渗透测试某大型集团企业内网

admin

% Q7 F |* Z0 Z% ]
6 L% o1 H3 o7 g' f! S M m4 I

* R) f: x- W7 L 1、弱口令扫描提权进服务器 3 x6 ~. C8 A. R: ?

1 S7 [) Z, n# A8 U+ q1 g6 [ 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

. B: k, u( ?# q, X2 ?2 b5 a& l8 {" Y

---

" v- }! g! M' `% r* h- }7 G

7 j5 W f5 X) M$ W& B3 F/ p

3 |" F3 X# E; K/ p. ^! t

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 / e4 M& B9 B3 F) Q2 o$ R

6 f( N6 C9 T" Y8 ]" j5 r: ] 执行一下命令看看

3 p- h+ f, C6 K

) T6 H4 x, |$ x/ j% t+ I8 G+ g

( }) M3 a {6 b2 Q

r+ l/ |& p0 c* m

---

6 a7 Q) N& d8 N& U5 x6 b Q* K( ]

) W( \" a/ r( e9 s! b3 G: [

3 T# u; W% [2 @+ H8 x q 开了3389 ，直接加账号进去

' r' j2 h0 Q. P0 P ( i. B* \; x+ I' m {# u

---

0 R& ], D7 g- `+ d% e# F2 h + V! g3 E1 {. \- H7 C1 B

% a k1 C) X8 `% X9 R6 n. D: ]

. |. u6 u" j/ o) b0 s$ M& p5 C2 L

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 * g/ N. A) W ^4 k- V$ {& M4 H

( Q `8 X& Q2 Q* I3 L$ ?. X/ H

---

% [2 [/ A1 J) [

' ~) W+ n; x4 D u- C- [ 9 G" R' q+ `% m+ F- C$ Y5 w5 Q% O

) t( V" Q% x: c. s. Z1 h1 A

$ E+ P) T9 f) U$ E3 @ 直接加个后门， ( O; _, k0 a0 r. N

2 R% D, [" r) ]0 }/ y

* g- @- e2 G% o: g+ _4 Y0 ]

, q6 @3 [" D* o( g+ z$ X) m/ Q * K9 [* T: n7 l. ~) W

---

H; b% Q! l9 L

( F, p# u6 ^' B+ E( B& f

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

. p" D9 `) a j u) L3 M) [

2 、域环境下渗透搞定域内全部机器 ) J! K6 O: i5 q+ \) h$ q

9 U3 V# z4 Q& f h0 b

) `( v" {8 o6 ^ 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

: |7 K7 z9 t) h9 X: ?$ F' q$ a

---

$ }+ g) c$ L' S8 h! B+ \

$ ]. x ~$ u: g( H2 w* Q 9 e3 n1 E% i! W; e, R2 R

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

& G9 @% }# K" p

---

1 C% B; d3 _ i5 N& w

2 m& Y C" p! u9 q- X

! J, D6 t- A+ W! r % ~" W6 T# f) {

E+ C* ~5 K. [% m

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： # V( h4 T8 w7 w; ]

' A' C$ l: _; I& z

6 t. ]" g& ~ Z) t1 M

---

+ a8 f \2 b6 P! Z 1 ~ t: a6 g1 j5 e" V6 B+ [+ i* v6 c" j

7 \7 a4 _/ E. T2 A- n

7 ?$ J o1 K( Q1 X2 V' l( |

: e4 E) Q4 C6 i4 V, S- o+ j4 n- Y 利用cluster 这个用户我们远程登录一下域服务器如图： - b; ^" a' {" u! b5 B9 S$ @+ q

' q( c% Z( C% L: Q

---

* \" C2 K: I" y) k$ T) ?# L( e

( R2 Z3 S" z! x" n

2 p' |* T2 A$ V/ c/ A 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： ; f9 d3 s( k9 l% S3 L& ~' Q

4 S5 j7 h7 L- e$ v% F

---

# p* j$ R/ j( Z$ ~

: z5 Y- u F6 e

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

4 D+ p! [+ l t" u5 G& k; y$ L

6 b8 a @$ G6 v' L, H& q

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： ( b0 B1 N' I1 L. h4 M3 ?

