7 ?+ T' ^0 l; `+ c! Y & G- ^/ j4 G3 {* j& r5 P$ K
( Q* z6 {" g4 b) m, ^6 A: R7 l: a " m1 X5 ~9 v, A$ E" A$ \8 u
1 、弱口令扫描提权进服务器 6 ^( [3 c1 t, ?! Y
) Z @- @! P& E7 q; O: D 4 h/ K1 Y: R$ }& e) R
首先 ipconfig 自己的 ip 为 10.10.12.** ，得知要扫描的网段为 10.10.0.1-10.10.19.555 ，楼层总共为 19 层，所以为 19 ，扫描结果如下 :
# a9 s* p# U C% y( g a. k
4 n) m. Z7 }; w" j5 @2 P' F
3 j9 Q2 @! ?8 I7 O+ j' z4 | - V$ s* P) Y2 f; P" \
" D& Y& x W. g- X2 D! R( M* _' R: C
2 @# W3 J: H% Y; j8 O& u
0 _2 p* Z* X* h& V" S, E
$ d5 j" t, {% v# q1 }) E A 4 s* A: q. t7 ~
" q% T1 x9 t P; e6 T9 T5 K2 _
0 B2 F7 `3 W B
; V; u4 i7 W; j3 m$ M) ?5 b
' ?6 s" `! o7 \! v% Q F
1 B$ \7 ]* z G& ~6 K0 Q ipc 弱口令的就不截登录图了，我们看 mssql 弱口令，先看 10.10.9.1 ， sa 密码为空我们执行 ; \) @% A4 I% t; h5 ?: a2 A! F/ p7 ?
7 I" d2 l4 `1 ?/ q1 U# n! v
. D5 u1 R/ E& d6 v) C! b
执行一下命令看看 0 T$ O, L# z0 }' t! h
/ W# |1 Z% F- }4 Z
2 |; y$ Z+ y" X1 s+ w
5 K& [/ s; V. R0 H/ t% A
* Z+ h$ ?! `9 ~8 E1 ~+ g9 k; N6 q 3 v) ?( Q% f6 \# B: x
# N' Y, k9 R4 f! v5 R2 h
. x8 ^$ H# {# O1 ^6 S
5 h$ Y0 e q9 [3 B% v5 N* H
( J1 H2 D% E( U- l
9 v6 F- N% _+ |. R2 n
开了 3389 ，直接加账号进去 9 }) Z* a6 _( `# u: j4 Q
: X, i" O7 J' L( P
! }* |* q1 @1 [, _
( \ X( h8 G6 N% Z) q, z
4 l0 Q8 C% `; [) e9 s; c
1 ~+ [, Z5 c5 n6 [
8 Y$ U0 v; Z, u5 T' U/ `
- ?. w* g2 l- l( a # [$ a7 C! z N3 Z. O" _
! t6 H `" _$ A, a2 X# T8 C4 ?8 i: y
) J% a0 |- j: d! b! Q1 S 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 2 h/ L7 x) b, A3 t l
_$ ?% e5 q3 ~5 i }
* x" i; t& k1 I& P! y ! [% r: d k+ b: f
: k; {: R6 G# P7 x/ r
/ A- W) u S! @: X* C
# Z" G8 s' U5 j3 Q: H
S; M9 a: t& N9 T" s' ~, A 1 ?/ @3 y7 i: l
5 d: d( r$ i9 s8 N6 R- y
8 `& z3 ` m- O, K4 W
直接加个后门， : i1 h& ]/ l0 z
8 c% y$ O' T( X0 ? : X/ _& c) `8 \" l4 {
! v5 ^$ [: X# {# O9 W. c
6 w( Y1 O1 Q2 x0 r0 q8 f' p
/ \2 R* t& Q' R/ m- n6 I
6 U& U8 }3 p2 ~2 V' B# k- n
# [* h, @0 _; H5 B' y
$ V: i% y/ ~6 n: D0 N: {
, e. H! U5 ]! m3 ]* g
% z6 N ^$ Z' M1 q6 { 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 9 X; N2 v! n h( l8 }" ^8 |
