中国网络渗透测试联盟

标题: 记一次APT攻击(简略) [打印本页]
作者: admin    时间: 2014-1-7 19:01
标题: 记一次APT攻击(简略)
在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
5 f0 O; ?. q* r  _* u0 ?$ i0 ^3 H5 @( j* V: l  |

: e8 Q  o& f) L8 V8 c+ J% J如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
% s$ a" N) t! M0 ]% x
5 ?+ m, Q: {1 {. L& R3 v1 i
& ~3 D% Y( c7 M$ ~6 V) e' ?* o因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
, h+ C2 i% s( C, A* G6 q# `2 r* h/ I! P+ w; N4 m9 p( ]
------------------------------------------------------------------------------------
! v* U4 s1 u. ]3 u% Q- s9 \9 k' v$ W, H
先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。: K3 w2 H* u! G( b4 |2 ?+ }! ]
/ h8 n7 p" K: W' N% J
第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
0 Z# v* D7 P. `2 S
; |9 y& _9 R' ^# V" T/ P0 z& \5 b1 P
8 _( I5 L9 c; @7 Q毫无疑问，IPAD又奖励到了。. x+ w; P, s7 U, _) j9 J
; z: S' F7 O6 p" S$ k+ [; e* R

% Z2 v/ u' t' l/ R. k3 {& a  |于是我和社交网站的主管说：你要啥时候才给我部iPhone。
9 ], L% ]: j+ F' }7 Q: r6 |( g, _! c" r2 h# I, g, s2 l- Z

3 t) p4 k4 T  ~5 \/ O主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
0 P( I" H5 c2 W  B; c3 V# B: u0 Z0 e8 s6 w; S5 N' v) g5 e! D
9 o# `7 m! A  E3 g5 Y. ]
于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
% X+ z8 I( I7 o4 K2 g  H3 T$ H# g2 l  m& s3 ?

2 P; L# |% K, ^" f主管回答:那就来把.打下来了给你iPhone5..
! H7 k- X# t) v1 p6 j" B/ H$ n% {1 H" }% i3 G! z: [' J2 w; K+ |
----------------------------------------------------------------------------------------------------------" w" u2 N) W) B
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。; H5 `1 n5 k4 A9 Q; C/ U
5 ]0 l8 j" ~5 N
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.$ U$ I6 j* w; B& h5 u
; N+ A# j$ z2 Q1 N& C
" X, d" ^; H; ]* Y/ q0 U
好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
$ Y$ Q- X& S$ W/ ]5 l
/ G- v# z  E: z, d2 j9 k; G
3 ~3 p% U# \- P直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.4 i; I6 ^* k: B( z1 r+ Q) v
- F# W- P* K- q/ K( x2 R9 j
) H) h" g0 T/ i* V1 q3 c& }
对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
2 ~; k0 f  d% m) T! b$ w, ^& r# Z1 ?* S; ~0 V( H  _, w0 S; i
6 X( Y0 X* }2 h) f+ [1 \, B1 d
思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。) w5 d; S* ]% ^7 R% E! x

: D3 x9 s" @" E8 D+ D$ j) s
! t& J: e9 [4 O% m4 a) {于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
  Y, d5 B) I6 ^# w- h3 a) r1 x" x+ u
7 h1 G" L/ |: s/ L4 F5 Z
对方深信不疑。自然回去访问。
! |1 j4 Z  [) o8 K* P9 C3 j: I( s6 {0 J/ [$ W4 T# a) U2 P7 ?" `& O

2 T* Y4 R: a9 R5 b( n: C好把，大概等了几秒钟，WEB那边有session是记录了。( W- F9 D# O. f' Z9 J

. S8 G' s( v3 f% \; l6 n" Y
0 m) `. X1 G/ K: P) X# H; U一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。4 E( {2 i+ I9 y4 I. X2 P& T
9 N/ v1 L$ m3 J
+ D5 Z' Q. _9 o& K3 z; b, y
我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。: V6 i9 i5 }# b8 m# C% P# A' \( H
/ p: t0 j( R  S  s" X5 r
& M3 {+ \! f# p0 N" P
A管理员说是office2007 ，这样更加证明了我的探针是对的。5 N' s7 C" G) T/ n* k: p

- J( ^" b: M% D/ p; i* m
7 C# e+ C7 {- h3 X" W于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。3 `. V% F1 ]5 @. b9 B' u( E$ s$ _
" a+ k* a) @  G5 G

