渗透测试某大型集团企业内网

admin

3 J& k* E3 ^% r! G# G) c8 [6 A

1、弱口令扫描提权进服务器 f( E8 q |% [: n

: w$ K! b( t( m$ F' }: o, i: {5 [! t( C

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: ( O1 ~: D6 j$ d$ j- p! j

7 H8 l1 {2 a# y

---

( [# Q. k0 i" T( P# V

; z8 E# `; A0 S9 t4 }2 v ) \1 ?2 r" L3 R3 z4 o

2 w5 K# J" h3 o5 `

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 9 {) t D! A/ M, b; @* f4 H7 }

, i/ T5 G. ^8 c, y

' T' d* p7 c7 _2 Y; g% d3 F. B 执行一下命令看看

) V7 A2 y [3 ~

- W+ ~/ z u. t# f$ K3 f, [" r1 L

---

开了3389 ，直接加账号进去 # V. Z% q7 G( ]3 \, K

1 E8 I; q/ y& m9 ]

+ U! Z- r+ @/ }& {

---

! u0 G+ M# R$ b' L 0 `' y. j, Z: k: T0 F2 S+ T; w

4 {: H% M9 ]2 Y+ O3 @' o+ P

9 G' U0 n0 }7 h2 t6 K; j# Q6 ? # t: k# v M5 N( S- F$ E7 a

* \* K+ y: F4 V$ P6 C: n, a

- b, \' e% B8 W 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

: u2 q8 x J* P' Z/ O1 j 0 k: _2 |, {1 T. W3 q& r

---

5 V) C( M/ y/ g V) i

. T0 q/ |& H/ d4 }- j9 E

# a4 h1 t$ P0 S8 I, o6 T m0 V$ x

; F5 T- g$ {( T# C4 X" T5 a

直接加个后门， 2 ^2 L4 l9 A$ \1 e

& z+ p& q3 c( t5 q7 D) [* x

- S7 Y N5 h' ~, J

$ W! b" m1 `' T% M6 m& {- i' ]' p) c

---

; u- |+ H/ O# k# }

- S/ k( f6 }" f4 g

2 f8 p/ b2 T! ~5 o& m' j 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 % V. L/ y( g8 C8 H

; p" T4 ]* @$ L* Q. V% `

, ^& h$ i5 F( c& a 2 、域环境下渗透搞定域内全部机器

) `2 E% ` Q6 O3 o 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

/ _3 S, c) x [; G# Q9 Q

6 e8 s1 A8 J+ H+ P# ~. i% Y4 t0 S

---

* w }: r/ ]6 N6 a

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 * S1 h# C8 \1 P: c

* V8 m9 o6 \4 v% j; Y3 H

! R( T$ z6 T% f

---

4 d5 e6 V! E$ y: m: B' @# P

& @5 j9 f( N7 G: r R

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

7 ~( p. ^- a" O& Q! l& a

! x P8 c# ?3 A; Z1 Y/ G

---

4 `# o: E- }4 j* E) I+ ~ Y9 B / c( H; I7 F" x9 G; l

, z8 d) T! K$ ^2 r1 ]% {4 T

) t9 E0 h4 y6 g5 }* ]

# k2 N0 {; Y: E/ j 利用cluster 这个用户我们远程登录一下域服务器如图： c1 K# x# v% r7 W" O* d

$ U' \& B* a" t

---

$ Q: `, r, K( e. W5 c6 L3 ^; } 4 r. y5 j+ h( I

& n0 d% R4 [; @) n

& A s* t8 A6 V

: p1 k; M5 c) G8 p) R

, k9 {: f9 ?/ q0 z# M/ `8 ]/ ] 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： ( g, w" z0 R! {2 x

5 s" }* V1 @4 J5 P( v6 R( G

---

) c8 [: o$ Z+ a& {' [% t

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： / l2 j; s* I* V# M" D7 v

+ R0 F N6 h7 U. K8 u: e

1 H3 O/ t# y2 i& ]9 P' F; j 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping 9 ~( R3 c1 \5 t+ R% v4 K& d, f

3 e& ?( s4 p7 m; y2 `" b( k

6 s' B% r U4 l+ g$ o$ b1 F& T) H blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： 9 m) Q* F. Q, z; w1 B) b