) G' A8 p q# H
: ?# c! ~ O* x0 a/ ^- h: t* a 2 、域环境下渗透 搞定域内全部机器 + r6 \: b; z% ~; q* ]
. ?# c2 Y4 V5 w3 ?9 x
1 ^% l% L5 h. C1 X 经测试 10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行 ipconfig /all 得知 ; l0 L4 C* a7 c9 x7 K
/ P% f/ |2 G( r
; S) T8 V+ O/ i4 g& a % v; i. }/ V7 q0 d/ i, D
9 t+ f6 M) d3 O' j' ? 0 l; k7 A1 o1 c
8 D' \% }; Q. J6 o. }9 T
! `, h9 D V- W6 Q# R & u( e# u" j+ M# H% x) j: J
" @4 \& H. K" c% f# b0 H2 { . p. S" J9 `2 N
当前域为 fsll.com ， ping 一下 fsll.com 得知域服务器 iP 为 10.10.1.36 ，执行命令 net user /domain 如图 1 P: R+ @! j0 Z3 \. t6 `( T
: c: ]! O4 S( P
! Z" O0 i3 o( z. Y; R
/ q/ ~3 q( {: Z8 C5 x- ]1 ` 0 @: h4 [' f5 A3 c- k6 k9 n% m
$ ~: e& O G" w" `* Z) T
' q5 G$ L0 s0 m" {
, {. i/ M; r* r' G. e
S! q. A, d; y: I* A
. _/ o& O# e& j2 p
3 [5 ^. {, i3 g- P6 v$ ~6 @ 我们需要拿下域服务器，我们的思路是抓 hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行 PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c c:\s.exe ，这句命令的意思是利用当前控制的服务器抓取域服务器 ip 的 hash,10.10.1.36 为域服务器，如图： 0 R" [: C" A9 P3 |9 n2 U- h
6 m G2 F" m" J3 I* l
l; {$ e3 C) C$ }# N; y ( w) M6 X/ N! a: A/ H; W* v
$ x7 x8 j6 q- v! A 4 N0 T8 o( p0 K
; `, N6 f+ M" C2 p& t4 o4 x& M
. G* F2 k0 }" t" b# r
. _& p% D6 h& d% Z! h# I5 }, |% G
* d% t. ^) A! q; `) q% H+ s
& h9 t2 C5 F1 p6 _6 i7 d9 F 利用 cluster 这个用户我们远程登录一下域服务器如图： ! p8 v! c, u) Y5 V9 H
! n9 b1 B6 ^" \7 M1 t- s/ G/ `6 O$ ]8 ^ * T* u! L3 j. y$ H1 w
1 w4 G7 _; _, F4 p
2 J- z" L1 W/ G. ^$ m- r& ~" v+ h 1 F; C. X! [: g6 M/ S
T$ T$ b3 S) w; ~) ~
4 o# h5 f& W4 S+ ~& G " |# z: H+ {/ s
' d+ a) v# Y/ A, Y: l( a
+ y: m2 v# W: K& L 尽管我们抓的不是 administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了 administrator 的密码如图： 4 W+ t% I9 F9 Y% R( F6 f6 i* T
' h7 x$ w2 U# J3 |; b0 A7 d . O! B2 K' l, M% Y0 L* S" a( H
5 ?1 K: i, b0 _' A l
$ y$ s% s. R' {) N: W, y# w + s6 q( H. a/ f# \
3 C& t; e/ _9 U" X# ]" [
* ^3 H- y y( g/ v# S ) _ H2 I! Z, n8 ?" k
