记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。

3 D. q) {% I7 g" W% l
如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
$ a8 v( w% Y$ z- z$ ?# \8 ]
5 W, {* D) l' v$ F
5 I% }; l1 x1 h因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。

------------------------------------------------------------------------------------

1 e& ~. O# e4 ]- j先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。


  U  h2 i. q  I6 u* B; N( N9 m$ L毫无疑问，IPAD又奖励到了。


4 o6 P$ J9 Q' v, m" |于是我和社交网站的主管说：你要啥时候才给我部iPhone。
4 J3 S, I2 p0 {0 ]# }1 \( }+ ]6 Q
+ J0 E. J% ]; `, c
主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.


于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
7 E5 p7 O$ k; w. F& U+ n/ W+ M
, [# c) W; z; e! f" b$ J3 V0 F  M
主管回答:那就来把.打下来了给你iPhone5..
9 c+ f) z. ?* u0 n" ]/ z
2 D" O4 X: ]) T$ m----------------------------------------------------------------------------------------------------------
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。

& Y0 I' r$ |3 o之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
$ h% q  A+ M' n7 e% l' X
: J+ J/ E2 }2 [/ ?' P/ Z+ ?; {1 H) p* j
好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.


直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.

/ u3 j0 O, |: n
对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
1 I8 B/ s3 |9 L9 ?

思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
0 n: w3 {9 e# `3 P- x/ u1 X$ f

5 [* o; E1 U- ?于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。


对方深信不疑。自然回去访问。
- `1 G8 E  O$ M4 O
8 P. j2 [' C8 |8 e0 x. V& Y
好把，大概等了几秒钟，WEB那边有session是记录了。

2 Z4 U+ h# d* c& Z6 R
一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。

' U8 O2 T+ a2 J: h% z' B% y+ U  p6 \! ?
我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。


/ J. \$ ^/ w' ]' X4 `A管理员说是office2007 ，这样更加证明了我的探针是对的。

& _0 f0 c% @3 c! L8 j, M
. z! a, {' E+ T" X于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
* }  ]  ?) g- o  g8 r& D
7 h  d. t0 n, r
A管理自然就给了我，好把。 office 0day打之。
0 U2 C! p9 ]! ]! e8 s1 |+ i
$ ^+ J5 U$ q" f) m
打开远控，等着上线，可是就是没上。 出问题了。

8 S) d% a7 A9 x% k/ |
8 R) l" N+ B0 q8 t* T' s+ ?A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
6 M2 ~* t% j& i1 M6 H

7 J$ ]9 C) q' n& N9 B; U* {. D为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。


1 N# s$ D$ b$ q5 m' S1 ~同样的对方去访问了，系统应用很多被探测到了。
4 ?9 a' Y) Z8 d5 ^: o1 ?; ^

  w/ t" Q5 u6 B0 j& l* B; r好把，出口IP也是.14.
) N% o% L9 s/ C$ H# v4 H
. U8 N  i  x# q) e
  N2 p" j" D+ C7 f# \3 ^9 c没问题了。出口IP确定了。


于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
4 _% s* Z. D' H( h! c
# Y  f5 W- }: X$ W5 |
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
% O0 X# C* H) X- O
4 U8 |, [& d- |; N  U! s
( W( u) t1 g2 N2 \# [) f  G" o' l马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
6 @" m6 X' Z" Q" S0 }
5 X8 l* h# H( a# c1 ]% _% p
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。


同时间通过密码记录，得到了内部Linux服务器的账户密码等。
  E& V3 C  i& c2 J! E  N
6 E2 C+ a% ]$ s% [7 ?
1 s5 j7 }6 H" G: L; A向主管个人PC机进攻。

' a; S- E" {! A! c) x简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
. k5 y$ k2 {( c5 s+ H( Q
  u: e4 q8 N5 Y  _/ k
于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
$ M0 E  X- t$ `' f1 N

$ Q! a7 \8 O  G* O; O---------------------------------------------------------------------------------


晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
( b4 u7 J# ]8 `) g* Q) L8 ?, k
0 f) q# Z* V- M  X
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone


我觉得人还是别太贪心了好。贪心会出事。
. l! B( H6 f5 Y( Y
7 |1 x$ z# O! f: C
于是我坚决的把马给卸载了。
- i+ T( Q- Z  ]+ h- C# w2 L
9 P* M5 u0 _9 C9 [1 b
+ |; O& e2 ~6 X7 Z5 x---------------------------------------------------------------------------------
  m! S+ I! U5 N对于后续攻击，我的思路如下了：
; u. D' j  E. s' Q

& \# ~' Y% D% N1 R: v: w6 ]( l' y搜集内部员工的EMAIL，探针+office打之。

* A# B* t$ H7 S& O3 t/ a' p! N
  [; l6 b+ S2 ^( X+ ~: ]! p( h内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码

! M5 N' W1 W  [% ?+ b! `9 \  R9 K
: d2 g* c4 f& c' o通过登录A管理员公司邮箱发邮件下手。
+ O/ h: z) H, C) Y1 E% O
1 B) C3 I# P4 ]& l6 c4 @
5 ?9 F. a0 d& p/ I9 ~; c. o内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。

厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
& j5 G* W5 {& T-------------------------------------------------------------------------------

2 z2 V4 \! Z* Q3 D" y7 P最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
( S9 T7 t5 x+ g- L% j' E6 u; ]