* W: i' m N0 }+ I) \

---

- u: S3 Q9 o9 ?* ^

) r. G2 d* a( S3 ]

, q- X' o/ G7 j& _0 P: Z+ k2 ]

( r7 G% Y6 g. v& r- H- m- z 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 % M. c& i) F5 c

/ Y& r, g6 A3 w' H: b9 @

$ \; k! `2 A" y0 ` b

---

7 c+ E$ d6 Q* |* Z4 s3 H' ]/ M

; c+ G o5 p ~

$ m) q9 Y# k& h0 i 利用ms08067 成功溢出服务器，成功登录服务器

% |+ {+ V1 H/ e

) m0 W; Y4 l1 l$ ~/ [6 S* \

---

O0 a7 C5 d/ D8 e8 H

' ?2 s, } X8 n) m7 k

3 e2 F$ ^) W) O+ e% K9 _& q

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen & C4 A' H" M1 ^" S: x* ]) K

! c) O$ E/ c) z1 w

; r% Y! r8 Y; O1 V3 Z 这样两个域我们就全部拿下了。

- a# |7 |2 q# P' f# r% I1 K* M0 W

3 、通过oa 系统入侵进服务器 3 N8 a8 l: Z l& C

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 ) i+ `( y q$ J8 ~* V4 F

3 E0 A) p8 L% Y2 a# ~6 g

* f5 [. @' P, H* K W! d" U

---

7 r8 G* c- P1 v# i7 B9 ]

( S6 h8 [" a8 H4 x$ s, z6 ]

/ [/ W3 [+ x* p! Y9 i. q

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 * _7 v* p( J" D

4 o) Q8 C: r) u, Y/ `

---

2 l f4 t/ d$ D

0 f/ U& m9 B$ w5 X& P; H

4 u! F* f2 {5 c

4 c6 j: h r. M/ k 填写错误标记开扫结果如下

7 |5 t' E6 F2 p& R' v - \" Q6 }3 o( f4 o4 U$ c

---

4 D$ B0 x" n) r! ^

/ h) { h: s9 b* a4 S1 y

; T6 |: l+ n, z0 V* J" o 4 c8 s. P4 X. {2 y' C

( I" \* R8 H8 y" z) b( a0 p 下面我们进OA ! S7 w) V5 P; C0 t/ Y. |0 ]( H

---

- z9 _* ~! h3 I% K; j! I5 V 9 y# E# {( e# @6 r2 s1 J

9 @0 X# p4 U$ R- M; u

( d6 Y3 \ E; Y" a% R l % \& p3 b+ A* s1 C$ h

. n$ D8 V0 {; u* k' I: `, k 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 * q4 e2 h5 u3 i5 H: K