) y0 i3 I: {' Q5 C( [1 w( b& J
* G/ L* e1 [# ] 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓 hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： E! Z1 d+ L7 k) e% d0 h* g0 H" Q
0 W9 o- d+ i4 n) T9 ]( |8 W
: |0 _9 h0 r# ]6 E * M- \6 y* G5 O! U* |/ O
+ @+ s! j" P" [' H' R
F M% R: o7 P8 a$ W: q0 L 域下有好几台服务器，我们可以 ping 一下 ip ，这里只 ping 一台， ping , Q% w8 O, C0 \1 p/ }+ }% s
# U- @% u( n+ b! m' X: B
$ s8 O3 p% W. X blade9 得知 iP 为 10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： % v( F. ~5 c8 M
6 G! q; Q+ `9 i7 a3 w) O! s3 [
- |" m0 V4 |* S0 e* l
8 d; _9 m0 v, b5 Z: C0 ` L4 t; r% q5 O6 ]! i $ g1 I7 A/ S, P: j4 [* i* w$ H
4 g: C& L( Z/ D0 Q+ K6 ]5 r8 _
4 J) \; N; w! b( Q& Q) K' g; i
2 H9 l$ {, h3 M$ y7 p" U+ i
2 S" s g; P3 ^+ F0 [" Q/ m K" P/ C3 O. F0 I& a) [) u
经过的提前扫描，服务器主要集中到 10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有 10.13.50.X 段，经扫描 10.13.50.101 开了 3389 ，我用 nessus 扫描如下图 ! T' T/ u2 v3 y
( \: m4 q! Z: t, v, y
# \! [5 s1 }) ]+ n; z' }5 f
. X% Z; y7 X( R, s+ B
" W* b* ?& ?% R: y \3 [ ` C
" F9 M" S7 w2 q4 j1 ^6 g
/ W7 Q) |0 v0 {+ u3 r
" ^% O4 b( [* \' u2 e) R" M7 N $ @4 V$ t6 a( k; T( S7 F+ {( l4 h
7 a6 ~+ I7 X0 ]( R }# [
: V/ V9 [1 T7 U, c$ e& A6 J 利用 ms08067 成功溢出服务器，成功登录服务器 9 I7 h! }3 m: ]0 K2 q- q
. Z+ z* S% O! ?# P3 p+ t# ]
1 }9 G- L( k7 M* o
3 a$ k! U0 F' ~" F: o ) N7 q' \; }+ e8 U* v 5 S/ f" W! d3 G0 @& s
3 K& O& i9 o+ ^* b 2 Y( `. C% Y& u R
3 [7 A- I) T7 k3 X# b
$ E/ J+ `3 O. i# e
* y) P& R x% R8 a 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓 hash 得知 administrator 密码为 zydlasen r* y/ v% R ^4 ] T6 G: O
/ G4 g, u) ^9 Z" k8 y7 N; E3 i
3 m6 S1 W" s' T2 i$ n! k 这样两个域我们就全部拿下了。 / Z4 w2 o9 o( n, N' d/ Z( V% s
$ y+ v- V) f/ V% Q9 q4 ]
* c9 T' M4 L& F2 i) E3 `' N 3 、通过 oa 系统入侵 进服务器 1 X! t# `) {6 o n# {
8 \ m- G) }( s1 m ) I X, K" H& ]% @# M3 J
Oa 系统的地址是 http://10.10.1.21:8060/oa/login.vm 如图 1 i- k# Q9 p o$ q1 z, [
3 L( k9 D% b2 ^3 A- A1 q # n5 q+ q. t1 G
