中国网络渗透测试联盟

标题: 记一次APT攻击(简略) [打印本页]
作者: admin    时间: 2014-1-7 19:01
标题: 记一次APT攻击(简略)
在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。& ]( q2 C' B- l8 q" f
' I: r; E5 t: v+ R% Y

! o6 s0 a  {) \4 X1 I! b! ]如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
! d" n7 Q" \+ B: x' a; e; R0 ]
6 |; L# m9 d; G8 v* V; y
) g. {$ Q9 |# z7 ]* Q0 M' k因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
+ G8 t! S& y5 E: G/ U( k
$ m& z# ]) h" c, Q( G------------------------------------------------------------------------------------; o& A; A) U- ^6 J1 u5 w

9 |; o1 w/ b) k/ R先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。
# h1 X6 S3 k* ?& c. d( z, h/ I+ G( x% r1 m) ~% j9 W+ C
第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
. ^  N/ z& r, n
$ M5 O  I6 w0 p' I3 Z6 c1 r7 x1 M9 x1 Q  p
毫无疑问，IPAD又奖励到了。/ ]: K- j4 c* I# }3 y" l9 ]) V* m

* y( ^. H! H" T3 q% D$ h; \6 O; M8 V
于是我和社交网站的主管说：你要啥时候才给我部iPhone。  q$ n" E/ B$ Z' |6 H' o! K  F! Y( C

4 x" ~! W$ Z. W( @$ T) u( F, N& p3 _- P/ v: h! u
主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
- R3 v8 r( G- ]/ M, H+ {
8 N- V" G5 o! S* r
1 X/ E$ L6 Y3 p( \+ ~  b3 e于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)9 M3 b* i$ l7 x; _

9 {8 t0 w2 D# f6 M; B2 O
" G: g- l/ Y; u7 k4 u! x主管回答:那就来把.打下来了给你iPhone5... T( }- g1 h' x/ N- k2 O* R
6 B+ x% @1 t: S9 e2 W% B
----------------------------------------------------------------------------------------------------------, v% p: H; ]. v) W! E
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。# d  U  W; S% X) o6 R) h
$ F+ H* e. y) c* {
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
: @) v. F( }9 _, }
+ k5 N$ y* e5 A4 _6 c& Z, g4 @
' C1 E" T" D9 F, W8 Y, Q好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
4 j; H5 i$ [/ i" _) ]: w. R
: `% c2 q- @" `0 j9 N% ]- C/ u; b, t+ P4 O
直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.: _+ U, y' O7 e$ s7 `. g

3 i  k; a8 u! B! [$ ~+ N$ p
9 i$ _# d0 T# G7 T  d7 @4 d7 v3 i5 V对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
) M7 M0 ~# u- A% y& j+ |7 v0 w( o* J
: @6 B7 t' z; F/ ]3 o+ D) y2 x3 _9 i* F" X8 D
思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
9 e! o' B; S" v
; A8 j1 s6 K5 o, z; R4 k3 H
7 D1 C' \; E5 H9 S6 P) k4 E于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
% f, t  R2 z1 Q9 J& X
$ K5 d0 Z) M3 [: B) v- B/ {) D& E- \
; _+ q9 l3 D; Z/ A5 V对方深信不疑。自然回去访问。
, f& [0 R$ b! B; O) i1 {0 s. z& s
0 `9 R# C/ X4 X  J  v8 i% ?: l6 W: @( J1 @" t. Y# b
好把，大概等了几秒钟，WEB那边有session是记录了。4 C0 F5 U: h: d+ H3 h

8 l% e) Y/ o5 B) o9 h1 n
; L+ N& b$ ~* u6 y1 v6 i一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。1 p5 Z% J& P' \7 M1 H
9 R! K; A- Q2 c+ n" q6 |
+ _+ S) a0 ]* {
我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。6 G+ ~9 d, \$ y: w

, F. @# o! k; Y) ?! I, ?, T5 r) s9 M) \0 ~/ Y9 |- ?) _) z
A管理员说是office2007 ，这样更加证明了我的探针是对的。
1 [/ D! F4 j' Z5 {" }& p3 u, z1 G* I. N, l7 E1 C. S. Q

, W7 w* l, G, {1 e+ e于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。$ M5 ^* N7 l1 r8 K
* m9 v) r$ b6 P- B  K% N
: t- V& k: b7 ?  m) N
A管理自然就给了我，好把。 office 0day打之。
7 b, p% \; \* E% V0 e6 e
6 h5 Y7 K1 f; v. B; Z
8 y. s) K4 E0 S6 j9 t打开远控，等着上线，可是就是没上。 出问题了。! V/ x  D  a4 ^) N) s$ H1 V