1 O/ a! f+ i- ]" ?A管理自然就给了我，好把。 office 0day打之。
7 j9 H, {' p# e% P1 V  _" D- `/ {' W6 L

/ r) E& v6 I- ^8 i1 A打开远控，等着上线，可是就是没上。 出问题了。
1 X/ F0 ]  O; N2 I6 h; m2 {
& _0 M* m3 k' b. U5 v
- _8 q1 c0 ]0 G9 B5 [0 YA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
- l8 @1 ^; M( Z6 s" q& J. Y! @9 t& d: {' f5 }
* h/ z! K, ~' S$ e
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
0 Z) @9 G( a+ h8 y  B! f/ L9 Q9 ?/ W3 R9 n
/ \) y, O9 T; y% e8 u: o9 M( }
同样的对方去访问了，系统应用很多被探测到了。8 ?! i9 f% ~2 U+ I
. ?0 _9 T: ]* N0 U+ j% P) S

7 [: m2 M( l; _. T! L- j; D/ t! m7 ^好把，出口IP也是.14.
1 F( U$ {' ^4 a
0 {5 N7 [4 e8 Q; @$ o# U- g6 _* a  @2 v5 J( Y- G' ^! G# L' H" U
没问题了。出口IP确定了。0 L8 D. V, F; L5 ?- G
% m  v. b& f- W
0 X; h3 d) X2 w$ }& z) t, V
于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
! Z( E) L- i8 ~; o% N4 ~: }! F8 j  \, Q* |$ ~5 U8 [& d+ A$ V

; l4 @3 K# Y! v' X; j) f* N马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
! B# v9 d5 {! T. T% f* d5 V: x8 O9 u' \- S1 F1 L

* n, Z/ A4 _; }/ a' O1 w马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。% P) @' r& H- p
0 N: N' I  H3 x8 R) ]8 {% M
( o% p; k, h2 q  R5 X
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。& v/ _: _) `: v, O- u$ `8 R5 I' Y/ [
9 T6 V$ a3 }1 H; ]0 [: m" A
6 t; l( I; d6 E0 M% _; g6 T
同时间通过密码记录，得到了内部Linux服务器的账户密码等。7 E$ @0 Q0 [2 N+ t: \% i$ d" @0 `

- F+ L+ c( O. B- [/ L& m0 e5 T4 i. Y- j: U( A
向主管个人PC机进攻。
6 E& l( o: W! z1 G
. t7 b7 x2 w1 @. z7 J$ J简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
! V5 s  g0 M" [7 ]0 Y/ c( p; w# W( g8 I8 I1 k; r! B* J5 }

6 |! X# G- H+ _' A( {9 i于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。2 v% [6 f: a' B
9 @: \! p. q7 }6 C% i7 D" `
7 n- ^/ K3 J' v$ [# b& ]
---------------------------------------------------------------------------------! k4 v$ `! h& L5 x6 e

$ T/ ~6 a. ?+ g& k$ t3 _
' S/ f: O( @8 u8 z6 m! i& E晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
$ w. O. n7 f+ ]0 N! w9 S  \# g
' Z1 D- ~, S  b% n, e
4 B7 J# ~' P$ h: q5 y晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone$ k% O5 w2 i6 {* x" j: w

7 \9 E0 I- ~1 E8 U; \
3 v; [* @1 x; }我觉得人还是别太贪心了好。贪心会出事。
  w8 Q* q! a( \9 ^3 [/ y  Q4 x# S: Q4 X

6 z7 B' _2 x) N& H: k! K于是我坚决的把马给卸载了。
, `8 Y" u- c2 n7 e" K3 u$ E1 ~0 H( f( n+ s' K4 A! I5 }0 M1 c
( m: e6 B' i! g- J: k: \) l
---------------------------------------------------------------------------------
+ o" X5 _& F$ I; T对于后续攻击，我的思路如下了：' J! A! Q, d9 A2 `$ c& z* a

7 a" U  N9 h2 R5 _  ?7 M# N2 V+ L) D1 Y7 k" c
搜集内部员工的EMAIL，探针+office打之。
/ p; ~1 m% y/ L/ }5 [- M9 B/ F" e( {9 `  s* F

+ u# a0 D, L8 S# ^# R" [9 n内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码% [2 m5 ~! V9 e5 |) v5 U- g6 Y

" ]+ @% B3 @- E; o3 _+ M, K9 A9 X" L+ p0 s- L4 J- d( |& m
通过登录A管理员公司邮箱发邮件下手。
" U' E/ d2 J4 O3 n/ P2 K4 e- C1 B, o! U3 U
1 n! B( Z; C% j
内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
0 J" X, ^) F+ o5 F9 V" p- W) o$ k1 V
厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
4 |. o  m8 ]! y-------------------------------------------------------------------------------4 |: ~# O- }. ^8 ?& U* [& H
7 t+ ]3 q- J$ j# c7 V: B" t/ r) B0 G
最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。2 L1 v: C! R6 h, b8 |: U




欢迎光临 中国网络渗透测试联盟 (https://cobjon.com/) Powered by Discuz! X3.2