7 a1 a# A, x* g0 U
& ^ F, D8 @0 T5 X) Z
* G5 `0 t& M; I8 S+ d
7 L* g. h7 t) u5 Q, q$ n8 ?7 N4 H, G. D 9 h- q3 O! M3 Z; Y
9 v: o2 V1 i) r% F
6 u! q! L! I/ e$ G8 Y$ Z
2 L/ ?" D9 F. D' D! ?* v5 O p: ^ 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 & P. p' z y7 Q( G$ E
+ d( w* m+ R, N h2 S( F3 h: \
/ I' F7 o. v! d' b & V- J8 v9 t1 G8 _& H
/ ~8 g/ a( e/ e5 a. `' T& i
4 x: k/ e& ]; Y- H6 r& q0 Z/ h Z
( N' d' r) ~+ i' ] s
5 }9 `- w( k! Q. A! O
+ K) H0 j" a: g, q- z+ I% h+ ]
' I- [0 A# G- [) o, B
( W# l8 |1 c' a9 s' z8 z
填写错误标记开扫结果如下 ( u! `+ L3 T* B7 K# Y
- J! ?8 K/ H5 [ ( W9 l; `$ V* Q& L9 k
3 M/ i' i4 i+ b' k 9 W% [( `1 B- x& T0 D) ^% V + _* b- ]2 w2 n! C
& E" W& h$ m t4 p1 B' q9 Y [- E% ]9 t4 }" x0 K* _
+ o5 K3 ~5 X1 o4 M
& }( ~! C: o% L6 {% q
; r3 K6 Y8 i0 G: a/ K; h+ s 下面我们进 OA 2 Q! Q$ Y! m, l5 y
3 x) v# P0 x$ P: I" Q8 A
4 }2 v4 }; k8 ^) h! N% z $ o* ]# a0 W2 H# K+ r- Y* B- Q
9 ~( W/ T: \# _/ H* v : d0 o3 P; d7 t* X3 u! o) _
/ r% o1 S0 B) X/ x2 `+ M
3 N$ N1 ^) V8 G & H& r0 h4 ^+ z3 T
$ O& ^# P7 ]" G $ K( G; N& S- l u% U a( K
我们想办法拿 webshell ，在一处上传地方上传 jsp 马如图 . S. z6 M% Z0 ~4 z, T/ V6 t
! R& G" @6 ~$ ]1 e* P- b0 C; Q- W! i
# R/ C/ |; [2 w: Y* P2 y ' O j& f" [ Z2 Q9 Q' q4 N9 V
, U9 B1 e. x8 u. U5 n4 r & m) ^' q1 r' }* Q5 P. h
! J7 I$ I2 _2 h
0 Y0 q- w- B' K3 F7 }# P
/ ]6 c. N* N z. _+ @+ P
, O6 q+ }$ T. Z! H( f/ p- M
$ i- H1 G; S) N9 V / Z' S: v% E, e% C8 d- O2 h
: L6 x# g ]2 e+ [2 G3 ]8 c+ r
% u8 _3 E% b7 |6 \1 [
利用 jsp 的大马同样提权 ok ，哈哈其实这台服务器之前已经拿好了 0 \6 W: A, j# O7 M7 `
% H; _. Y% f: @& ?0 s2 ]0 `4 ~
1 T; S! n D, `9 R) Q* R1 x 4 、利用 tomcat 提权进服务器 - q+ B( O4 V: i1 r! r( b' E
. R6 q- C6 ?/ l; ?1 { y& H' ]# n
0 H, V$ C3 d- R 用 nessus 扫描目标 ip 发现如图 0 |; H, q7 E( g( s
, N! V+ C$ g& c2 ]3 M- n( {. `; t
. K ^( @/ {* O! C5 s4 Y8 F) k # a- a& z5 z, m( [* F# ]/ U1 |
9 e8 X" |5 j( F
1 {/ L5 i m( }: f! }( X5 Y
' G5 @, z6 e$ V8 g" V& E/ } v
8 p! K* M% Y0 `9 s0 e " X! B5 o& @% c% y9 q