3 C) ?2 b( Z" U% P% \
  \; H. h- U! ]6 T/ F7 h$ ]A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
$ @$ o) p" e$ Y7 L; B% p1 }1 A. i3 I9 R( V0 |" T$ u$ U
2 q, r. c. ]- l; C' M, r! B8 W
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
! U" V0 ^5 C1 H: Y$ X' N6 N' s+ e8 b  x+ R- |7 R
( ^+ R4 B2 o+ ?  i/ E
同样的对方去访问了，系统应用很多被探测到了。; U, s; B/ c& n$ C
4 E! N1 B) ^* u( X9 W  W9 r+ d) I

9 w- T% P* I2 E0 b. i好把，出口IP也是.14.
1 _# u6 z( }5 \: l! r, ~
& I# I' x9 B( ?8 @, v) U9 ^2 h" n3 Q
没问题了。出口IP确定了。
; b4 D6 y2 y2 N% G% c! m" E
3 S) d, o+ ~0 M, f, w' L7 c2 Q
# p/ ?: `0 m& t) K于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。$ e% a# Q( K# \; |

0 U7 L3 l' h) f
0 I8 `  ^/ X( }9 o& ~$ g马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。7 k1 `4 @, z5 h1 y* E

# b. R1 h1 n, x# o& g& x2 l
, U% M) C7 h; I' e; _6 L马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
2 G6 T7 e* T( U1 ?, [' w' n" Q! t( }/ ]- F
& S5 s" ?# x/ D$ T9 ]8 }7 v- ~! U
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。: u& t" I( b5 `# Q" l7 q
& x* f" s+ [  {

- b4 {5 c6 Z. v同时间通过密码记录，得到了内部Linux服务器的账户密码等。. Y: }5 `: x1 j

; b# \/ q1 t* p" t
( t$ p8 f5 q, f, h向主管个人PC机进攻。
* q: c' H4 r: I+ J# k/ p! P  R! [: I; `! t8 A
简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。! C! F8 B4 b8 ~8 l6 W5 y3 O
7 R$ T5 F5 D  o' x7 O  z" n/ p

& v6 C8 ~- M/ Q" M" i2 G& {+ ]于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
. @4 L6 v7 ^8 F0 _; P" p0 v! d% ?; Y% G7 p

9 i/ q7 M; G( U( C* \9 G/ H) M---------------------------------------------------------------------------------% ?# |: q+ a) K( b( W; G

; Z3 r3 K" t1 D) d( D! l, B7 a" l6 }2 \( U4 g; r
晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。0 R5 C: R, Z) K. m( d  ~
! G6 \( _, B% {* S+ V6 s

; K8 Z, d* }6 j晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone9 F5 f1 [+ m6 Z

& `5 }; C. C% E( ?( x. b) ~. P+ f( E5 z+ D
我觉得人还是别太贪心了好。贪心会出事。5 G2 n/ i( O" b! P
7 y5 _$ F( H/ i0 @/ N% p+ Y. Y- a
+ t' Z$ {+ d0 }
于是我坚决的把马给卸载了。
. g, T8 z* P. G; P$ C# f" p  z; y* l
4 B4 K* g; W) H1 m9 X5 ^
1 j9 \- Q3 D0 S---------------------------------------------------------------------------------0 V  y! l" f8 M" s1 _
对于后续攻击，我的思路如下了：1 s7 ^5 i6 X# [% e& i9 f& P6 q

% {( n, D$ s6 e2 z; [" T* n' U- N* t6 }1 l- a. v: }6 j, r
搜集内部员工的EMAIL，探针+office打之。
$ Y/ c+ I! {# f/ _9 v& z8 j/ S- w. n) u$ A5 p

2 R0 C) ~$ C2 x$ y内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
5 M/ z4 ^3 ]1 T$ `3 I
7 q# X* L1 O2 W: j# M2 c
4 C- w4 x, ^! i5 N  u1 N$ M通过登录A管理员公司邮箱发邮件下手。; f) p- |. l2 a  O, Z
6 @4 s5 F/ O4 }, h/ U+ G, a, Y2 j5 C

% j0 s% |/ @( l4 }, V内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
) n1 E+ ]3 m) E& f) B/ N2 |2 h  m
5 W6 y9 s! L5 R6 v厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。( i% ~% c3 u. C$ H9 p% t+ P( ~4 |
-------------------------------------------------------------------------------# R4 n- K0 `$ X! P* v
" {3 C* k5 d& r8 O+ M* b
最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
& w* Q0 D# H$ X! w



欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2