记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。


7 W  N" U* Q/ `+ o1 M" ]如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
+ ^3 P3 e1 s) \* R

因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
0 f3 P/ p+ c; ^$ p2 V
& U3 g* ?: W) L9 n- s------------------------------------------------------------------------------------
! }, S- T4 a1 N* m
先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
5 g3 B  f1 d, Y) I5 l1 i

# A* F8 Z8 y, i: `+ ^/ N. x毫无疑问，IPAD又奖励到了。

( @8 X* h- c% w7 j+ K! h
于是我和社交网站的主管说：你要啥时候才给我部iPhone。
5 U, |% ^$ `, F

主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.

9 y9 j& k1 L. h4 G3 t$ @1 Q
& {1 M( F- x. u1 X. [  E( N7 k9 K8 I' I于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
2 F4 N& Q. N! w: F( Y" `8 p. J- Q" v
6 J. C% `( e+ v( S* h
主管回答:那就来把.打下来了给你iPhone5..
3 I- v3 N! T/ g. e% q
- Q7 m- H, t+ K1 E----------------------------------------------------------------------------------------------------------
' O& F) y1 {0 Q2 f8 u) UA公司的外部保密做的还行，找不到几个员工的公司邮件地址。

* D& W4 r' I+ j; D. x! {1 p4 u之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
/ T! O* ?6 x$ X/ m+ M

. w  a( G8 s+ e! f' {# V$ i, |好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
5 ~! S9 S* C# Y4 X; T" |5 v! K

直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
; z  |) A- z0 Y4 V4 t5 R- e4 L7 i

对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把

& y6 g( ~" P1 z/ n& a3 I
# W1 d( u- B+ j# ]) R6 n* z思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。


: n, H  }# @9 g# V( M9 b) f于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
" A5 E+ \7 e0 y* ^9 k
7 x0 o5 J0 z! s7 W& W" m
9 a) W! t4 k, d2 Q  i对方深信不疑。自然回去访问。


  F2 y9 K& A# ~1 R9 |好把，大概等了几秒钟，WEB那边有session是记录了。


一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。
* t9 x/ J" O5 @, w6 \) I
3 Q" O0 X  b1 l6 G1 F
4 u# @4 N9 Q& c" V我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
$ D5 z9 W0 b1 g% @: |5 ^* }2 I! o

A管理员说是office2007 ，这样更加证明了我的探针是对的。


于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。

/ E1 |# H7 T3 I9 H7 j
A管理自然就给了我，好把。 office 0day打之。
3 f& a" [$ s5 L1 i# M
. t* F7 }, r( N3 z; Y! j. x6 {
/ U4 e# O& |) y$ e: y3 F' C, u; q6 g打开远控，等着上线，可是就是没上。 出问题了。
% s! q. A/ {, U/ v
; f4 K# l; b" m, {. \% w' e
A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
0 X, W& \; N, w3 k

! p- z0 B0 O9 x为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
/ p& c& [0 G" Q2 H0 u

9 h  j9 O4 C& o# }2 u1 [6 C同样的对方去访问了，系统应用很多被探测到了。
9 v# \: w  F. E/ m2 _
, K  o, _1 U: v: U; T+ M( ]: Z
好把，出口IP也是.14.

& _3 D2 v' ?3 d: j; ^+ q, @
没问题了。出口IP确定了。


于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
9 _& a$ R0 d: J' I+ c" U% l: J
& p; s) o& ^; G" G
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
9 _* i6 M; N/ q* P0 [8 m

6 k! g4 v% `- F马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
, F( K' P3 f) j

net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
1 a6 w* B+ g  o0 M; g
' N4 n+ F( W  ]0 W1 D9 b0 A
+ c, P4 Z0 l9 f  t0 ?& C2 r同时间通过密码记录，得到了内部Linux服务器的账户密码等。
, p( f% B' n% q
7 I2 c3 y! [1 d# Q2 o* A
向主管个人PC机进攻。

; o( v5 X1 o% m: E/ U. ]. g4 S简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。

3 Z/ z9 P: Z  l, B2 Q
于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
$ |8 k; d% a5 n: g* E3 Z' _
0 o4 m7 c- D. q/ j
---------------------------------------------------------------------------------

3 j! a0 J% ]# }" Z! X/ J( [; `
% F. A/ H# x( U+ O晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。


晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone


我觉得人还是别太贪心了好。贪心会出事。
% J% C5 B6 m& T5 Z: f
2 W$ J; c5 G  t' @) P# b
- g# F! c, z3 z7 K于是我坚决的把马给卸载了。

5 T; ^+ e6 J& X) \2 m7 i$ ]- b
7 b$ s7 @- L4 U& M/ c/ u* T! w6 I---------------------------------------------------------------------------------
对于后续攻击，我的思路如下了：


搜集内部员工的EMAIL，探针+office打之。

8 z( q1 q0 s" o9 H4 Z
+ c2 s$ N3 V, `内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码

: }$ K2 l8 i% B
通过登录A管理员公司邮箱发邮件下手。
, l  i8 |: S+ @/ e4 R# R6 a* a
8 j( N6 ]2 r" u- D0 j. t
内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。

+ A, d" \' j# _9 k  c( s% g% Q厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
-------------------------------------------------------------------------------
5 ?% {4 ]& f$ H; {- ~- y% h9 M
最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
/ I7 J% @# `( g% O' q  J/ b" ]