( ?4 K2 _9 A5 W3 t- P 4 q6 K0 I6 h) | S7 p
登录如图： ; o8 J9 r0 C r1 E" ?, P& l2 M4 {
7 f& f6 K |7 q9 f6 E6 I
* ]+ j* J# K' _/ _$ Y8 W' k$ o
+ l- k7 Z1 j: Z/ R) N * X; ~# |5 f; G7 j( c * e2 o, a/ F; @7 j
9 j% w( s* c/ S& U$ z N
1 i: Q6 W2 I5 _% R4 k# l: Q" c * Q& d3 z0 ~& X" F7 w" u7 S
1 X( q/ t/ k) B9 w
- ~* ^' Q! I. o) l 找个上传的地方上传如图： 4 w, p( s$ d# r m
3 V0 K& J% e6 ^4 `. K
8 i2 z3 i$ J1 ?! _0 i0 J$ N$ j3 C : K& x) N, _. X9 [/ { h7 _
& [8 t8 H9 B ~* N# H& b& `/ | Y3 L
0 o0 ]) q2 k: R! C
1 ]- x3 p! C* C$ f. g* X' { y
" F9 `- C2 o' N: D 9 \' H/ H$ B/ I5 K" ]( J
; h2 V8 E9 X) u: }+ ^ : v) U' \7 e; a" }# S7 R
然后就是同样执行命令提权，过程不在写了 - P# Z/ E' ~+ W# Y2 M5 T
! H! l( ~; P% f5 Z) ^# B2 o 4 e: L8 I( G! K
5 、利用 cain 对局域网进行 ARP 嗅探和 DNS 欺骗 . ~ d/ d9 ^$ `* Q5 Q2 N
6 I3 {' `( I: M; K5 }; X
. I% {* Q3 ^/ F+ t. o8 D 首先测试 ARP 嗅探如图 - L- E) g0 U! ~2 z
* K0 h' l. K, B- @$ `+ ^( i
2 R6 w# W/ N# S5 a o$ u4 N! Y! o# c0 }& N
5 ?" l5 R3 R. X0 i7 l$ u* B
( m4 n& n( R& c
4 E y8 R' @( R4 H; k+ ]4 _0 A( E' M " O) l) i3 s4 f: h. ]
- P, z9 M$ ^5 J
+ R% r& b( Q0 f6 i9 F
" i/ e: m* j! }6 k0 _ 测试结果如下图： D( T2 F; T5 R
& p; y, x. J! ?$ u/ m" R) c
: Q# P# B5 s8 E4 x O m, \ * b! z" ]5 x! w6 X; K
6 p* l& d' J, C8 U+ f. c+ s 6 X8 r: c6 ] \1 ~. J& ~& g; b$ a4 [
7 V8 p+ h( u' K# H1 m
2 D( F# l" v3 [& U" a$ R k & S1 H0 T/ S' W1 P7 U2 S
" S# H1 \9 b E8 K ~- d
% g, ?+ z( R' W" w0 ~; l# U% J r 哈哈嗅探到的东西少是因为这个域下才有几台机器 # P7 [6 `; H& m C
: ] p( X6 {5 I4 G+ m8 G% B) T- L
7 O# C$ R+ b9 m1 Z6 H
下面我们测试 DNS 欺骗，如图： ) L+ n$ u0 s9 `: B
7 k( v" S f* r5 k0 @8 O
, v5 G+ N! V* K7 K
* D; n9 H) \0 x$ W% K* K 0 l- L" \6 y2 ]+ s
# y. a3 G: h5 }
7 F# [: S7 ^( W7 i( A( E
5 Q1 o4 O6 M: @ + X1 n! G( v/ ]; D
! k* D$ m7 _; ]3 Z/ b7 s6 h ' m: @/ j2 B5 S9 K& g6 M/ A
10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 9 ?- C: H- |# I( F V& V Z
5 i$ x+ m, z0 m: H O" o ! X6 W5 @1 e) H; b
5 L, d8 R4 k) C$ r( d7 G% Z . P1 h4 {' ?. d$ K
$ \) ]- E% {: v, T6 v9 ?
