中国网络渗透测试联盟

标题: 记一次APT攻击(简略) [打印本页]

---

作者: admin    时间: 2014-1-7 19:01
标题: 记一次APT攻击(简略)
在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。

; M' Q% B8 h# c, m6 c/ s
如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
" i1 S( Y1 p! c: t6 b

+ X# b3 A" V1 S7 l+ h因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。

/ Y9 i& \% R5 m------------------------------------------------------------------------------------
, g$ r6 g4 K6 o" f% D0 \
* m& D% B! ^* |3 E8 y先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

5 D- L' e+ M: ?2 n第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。


毫无疑问，IPAD又奖励到了。
, \* }0 h# j" X% Q8 m+ @4 O

3 M& ?' Z5 t- {& c( u, M于是我和社交网站的主管说：你要啥时候才给我部iPhone。
1 t# N" G) M6 `7 Y! d

3 ~( Q! n% |, l0 c主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.


于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
9 j7 |/ U+ ^" J

主管回答:那就来把.打下来了给你iPhone5..

* y2 I) n  {0 O+ f' K----------------------------------------------------------------------------------------------------------
) w; ^4 D$ k5 @* G5 L. `A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
  T6 r( T" [0 q  G$ r
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.

% @6 F! f1 Q  n6 q' b
4 e: n1 h: P1 D- F2 |) H* g好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
" J# _7 y7 ~- b& x& r4 V9 }

直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.


# s3 t4 p2 O! o, N. A' R) u1 W8 h对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把

* n) D- B8 R1 _
思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。


- |( \6 [5 x0 \于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
0 }8 v6 y- |* f

对方深信不疑。自然回去访问。


  O1 v9 i8 Z8 s好把，大概等了几秒钟，WEB那边有session是记录了。
$ e2 `5 |( E# R  Q9 b
2 F' E/ u2 C9 U- a
一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。
8 L: e( ^. d& V9 K7 p( r, e
# p% x9 e: l% ]4 F, @- U0 c
我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
7 J' I8 `5 ?) Y/ U
6 E1 I5 p* r( h2 M4 [
A管理员说是office2007 ，这样更加证明了我的探针是对的。


于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
1 p- o; B1 R/ P" E2 m1 C

  y9 Y  p, r% w$ M/ d, YA管理自然就给了我，好把。 office 0day打之。

" h, h& I( ~. z$ c: I  j
打开远控，等着上线，可是就是没上。 出问题了。

# o5 [1 M$ ]5 \2 {6 y
A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。

' c4 \% T) |5 N+ y; ?
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。

0 Q0 T" O0 I. [! ?, Q+ p( L
同样的对方去访问了，系统应用很多被探测到了。

( _* @- C. v8 ^
好把，出口IP也是.14.
7 G  G$ l4 x3 [6 K  I

4 Z" S! \" \" Z! R5 E没问题了。出口IP确定了。


于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。


马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。

2 C0 s- g+ e+ k* E
9 W% n% N: u( _" b; \  i+ P+ ~马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
, v6 d7 u% Z, ~
+ A5 W4 ]$ G) s) j6 d" ~2 ^
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。


同时间通过密码记录，得到了内部Linux服务器的账户密码等。

) P- _3 k8 ?: U/ h
  ?) {+ s0 W, ?" T0 X, r6 g向主管个人PC机进攻。
0 n( o0 O. ~' _6 ]0 f3 k8 G* U0 g
简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
( S! T0 Z2 Z7 F1 M" l
  ^* C0 K3 ]9 x" S- S8 O
! P  T7 M3 N3 U& A6 [% e于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。

7 o/ o" w+ ]/ Z. `# A4 y
---------------------------------------------------------------------------------
- b$ Y, C- X4 l- R& g

晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。

5 X5 K( d# H( H) f$ W9 d4 c
. U- V+ ?* \) [+ r" T% K/ Z晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone


& P) A& j( `& {& F* y' G2 }8 a8 R我觉得人还是别太贪心了好。贪心会出事。


于是我坚决的把马给卸载了。


! W8 T( _3 f& f& L4 o---------------------------------------------------------------------------------
对于后续攻击，我的思路如下了：


! o* m) i2 h. Z) q3 ?) M3 U搜集内部员工的EMAIL，探针+office打之。
8 C6 ~2 ^1 I5 P* c' o: x1 N
4 C1 }4 ~) E# j" k/ ~
内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
6 X3 @( m9 T* A" C. ]. i- s+ l2 `' n
5 Y& K+ G: g( u! H  v' K9 ^
4 ?  }( s& z% z. Z通过登录A管理员公司邮箱发邮件下手。


内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。

& o$ Q+ g8 D; [* G( l, V7 ?: U/ u; |厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
3 I' I8 K/ b9 m# A1 v5 f8 c9 B6 \; R9 y-------------------------------------------------------------------------------

最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。

---

欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)

Powered by Discuz! X3.2