; h0 j% G) m/ l; E: H

---

5 f3 h, _% @9 p4 p1 X4 {! t( `- c , Q4 J# Y. j# e& ?- c- A

9 f3 E3 x* o3 P6 J9 l

4 e# D* V: v% ?, E, h" h

9 y; c1 n+ R$ i" A6 Y. O) l . A$ j% k( T9 b

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 , Z& x2 c: r3 m

: H- t ^. |5 i/ O1 l; T 4 、利用tomcat 提权进服务器

" V+ h; ~- I8 B( U Z7 d

- ~/ d' x$ D0 O9 |1 g8 {* |2 i 用nessus 扫描目标ip 发现如图 ; S6 O" e, ~# P! g2 I; s

- ]% ~( ^8 w% T% ~. @# e) v3 @

% `. z* s" i; i6 ^2 S + B' u2 A g) F

---

! B/ E3 t9 v) e! C0 I, j/ a

登录如图：

5 `0 B0 m. c: G: ]0 m, v/ o

---

1 e! {0 w9 {7 D. C 0 `8 o: ~, u. |2 u9 p' Z

: `* G0 K- E3 I0 I) h- i9 }

找个上传的地方上传如图： 1 |4 l d! f6 C3 k

9 O* y" ?3 }0 J9 t1 ~

0 b1 D3 {5 _5 Y2 }& A4 ^ C7 g

---

* m* A/ z% B l% B% i* c

1 @9 w* ]/ j4 q5 L% c

然后就是同样执行命令提权，过程不在写了 + }4 b6 I" T2 ?5 r3 o$ l

9 H* s/ O8 P% n: J# }' @ W

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 ' Q6 {7 C/ s$ f* A: y

首先测试ARP 嗅探如图 + ?! P5 H, [- Q/ `: j/ k

---

1 ]5 C% p3 g! v3 v8 ^* j

( f. K+ g5 H3 a6 ]/ p& ~

; `% q: _1 z# R2 N. J6 U: C4 s 测试结果如下图： . l& q Y- N1 R

---

; p6 n. h& y5 P# o $ g3 c5 ]' p) A3 q1 F

4 W6 A& a* {7 K1 {( p' c

4 B* @( n5 S% ]' i2 R. J% B. I0 e: R

哈哈嗅探到的东西少是因为这个域下才有几台机器

下面我们测试DNS欺骗，如图： + q0 y8 b" i, E- c& w( k+ h

+ U0 L; Y U& H

, L$ ~3 j9 l+ p' f

---

# y1 z- z5 j% ?1 R/ p" Z

- R: {: k l" g! E& l& T

. M" Q( j+ [2 k! [4 N/ q0 W: B 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

$ V6 t, _0 K% n. Q2 A+ n

. O1 O4 e0 }! h. a/ H* z8 ^, `

---

, I' g. O' O) J

, v x+ _( d! s2 O. p; `

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

G% C6 Q8 M" ?$ q6 l

6 、成功入侵交换机 4 ^9 c$ s3 N" B

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

0 ~+ x& E# n3 F

* [9 n/ q1 f$ G# K, Z+ I$ S 我们进服务器看看，插有福吧看着面熟吧 # g4 M( r2 E% t" B, h: A

% D7 y, j2 M0 t! b3 I D; S) ] ' u) s) u6 X, U2 [: I- _1 V

---

1 b% R9 C# y7 M+ K O4 c! M

% \/ j+ P; g7 e$ M5 D; x% r' k

7 V0 @! j( |2 i/ v

. |8 F, [/ b$ p

7 i9 b: y# k7 g6 ~2 R9 { 装了思科交换机管理系统，我们继续看，有两个 管理员

. }2 i7 A+ J5 k, a: I& q. V

# b8 i- D0 y- o; z

---

2 _, n1 R1 u+ w

: X1 b J8 C1 c. X& y, G: n, ~ 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

6 N' W0 f) }; v1 T+ _* Z5 X+ Y: V

---

% Q1 ]7 `/ k9 Z 9 @: i8 H0 }9 _- Z8 s

2 d6 t* z8 f2 | 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： : h- B( t* G, c6 M