9 o' w( `6 B3 V$ D( e+ e
5 r0 A* m# ?0 y9 j4 L& J 5 }# I. C4 A* X" W) }( M% B
* e8 `7 A. o r8 r3 n9 S
) b% ]: e/ T. \. I" L1 K% z, ^ （注：欺骗这个过程由于我之前录制了教程，截图教程了） {7 V4 E" A: h" ]
7 c: R# l- }' K- j' U
) `. e. [0 A b& w7 U% y; R. V
6 、成功入侵交换机 ' x* O! j) u, A. |& P* x5 Y
+ u$ [; O, b2 N
# i9 R& [% g5 p( p4 K0 x9 c- K+ M 我在扫描 10.10.0. 段的时候发现有个 3389 好可疑地址是 10.10.0.65 ，经过 nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓 hash 得到这台服务器的密码为 lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 9 [0 U7 [4 _* J* @# K
& ^/ y" {' D5 Q+ H
d, U, Y6 i A7 B$ B4 k9 K 我们进服务器看看，插有福吧看着面熟吧 " T; u6 s" B5 l6 P9 c5 K" m
2 E. ?, V% S9 t1 ~% _
5 X* B1 d5 }' h
, y5 f. E4 o* t, R * x2 E: T: _# ~) j/ {3 J 0 K3 i9 ?8 b- @3 g$ y$ v$ b
4 c ~9 D+ |' f( j1 t3 J0 g, L
- p) Z( J9 x- C! q) b
# z9 {/ u. b" j1 I4 U+ R% X! F% O0 {" K1 z
, b6 r6 K: Q; v" \9 Q
$ Y8 V1 S; }$ y' E( \+ e 装了思科交换机管理系统，我们继续看，有两个 管理员 4 a j# M7 f4 \' n
; t; q$ z# X* q/ B7 K' P
4 {+ g5 a9 n- V( b
. @8 \- W- o6 R3 J3 A # V# M" h6 L: W1 g1 F
' ?; h M7 q3 {) ~8 q5 o8 f
j9 y# m6 a x0 K% N+ k, [
Z% z; X# {5 [3 k0 S; j
7 M" s6 z7 F1 `, u% Z* @+ q
! F9 I2 f3 R4 [: E& ]9 }
8 K( j/ h% q2 @
这程序功能老强大了，可以直接配置个管理员登陆 N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 # ]1 l2 \/ g* x/ w' H
6 O9 ~+ z; K1 {% h" U% N" M5 s! o- v" J
, N1 ~( j3 {1 L+ G ) N1 @& Q C6 d0 \1 t* {+ T/ {9 T" M
* L, H/ K0 W# ]& j
) K {1 |8 D/ g D. l7 w* y. M1 M, q
* a! ~7 a- j5 \9 N0 l% H J! C1 H# Q- c# A
+ B9 U: q5 r% F3 m, v; W$ T
0 d/ V1 T; G0 f. Y6 T0 ~. r
$ e R; c% ~6 p" _( z( S+ v& c, p 172.16.4.1,172.16.20.1 密码分别为： @lasenjjz ， @lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用 communuity string 读取，得知已知的值为 lasenjtw * ，下面我们利用 IP Network Browser 读取配置文件如图： 3 l7 @# P/ o) L
7 r% k5 |! L- n) Z- D9 b$ _: @# _
7 B& U/ ^7 i3 N4 V! e
- m% r6 F. ~' r! w4 ]- G) K
- d3 i) L" y" C . g2 p. w7 U+ y9 P
- C. u% S- B1 C # W8 q/ S3 S; h v' h* `' _, h: V( s
9 m+ }& n+ ^# W4 z
/ t" h! {1 r4 g. \% y
7 D% W: ?$ i4 d 点 config ，必须写好对应的 communuity string 值，如图： ! V* S7 p- \3 I+ a9 ]) D
# b7 K5 H* L- h7 j/ U, z5 G - b9 m! }( l& ^! Q+ B
) ?5 n4 R8 z6 c. f3 s
, s5 S+ D* d+ u; n9 ]0 A
. Q, Z6 s/ N5 ~5 m0 j- o
$ a* H6 [5 u6 K. M' E$ n 0 ^: \) Y" x! l3 Q1 f
0 ~$ M, J" h$ h
& _5 g( G8 F/ E' b$ D, }$ T. r ' S, a9 E- y& n* J" p7 D7 q2 C6 f- Y