Q% s% `6 Z* ~# U& ^) U& j

---

}/ U. ~) h$ H + H; F7 Z& o8 F$ f

6 M* h* A1 E! }+ B- l! c: J

# M, y$ w6 L; p# p

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

" L" t; V/ ?0 F( A

---

: {0 y1 O& q# b+ V$ {

0 \# c- F- Y8 t2 u

: N2 b3 u9 t* v

1 Q6 E+ \0 P M$ n 利用ms08067 成功溢出服务器，成功登录服务器

9 Q# D& r! @/ G$ `1 n' I* A! \

---

/ y* O' \! R$ A8 t$ w

4 s7 r) a) c4 n7 g+ n

8 r+ Y5 z# x; n1 Y

4 `, l2 h4 ? U$ { 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

0 d4 m* a" E' _1 s5 \! B V

这样两个域我们就全部拿下了。 8 S7 v& L# \, {

+ {2 X0 x- t6 A# x. D 3 、通过oa 系统入侵进服务器

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 * ^; s& J* g6 r6 ] J+ x

' O" S3 z! l- U, K

---

. T0 x+ x, X, k3 R% V

* k6 k/ j) v" G: j8 w3 H' ^

! F& ?$ t3 P/ S9 z * v* D& s% U& n4 p$ L

2 n/ N9 I( t( q. T; A0 u

" p& R- b) t& ^, s6 Y 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

( N- m( w' r& m

: G( ?5 k& C( a$ U9 }/ q: ? $ L' Q& \* t( F2 `

---

, J, ?0 ~0 q- z9 L+ y8 h5 V2 P

. Q8 t6 a. Q" w$ J# U. m

填写错误标记开扫结果如下 I2 N7 S* g r" i9 m: A

8 Y1 V6 Y( [( E# y' p% n8 r3 ^

---

1 e* M& z/ N* x1 L$ `

5 E; V; i1 H. @ 6 Z' P7 D5 y! J+ |# M* m

: u _, l1 p8 F) Y4 m8 T 下面我们进OA / B {; G8 V" L

+ W: {! A' D9 e+ \: b

---

& @6 N' q! o9 |

6 ]# a4 v3 E; V

, I4 h$ r( S3 P1 `% a

" X) _6 B# f& ~9 N 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 5 W( S/ B$ _. Z+ L

5 k' `) x0 z5 X3 y4 Z6 G& Y/ _

& ]# {8 ~0 \% i* }6 | g . y, [; T9 |8 O% B7 d

---

9 R+ ~& D t- U5 {8 l+ e; t 7 R8 k7 S& ~! Q7 X

* C% l- Y7 Z, l . `" e0 C8 B' v" G

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

& ?: x$ U: ?7 S* |3 U- K% i 4 、利用tomcat 提权进服务器 ; d3 }: ?3 e0 C

% n5 W& w' T% ?# c% k9 w/ r: v* }

用nessus 扫描目标ip 发现如图

1 z* ]* p% U. I% w

---

0 I8 U8 Z- h/ E- y, U# z" l

1 I# D, O I+ ]$ r0 q ( \1 O; V* N8 Q+ c: ?

2 Z: x+ P, P4 U! M' L+ Q 登录如图： , [8 R' N7 G3 y

9 B# S- ~4 l _; ~! F& o+ l- ] 1 _5 y- ~8 u" }; x" J9 O7 D3 e

---

) |; U. q4 l8 [/ ^

, W! D4 m2 u3 J, u$ {- j* V7 ? 找个上传的地方上传如图：

: m9 V6 A4 D4 y$ E$ {2 [

---

# E. Y* ^3 r1 M s c: L' [

然后就是同样执行命令提权，过程不在写了 p5 @/ \! G, X- F9 K7 [# w

9 `/ `% b/ J) k3 Y$ m( v 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 . m5 \* f3 G+ n8 x; }

' [7 t# i1 i$ H6 _3 F Q

首先测试ARP 嗅探如图 9 @! e% m7 X# ?

---

2 Z- r( L1 g* h; {4 ^

6 z+ a/ b4 S$ L& q n ) O$ Y+ q6 T% ~

9 {$ v5 s4 f# I* s- y* X

测试结果如下图：

* w, f$ u$ m5 M

" o& a$ W- b. @- @: t7 `( Z . D) M9 N4 e' s8 @" \& q: z" X

---

: m4 p: _6 `0 F; Y7 ]" u" L

2 e% G0 Z; t: p+ \/ l7 e/ O 9 P7 i6 Z' Y5 z2 i

) v; R" \3 o, R9 x) C, i8 E+ ?