. k& ~3 z8 N! w* ?/ {

---

0 G3 m, R( Q' O9 @4 I) ?1 \& q + n+ g0 ~1 v, S( S

- I% p9 g$ K# L7 c" |& w# R" G y W" o

1 S9 }5 |. m; u6 U# O( `

! U& B8 D9 I9 N& h

8 V; q# V, m2 ?; f 点config ，必须写好对应的communuity string 值，如图：

" I+ s9 g8 C1 ?; q+ X1 B

---

# W- B. T6 J1 ]

$ G8 @/ ]( l5 y* N% Q

% z' }+ e0 o: v$ K, x) t: M

- K; g" _( \) q8 A

* e! l7 a0 J% a* B; K. r 远程登录看看，如图：

---

6 B9 i# z& f+ j& e

+ q8 F( @( ~/ u6 A' M

% @) F6 Y* X- H. @ @4 r$ u; b

7 w( n* m* B6 \! ? B2 [

直接进入特权模式，以此类推搞了将近70 台交换机如图：

5 V) N1 C3 r+ ~: _* T) [

---

5 [+ w! M9 {( f" q$ a) A

6 p n5 f, `! G7 E# U2 q7 D : @% n4 w" a- J7 Y, [4 J/ `$ H

/ k3 ^: Q! y* c2 ^

' h$ i& ^# d c/ h6 d! v

4 Y0 l% x: b) |+ `4 q 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

---

, `5 f, K1 R6 P" S, @1 S1 y - \. i3 D2 D+ B: r- S+ k

0 l- E L( O4 ? 确实可以读取配置文件的。 4 F1 b8 Z% a1 ?. i1 T: b8 Z9 c" j' T

) ^! M! ^' d" y0 E3 b

7 E. J# n" }+ o) ]2 ~ M 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 6 l0 t& x0 k3 i- s* s8 u1 d, ~

' F% X8 {1 { s) s" a E. F# s& d" P, Y

8 ~: t* H( u& u' a) B/ k5 T

---

( d. X3 K4 i8 Z* z7 v% L

% X6 ]/ u* L. K8 `

3 S2 S9 t. F8 Z0 ]( r% d" T 8 ]5 d" A7 N' x! j( J2 L# z

9 s+ v4 t' Z/ u1 s- t

& ]6 o# M0 i& ~9 Y

) s7 j9 q6 h( t7 i {8 K# V

/ ?( V0 B0 M, V7 L2 a& T# ? 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

* b5 i9 J, e! [7 m% d, c

---

: o0 p! n9 U; ]/ w; e5 y% q6 H " e7 ^ r: z3 I" ]5 d" _' v- q# v

( [! ?( i% Z4 B2 b- `) s9 a) X# n; P

0 Z, T) @; ?% f$ P p0 E. r

上图千兆交换机管理系统。

+ U1 K' c' X8 ?

7 、入侵山石网关防火墙

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

0 C) v- Y4 B5 K4 B0 z' \, a

9 F! c( o, s6 ]: P1 H

---

- G9 ?1 ]# D+ S" l7 H+ o, }6 S2 p

: p3 ?- y6 |) h& r) Y( W( e. z: [

8 l3 x& x! a( z; P2 I) W- q

- q9 h1 F* A9 j 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： ' a6 g! H5 r8 e

! y! I: x4 n# x

---

8 }* q: n5 u- l# s2 A1 V

然后登陆网关如图：** 3 Q* ]; E& q. z- S4 ?

---

' M* ^4 v# ?6 E# L$ ^ 4 C4 r* }' b% t1 U8 M. B

---

1 g3 t2 y0 j0 U

' G/ x5 e& a6 ?

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 3 j8 z8 ^0 s ~5 K$ c5 t

6 ]$ H: [5 J4 P; ?- j, s5 z

6 \( A5 ]2 _) I& `2 A: a 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 , i5 ]4 d9 I, [

1 Q3 @. W9 q6 A% }% w/ w4 r8 C5 ^! F

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** + r. V7 r* U8 S1 J

) W( n/ w; V8 u5 D

+ s! @" l. D* P% M. r

---

- p1 n2 ~/ ]8 w9 ^$ E# F3 P0 w. ?! v - n0 z2 Z: w" K5 I! h3 U

: P3 B2 V2 H$ P9 ]5 Z+ n' `3 W. |& o5 n 6 {; S% G1 `# ^ `

2 C7 z2 C2 u" i# t* Y

0 S: O8 F5 ?2 a) n1 M3 @" P 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 ' f; K. k6 Y9 S' `8 T

  9 O1 A& j5 Z# t9 Q8 e2 `+ A) B0 m

4 L) K& _8 A* _