远程登录看看，如图： - e6 v1 S9 \. J' B3 f
" s+ Z3 C( `' ]) h
D# k6 i4 U+ r/ U4 u7 o4 V
, w D2 S+ x& [* | 0 [$ e) [ n. n$ U
/ x' S! o. ]+ r) C( I
- p; t+ z. Q, v. m( A1 d; F
& I' R( Y7 H! r& n& J0 X0 R ~8 b. N: p! `) Z2 R9 X. P& G {
5 `* G; `. w2 F; X
- B, C( q% a8 n* o5 x; i' i( u 直接进入特权模式，以此类推搞了将近 70 台交换机如图： * n: e7 s) _- l6 e% {5 `
# s* {: g( y" q! R3 b% H4 l: ~
7 G5 ~, ^# g+ Z: J
/ q7 _- ~' r' y7 r4 l ( t R* Q' I6 f* C0 r : J2 F" K- m U+ Z% J& t/ w# ~
" X4 k6 H* y) R7 r; [- E
. Y- ^. R7 J; @) F9 J' i: z ] + j4 h% i1 W7 Y* c% c ^
3 ^! E0 c' ^2 M% g
) u. f) E( p! p F* X/ w$ Q
- m9 D4 q2 _& Z# J' V0 i1 g) y
6 Q4 U2 M3 g( L
( ]# R1 o, a( n4 H; M3 P3 F/ X' j 总结交换机的渗透这块，主要是拿到了 cisco 交换机的管理系统直接查看特权密码和直接用 communuity string 读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠 nessus 扫描了，只要是 public 权限就能读取配置文件了，之前扫描到一个 nessus 的结果为 public ，这里上一张图， **
+ M8 F4 y9 i1 X$ [8 V5 C
. J7 @+ M" E S! x+ A % c7 b5 c4 R! u. J
) w- {- l6 X( ^4 F) k% O2 I
% d4 C. H' r }1 @3 @/ H
6 g% l3 k5 H$ o- v5 p6 p) m' V
# Q4 B5 f: g2 ~! s8 q/ G3 Z' I
6 h& ^" U0 U4 Q. \9 z% g) [
+ ~& n4 q( D @: S8 ?3 w3 g6 r
% W# V8 |" a/ j6 e& z: H$ x
! Q+ F7 x8 N( P/ y
确实可以读取配置文件的。 , t1 ~: M6 Z: ?1 i, `0 R
4 o$ L6 f/ ?9 j' ?- Z* g+ I / a! q* q" S2 b
除此之外还渗进了一些 web 登录交换机和一个远程管理控制系统如下图 ) {2 N& i/ b! C1 U6 J
% m5 x" H: {' |+ B ' @+ M( ]: p7 [4 D. l; h
; B' M2 y0 ^2 g) |6 p
7 \- n4 R- Y/ N+ e$ a0 P 7 [; \& P6 y5 z; x6 M4 J
7 ~1 [2 `! [: n0 m2 G% {
+ e6 ~4 ]6 z% I) @! w/ c
) t7 @) ~: [& d( h! z' F/ N5 h
! V. t# P& X; H4 W- ~
# V7 ?" b6 A8 s$ I# U0 O
3 G/ h6 _/ Z6 m) G6 P* h: e
! X4 _7 ^. H: }% F9 ]* U/ c
X! h6 O. A+ o! q3 ^* \/ d: q
直接用 UID 是 USERID ，默认 PW 是 PASSW0RD( 注意是数字 0 不是字母 O) 登录了，可以远程管理所有的 3389 。 - ^. Z( G+ O5 a* S& B. V7 L& _
. @* J( d# f3 W1 R$ }
4 m- G/ r+ S7 l1 A
/ M4 x5 P" m5 q3 {# | 0 F2 n4 O( P7 T2 \& V $ R1 p6 z- B% p3 g( @) o8 ~
/ k! G5 ^& z" I" [* I; F
3 U: l( D- L7 U W) c
2 b' A+ l. [# \0 u+ q
1 @( }3 Q7 ? W2 p! r
' `! j* p% e1 } 上图千兆交换机管理系统。 ' ?6 J* W: {+ D
; C" f# G* @3 w8 C0 Q- f & F+ y/ G( G9 ?5 l
7 、入侵山石网关防火墙 - q) S4 J* L3 Y" O6 Y
% L( L7 T& V8 I; J
5 |5 i. c/ a+ b- _' C( P
对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 2 ^& a0 X/ a7 U! L3 F0 O+ r
. U, Y6 o v3 T( V0 U
' J1 L- r2 W, Q* p2 o $ j+ {" b \% r) P, i
