中国网络渗透测试联盟
标题:
记一次APT攻击(简略)
[打印本页]
作者:
admin
时间:
2014-1-7 19:01
标题:
记一次APT攻击(简略)
在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
0 X! v$ m' A6 d) A: e$ X% H
9 N4 j' T6 Q6 K. |+ f
2 i7 ^( J% T/ o p! \
如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
8 n9 ]3 Z$ q. k5 L( E# \' N- y
: _& R I6 }# z) Q- Y
& @% ^+ Q- Y- {& e+ H# t( Y* _8 \
因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
% j/ K! T0 c& P; B7 r5 r
5 y# ]+ ?! }0 X6 o0 ^ ^5 n+ X
------------------------------------------------------------------------------------
3 O* `, G7 t: G6 j! g
2 |8 z+ _6 ]' ~7 V4 I
先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。
4 Y3 l3 h9 f9 p: Z
% h) N# x. l! j0 u9 M
第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
7 [+ O4 g5 F$ M4 D8 F
/ K0 \+ h: T7 Z6 [; u! o4 m
& u8 c% }& g! r+ m! k, ?
毫无疑问，IPAD又奖励到了。
; F" \& |9 m a, h" E( I1 u
5 n( x( Z3 ` [( n, x1 ]
' i( V5 f0 }5 K$ L# W3 S
于是我和社交网站的主管说：你要啥时候才给我部iPhone。
0 a9 f; J2 X+ I& G/ d
" \$ h0 @- y: Z$ a
" `' E a" B9 ^7 e$ _
主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
$ s2 }% S" |+ b1 ~$ w. r
9 |4 T6 X; _6 X1 J k; x& b; {" t
9 y/ o8 g. E L0 N) ~ W! d) l
于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
5 D: _3 p/ \! R
: T6 U# F8 s. B" }+ C4 d% Z1 G
4 v3 |* H8 i! P1 a
主管回答:那就来把.打下来了给你iPhone5..
( q5 U! r$ W. H9 R; } a4 w* ?: E
$ c- @& E& q4 C6 y
----------------------------------------------------------------------------------------------------------
0 I/ z) e A* e5 {$ W1 D# q
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
) s; T j I7 d% ~
# x: Z1 ]! n: N/ i$ i- H. t
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
, J7 u1 l) z+ i6 Q: d
8 p' V. ?1 @6 o( \( y
7 ~- E. v) J; ~, V8 `' c1 X/ A
好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
9 A) D( A6 h6 U/ k( x
+ k8 a/ R" A$ Z
+ W9 a% E' T: m. \' `$ p/ o+ ]
直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
# S# N' ]- ]+ @0 \' X
8 M2 r* B5 H* t D6 Y
{4 t/ C5 ^8 x/ L a; I$ e& S
对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
% a: o# x4 H$ i0 S: G, M9 d" v
0 y' O, p- V6 D* N
8 N& ~, ?. u/ \- `; C' a8 N
思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
% M5 M2 c) w8 H: t+ |
4 }3 T$ Z% g$ {
4 [ C8 A9 w) K7 j2 V
于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
$ k1 A/ s$ b9 T, i: J) A: W
+ S3 n9 B$ A) x) P; q- P
8 g5 a/ P* t+ ^+ P3 _
对方深信不疑。自然回去访问。
* B- U- m3 q7 w+ Q; k' |
6 J; U8 a) ]2 B9 a! z! \5 Y: i, `" f
5 K5 o% @& y7 b
好把，大概等了几秒钟，WEB那边有session是记录了。
5 q" |1 ^, u' `
% a4 A& `: Z0 z; U
* u8 y9 F' @- s' U) h: Q
一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。
那管理竟然是裸奔。。没装杀毒软件。
; `. a W# E$ O1 I/ f9 q
4 }; G; ~& M( e3 R& W2 Q2 m7 g
1 R" C8 U. j! K1 A3 N+ D) u
我很委婉的问了他office版本是多少，说我装的是office 2013 怕兼容不好 打不开。
O- |' H9 R+ e9 ~. `) J2 O
% w, K8 i' l3 F9 j- N8 [2 E
- x& k6 j' Q9 Z" |
A管理员说是office2007 ，这样更加证明了我的探针是对的。
9 V1 A% g3 u$ f8 F2 {! b
S' U( \7 R" q1 Y; O
Z! S( R0 Z* K: ]! ~
于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
0 s. _ r8 e& i; Y0 @) }
l$ G/ V! k, _) `5 n
9 H- M) J9 j5 }) E* @$ B
A管理自然就给了我，好把。 office 0day打之。
2 G# k+ h4 W* u3 _$ j! {6 a- y0 s
. L+ c2 w/ t/ F C' u# V" q& d+ C
5 s+ [! \6 D: F3 b, K
打开远控，等着上线，可是就是没上。 出问题了。
! G- g4 K' O1 g4 x4 b4 s1 X
/ a. q. Q- m' R8 A, ~4 `" o
3 v) U1 V1 b* ]" Y* j/ K7 ]3 w6 ?" F
A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
3 l2 @& S- \( z1 n9 V7 d% w" w
8 s$ _/ Y# ]8 V4 D2 [
6 k3 \3 i0 C# i$ J) ?/ r/ A# P& C
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
2 h6 I4 ~; Y$ t* \8 L$ j, b
5 s P" w6 F" i6 M+ U: o
, O' ^' |4 |/ s% ]4 h4 Q% ~
同样的对方去访问了，系统应用很多被探测到了。
/ S/ Z. Y! x5 M2 ` d
& i/ g3 c! ~# T1 h
& F+ g7 Z, L, D3 o8 T% f; w( V
好把，出口IP也是.14.