哈哈嗅探到的东西少是因为这个域下才有几台机器

* x7 ~- q% r# _/ y4 U m1 ^* t; ] 下面我们测试DNS欺骗，如图：

2 h) y. D% B7 ?: S9 z" f$ B% D; L

---

' m. ^' u: | U- w( v

6 i8 N+ s( n+ |8 x5 }

P+ u0 x# ~4 I) H1 u ) ?: Q+ X! R3 x+ v7 I% W

( D/ f$ A, s2 [ n& f9 R( B

10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

9 t( H" J7 y& _, t& S9 |8 v$ G

---

( }0 u4 _; V, n5 _ / }2 [ L0 e5 Q% d; \

1 ~% a; a! e0 Z; [1 s+ {

{6 a6 m! @: N B+ t& r5 n P/ ^+ H% `/ h % i! b/ M, d" X6 n+ @

+ G( w8 L7 J2 M9 i- P* d" q

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

6 、成功入侵交换机 ' Z; u- [: @0 i, B

" a$ F3 J0 |3 u; p! s; S o

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 * _2 M# D0 w8 [

: |# Q9 i) S3 r3 E# v" x* D5 R

' b" g3 c8 I) c# M$ z- f 我们进服务器看看，插有福吧看着面熟吧

---

: _3 y2 ~3 P% k1 W

% J% Z/ A! I5 F

装了思科交换机管理系统，我们继续看，有两个 管理员

---

' V% P' L8 W4 ^& r1 ]% H7 g% a) o

1 }, d" T3 q7 ]2 a: X, i

0 Q$ p7 U8 a- d* R6 ^ F

7 z: k9 _) b/ a5 w5 q { u 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

6 a& }9 `. l8 O7 G: N) w

/ _0 s: ^: `$ o/ W, P$ T$ O

---

* v+ ^6 C# y5 j

3 h1 C' S) f/ H# o" A* A+ g

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

1 J% X" @1 h% ]8 |& J " z& L/ A# W* T1 c* |8 c) i

---

9 i5 I8 [9 R( V7 t' W9 H/ I! M

' a; ^8 z1 ^# N* R

9 I1 D) Y% L/ y8 }/ I7 @( D8 q 点config ，必须写好对应的communuity string 值，如图： 1 a; }* q- }, R+ f

( d; P4 X$ @. f1 S

; w9 |: E9 r7 j

---

0 Y' e" i' @* G. P

4 d- i, @; Q6 v; J# M ' S0 ~. _7 u7 M& A! P

6 A$ J( q; Y. x3 R5 N) S2 G 远程登录看看，如图： ; R/ X$ _8 J% j8 \# V

* |' c" r6 }4 n3 w

---

5 v' W: Z. T0 {0 N- r0 V e $ d% d8 k; d$ H* @1 ^

$ o* ~- }2 X& a5 ]% v

1 N7 m9 H. s6 C: X 直接进入特权模式，以此类推搞了将近70 台交换机如图：

' O; K- j# k' N) R0 F. h& q6 b

) U3 Z8 Y N4 v; j! |

---

0 s! G; d T9 [3 ^! Q a9 J! a

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

( c O6 |6 Q$ y1 R; D9 ~

: V& E) H S$ Z- A, F* }( S! {

---

3 l" J8 P, {! d* m; x

4 h$ [4 p9 C- h7 Z: o

确实可以读取配置文件的。 - h6 L' r# k0 b, V6 z, }1 F

$ P" |% F6 x: f) W7 y+ J' D2 A

e6 Z6 t" {0 N$ k8 K/ R" K! P 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 ) H) M4 ?% W; E, F( K

3 U7 q6 B& n" e4 \* C# T

---

; `0 a, `& j( ~' y- [3 @$ P

* ^" t1 \/ M1 q E t7 w- \

+ G; ~, F5 L. u, ]/ L 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

* I0 o$ c, u# r" l5 y

---

8 w: [7 H0 Z5 O/ V# ~. d: W 3 X( N! M( V. ^* U" {1 t. e- ^! Q

, _% F+ V( Z& |* Q6 G L6 p

3 H- A* `( W- ~' `# m

* P& C7 Y: [) q8 _

3 @; S$ q C% b( c+ R% z 上图千兆交换机管理系统。 9 y5 N1 ^3 q4 a, g2 @4 X

; B0 }- b- J8 ]: N' f' J

3 h3 S' V( S1 C$ J4 c; k. A 7 、入侵山石网关防火墙 1 R; p9 T' X9 ~( D* l; k! }9 T

" ~( U7 r( B* a" o6 G0 Q! h9 ^ 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

h3 B, y, c% I/ j

---

' l9 D4 w% G/ t+ y

# r) j7 Z' J0 _" O0 s

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

1 l7 W6 v* A5 j7 ~6 A4 e

: v/ k' W4 j/ z! |- |) y+ u! M

---

0 w6 [6 }; h4 _/ j: h( E " j$ ^4 J$ ~# v: S

, r$ i: F* w" l

然后登陆网关如图：** : P) n' N' [- t* d; P, n) j- V- _- G+ P

$ x, m- E7 H- j7 n

& S) r9 T; v2 o& P C

---

" W" P( [" w. C' b: h8 h$ r I3 Q 4 K4 K4 B# c7 \7 ?# Y/ E* B

3 J6 J+ Z3 ~* i6 g* Y& C

---

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

) Z$ P% |* U) c" M

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** 7 u) Z; I, }2 a3 O8 {% D

" U% ?1 z1 `, C- e . x2 o7 D/ b$ R9 d8 X

---

j2 d* _$ E' G$ t6 w3 o. Z , R; v# j# J' ~/ D" p

6 |. ?: U/ b( e" I- T& T* x 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 - d0 {: ~! F' m

( H% x J4 w5 \

( |+ b5 Q6 b5 f) m  

" h0 u2 n2 V ?' i/ Y. f J4 O

% h) h& p! U! h* p
2 c& ~# {9 j8 `9 Z1 Z* F

! m' K' _8 P$ E