/ f6 {( A7 }& I- F% ` 2 M R) N1 }+ v+ z
8 `9 q" ?1 W) A' f# G( R2 O g0 k
' h# f1 w! Q9 `9 g) v$ R* V: a, w- L: O 8 p' ~& G$ C _4 A$ j
. X! n; u% {, Y6 ]- Q6 @# m. U6 J
7 i; E. T/ r' s, [+ m 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： $ A! ^5 G! g, n6 j; T" t
" R! m2 l8 k8 ]1 \% d! S j G* o
4 H4 ]$ ^- O: q2 Q8 z $ d I1 _# J" w5 ]- c
( e! V9 Z" s: g% C: K/ x + |1 J+ x6 ^7 d
2 E+ m# O+ U; A7 S( F6 {
) H4 E# Z |1 Z2 ~. \ , s N# }* M' H" k7 U
- \ h2 e( K" f! }
& m$ P' T7 _( B& F6 V 然后登陆网关如图： ** 0 ^' C$ @4 B% f+ B
5 d: g+ m3 y2 u5 ^4 u4 o; K
2 R' Q% O& a* H# a$ ` `: t
# n+ d3 O# V: G0 i) p+ g- O# h % }0 G q. S8 O2 B, K6 i
1 L z1 b, N& D* @2 G
6 [! r4 ~" P0 l5 g+ b7 E + d a: t3 L! T8 v3 t5 p7 J/ y
' v, v2 p4 j) P) I' h/ P
- M0 d/ v$ e% b
& u% i& Q0 E8 t8 T+ ]2 Q5 Y1 j 4 [1 f# F- y( t: s
3 I8 w9 U6 y! w" A5 Y g5 t
! S" x) d8 d# {+ e
# u* {& S# T# n. I- U
# P& ^" k8 G: H) O8 |7 i" Y
经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里 ** ie 家里里 172.16.251.254 ，这不就是网关的地址么，所以我就用 administrator 登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用 IE 密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码， 73 台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封 IP 好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用 nessus 扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！ ** 9 ^' z' M2 j0 ~+ k+ ]; `0 p
' `: r+ M/ y. \ ! H, N% v$ q% v3 p2 A. `
总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人 PC 还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人 QQ ： 635833 ，欢迎进行技术交流。 + J, v, X/ _# l0 ~2 G
& [. p a, g* k( J' y6 `0 F* A
6 I2 Y4 h) L9 j. G 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和 dns** 欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图： ** - M" `, f1 w4 f6 F
! ?4 _1 `3 o* o m3 C) [# d
+ U5 [4 y1 P/ y( ~
& X8 [4 A$ H0 f( { + v5 P. c2 Z5 y7 @
0 w1 R& k! c9 e7 c* m, h' ~# r: B
# ]( o; m0 Q% X$ M0 ?, c
+ [4 u4 S( ] u7 v* \* @/ G/ N 6 n8 K: s) {( u
) t/ }$ a M2 k1 l 8 k' [( p# T% f
注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 : z6 s% ]' U0 B0 |9 R5 a _
# o2 O1 `) L( G 3 C+ [$ I# ~/ Z
+ \5 }% q8 a2 T k% u4 S
6 b% Q' [' d# t& z! U8 |# Z- O& ~ 9 ~. F |' x- \8 L$ Z
5 t' |$ G( `8 B9 X4 c4 U
: E; |# s& k0 P" A. {6 [ 7 d1 S3 X, W( d9 s; z 
发表于 2018-10-20 20:19:10
收藏
支持
反对