / G6 Z) k; o6 |' r# l' F5 N! G3 G& l
* D2 j# [8 G# d0 \
+ {# ^3 i' n% } : a% F- [3 d% {( c
, ^# p- S0 @/ D
% L. w0 v7 g- f3 H2 l % {9 K: k/ ?" s9 J' ^( y Q3 Z
4 H, T7 v9 ]7 t- ~# j
. I9 B- j& E: d) M 0 Y7 J* w4 K' D- r! }
5 q& Q- G' P. D8 } V9 I" h
i3 j( c4 l5 g( h1 K) f 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 ; H& p9 d1 k+ Q8 V
2 S2 O+ V) t" @& ~0 T
! _; O; A7 C$ x. x r$ g0 r
! v6 r( B0 U9 B D# g& D' t
1 E: d O3 I( N4 P0 _5 K: a 0 z: X) E% U8 R) U
; p) K- ]1 ]( d4 x$ c
$ }0 |" R" K4 M. v 后话 {5 k+ g0 N7 c) Y
! ]2 v: s' d7 R$ t6 O# m
: ~" p7 A1 y% C% z6 L0 r( X 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 $ H* E u5 A/ l; ^$ ?3 e7 V
. g( }. g2 z* j7 _
: s8 i* C. V4 m5 B 1 g7 v) H! b- S0 P
, K% U) F* D0 R) H " N- A4 q/ Z/ g! E
p' i# x" X3 k7 E; L" v 1 b# W$ a. s& g: j
- l& g' j; R! Z0 ~, I3 F 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 ! u, q2 v& h- B' e& ?0 L
+ L' c( T3 m* o: n$ u+ F
8 @; U7 ?% R% w3 n/ Q ; g3 Q1 l3 @6 Y% y) s1 K
8 U1 W7 N: r" A5 h! g. h# x" A

中国网络渗透测试联盟

! p. H4 ]; n. k 无线or有线 " I3 L- \7 T* H3 @) G" t

7 s1 W D% t9 Y/ K' j( k3 A* J 内网渗透 - p# s. r: }3 n1 |0 y7 y2 T