2 d5 f* D& p) E
; i! `& u% [- |' Q/ ?
3 i. P! z) [5 R" S! s, m8 p. v8 @
没问题了。出口IP确定了。
: D' y4 j$ {* C7 o' J9 l; f8 c. ?
- e7 I9 t4 }# l6 k' E
- j3 a/ r5 C/ g5 c
于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
# ?; \$ j8 {5 [ c' f2 B1 x5 a
! K# c# V8 |$ i! n6 k7 ^9 X5 t4 J4 s
- d4 ~! O" G2 k4 p8 [( l* L8 f
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
; t6 [% s- M1 J, v- x; y0 Z" r
- z! i* i X3 e( c( E m
0 q* v1 y. V: h
马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
! i. C% r# m& z5 j) i: M
/ m5 N7 ]1 u+ g, f, X& |; g
+ e; u. d) H$ h% ]4 B' _
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
; w7 O$ D% j! ?7 q+ V) v! a
3 y" }& v" d5 O* r8 x( P
* H" a5 |& Z' ^5 d
同时间通过密码记录，得到了内部Linux服务器的账户密码等。
, V4 {, j8 ^2 D, q6 Y- R' x" |) Z
7 Q2 `8 `8 U3 {+ G/ m5 A
- X6 q; n! K* G8 u' h$ }
向主管个人PC机进攻。
, G" N' \" f! ~/ f4 d2 U' g) Q$ J
" K% c4 o9 g2 a% y. Q
简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
* X$ y! g R0 ?* H% c8 g6 j
: f0 M" J8 y% [) u. {
/ u2 J# B1 I. Y# D, e
于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
8 M) U- f6 a9 a
% i. C1 |4 P9 d$ g% Q R/ i5 S
, S% h4 ~( q- Q$ `3 [
---------------------------------------------------------------------------------
0 N" N! [8 m6 x
% D. m w0 ~2 h+ z, }4 S
0 \+ m8 i% _5 a/ V8 |( v( v6 X
晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
3 A d* c u# J' x
$ C1 ]- p& C: g5 T* ]& f: n6 C
* o. P- i: ^- n8 ]0 S0 `# E" w
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone
8 w& k$ t' w+ b" d# C r# e
: g5 G5 |' D# |# u/ V! e
2 J$ O: P& @: V$ g, g0 J6 {
我觉得人还是别太贪心了好。贪心会出事。
" @% X4 `8 b; c$ j
1 |3 X% n& S0 c4 \! U" Y9 m
+ U! o( b% G% u, s! J& U- M, A& r
于是我坚决的把马给卸载了。
' E$ n3 n/ L" Z; v$ Q# r* E
0 r T: a& m. K2 o: M- G9 ~- K
* d. u% c5 E' E2 u, ^' Z6 ?
---------------------------------------------------------------------------------
: F3 q: X3 v' [1 c" V7 F
对于后续攻击，我的思路如下了：
8 d! Y, ^& j! \" {% X
; k' v( T J7 p( z
1 f! a4 ?$ f4 y$ F$ j
搜集内部员工的EMAIL，探针+office打之。
, Q# z/ e, N5 r
7 s+ S/ }$ C7 V4 q( E
5 a) g8 |; D0 W8 ?: j
内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
8 X; g/ }0 ~8 e5 {8 b
6 s+ V, f: n1 H0 F7 ?3 s5 T
/ T, [& j4 e0 h. O; R
通过登录A管理员公司邮箱发邮件下手。
0 x& \" h" m& C: X n5 ^, N
2 Y8 E" {" Q7 f8 t/ U2 g' z" T
" x8 k" C9 j# E
内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
" t8 G" J# A" u. z- ]# K
. T/ A6 [3 D I) P* h# D7 {4 \
厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
1 b" M# l# T& f8 E E% O0 Y
-------------------------------------------------------------------------------
5 H, p9 I+ g1 f" I
8 Q3 [, A$ M( S; `5 P: C9 d9 g) b" |7 L7 _
最后：我也学着玩微博了 ：
http://t.qq.com/Axis_2 求关注， 谢谢。
0 i. c* z9 a+ Q* K
欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/)
Powered by Discuz! X3.2