渗透测试某大型集团企业内网

admin

h4 h+ V5 Z5 ]* G" A
4 q2 R7 J2 i" @. N% Y6 Q U. r

5 C: Z, I# T+ S, Y+ _ 1、弱口令扫描提权进服务器

! E7 y% N1 T( W3 m9 \' Z# W

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

: c% P# x) \( N

---

( I/ z W, U( j8 R: [ 4 o# R$ A) a0 r1 t! X4 s) o* J

0 ]! d7 f: L* F1 N5 _

0 u- |1 R( Z% u& {1 Z, u! p9 m0 H

4 }3 p% U/ {$ V4 V! f8 P + S9 C3 n4 _' ^6 y d

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 7 M: J( e' Q7 T& _8 q r! t

. g4 |- E R" ~2 l& O( V

执行一下命令看看 9 c% L+ ^* l- ?

, A( G4 m% K" B( F

1 P. ?% \8 p% J% z& l # h3 r3 ~: v% G) P. {$ v* M( u0 Z( W2 y# L

' e! X6 l) q! w" P1 L* D& a4 W G

---

+ m" X2 N6 x7 ?5 T0 J0 f

6 x% B8 y5 H+ q+ w- v9 }/ f 开了3389 ，直接加账号进去 ; G% w2 f8 Z, s* F

, R1 A) N2 g$ X; W' n

% r8 r4 c/ x) H* B1 u# I, X 5 s* _1 K+ F4 F# b

---

5 ~& R5 J& A. ?+ J3 \& S; R

- i2 q& g: w x. v

, V& ]# f- t7 M K; {$ G

* [' u7 c' U4 G7 v$ v6 S- t 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 @ @7 H& G2 w7 V+ f. Q

2 I' @6 f! j0 M+ z* z2 T; u( s

Y+ q3 H p$ G4 i" X& d0 F

---

: S* T" G7 @! i) `

& j$ b6 L5 s8 H# ^0 w( d3 @8 _' A# A

& m: `) A: ] l; h! g; j

- w. e2 ^8 E* O3 S; g: v 直接加个后门，

7 l% M5 R8 n! x6 i

# n" h2 L( t2 U+ T+ J

( j0 b+ ^7 H8 c# Z

---

4 B7 g/ q* E; |

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 3 R Q* H1 [4 W4 ?3 ?+ Q

2 、域环境下渗透搞定域内全部机器 & C5 z4 O [" e4 h& i% q K- `

! P) ~6 c/ X5 E, M9 ?: t4 I 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 3 z6 u7 m+ I( N S/ D7 D

$ F, R0 v; k% z1 e+ `2 ] I% o

% Q* i: l i) H6 r

---

7 @* @( _8 w3 `: W* u

9 [7 J2 ~1 B1 X" m5 N8 S

7 q; |8 l) `+ Z T- Q. y. b

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

& X8 E; ^$ \8 i0 J

+ Q6 y9 g8 h$ f: O

---

% J2 D @0 P }1 s$ {, r

; ?0 Y o1 }% K( j/ _

2 c/ q6 H" `# ?, `5 d- X 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

+ u" q. K L4 ^# v' Q5 b- E

---

$ R3 V, I5 s& v) z$ a

, |+ \9 q% g8 a! j) \

. T2 W% u8 Q; C2 g ^) Q/ H , z* F3 {( t$ |- d- z

0 I9 Y+ d/ s. N5 e4 j; f$ N 利用cluster 这个用户我们远程登录一下域服务器如图：

0 T i* ]4 @/ `/ d u( ~+ u

- |" I! n9 e8 l- B# R2 P% f1 a

---

- g4 j9 E e# A

: i" V+ M8 d' S$ e+ I- P

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

/ t. \4 U# `: f, v: {0 U" N' N

---

. ?6 j) y* [. E! e/ q- m( j3 u

7 y" _/ a8 O0 m1 w% A 8 Q; X" }! x/ L

, d* O0 T3 s3 j 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

$ H7 c% ^* r$ v 6 [# e; Z: A- q2 E

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

( j- d+ u* L. `. V& P2 n; m blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： . [0 A9 \. U' A$ }

6 L7 H9 M. l; g' K R7 u' i

---

, }( }, k% n5 |# g: A3 m

$ O5 w% F# O8 O) s

! m$ m! G" L9 I& r5 J9 c, R; T& C 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

! F9 ` Q O d7 _0 V, s

' |/ m; @) b; S% \( A4 n

---

2 K2 d1 s/ D& H2 D/ _) c, e/ g. B ~

2 {+ N7 Q8 p8 l- Q) M 利用ms08067 成功溢出服务器，成功登录服务器

. T0 P4 |% u: S" j8 O2 T% `& U4 h

1 J( u J# N9 _- ?9 I5 Z

---

1 O- e6 ]+ ]) f: O 7 C1 p+ u/ D3 V$ ^* `- L* Q0 E) O

8 H$ H' I- s1 i

. T" R' P7 z8 o+ T & A. _: ~; T( S' `# _3 W$ E

: d) o8 e' o3 E

" i. V$ P \* U5 i; T, T; b2 g" O 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen 5 d$ [8 n$ R o& b. ~

这样两个域我们就全部拿下了。 8 R' \( V8 ^, _! t1 {' f8 K

& `5 b6 ?+ M; A1 _' ? 3 、通过oa 系统入侵进服务器

. D% K9 m& P6 N( S2 O0 C6 X9 A' q3 T# p Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

+ h0 K. n$ ^3 I9 U2 E: x& Y

- e* I8 x2 y5 h4 H. ]6 N

---

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

l7 b. [0 P7 G8 j1 t) @ # ~6 K1 _4 u5 B) M3 a

---

, J5 l! r: E" Z1 M8 A7 |

- V k" }! K V% H7 I+ E9 | 填写错误标记开扫结果如下 + i" |% q- T9 s) W2 M

" l9 Q- O$ \, ^

) I% _" \! M% |1 d& [0 ^2 }

---

% ?) q1 B& g& ^2 [2 J/ e: y' R

% W1 X; S W6 n u$ l& j% Y r

) v! v7 n& N X9 N4 \' d; s

2 n9 D$ @0 ]# S, H+ d3 `

6 m* q* `4 F" l 下面我们进OA 2 k- {- W1 o$ Z$ M1 s; V

& v* {: B1 C, a) I+ x

7 n$ a) u n5 ]: Z $ r% ^: b. N, q* D2 t& I) Z: X. K

---

6 i0 F5 D1 t; l9 k

, Z( n7 C: q4 S& A8 O % S$ `9 ^2 u9 U9 |$ q

: P& X2 O* e& J. M2 `; x! f 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

) ?( V9 v, q7 i3 v/ X4 \

5 d1 M1 S/ D: a # q4 [9 @, c& {7 x" ~

---

4 l5 Z# ~+ j2 |" x ) V2 ?9 q# O0 }9 ^! ~

4 F# e* I" N7 Q' E2 D+ J

+ g! j9 m* \ e6 v: ^$ l

$ g- y, ]! ]! J# b% c) ^ 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

4 、利用tomcat 提权进服务器

& P; `2 T- X% ]. k# @2 ?4 { 用nessus 扫描目标ip 发现如图 1 J* l9 F0 c/ f) m1 h

! ?$ z7 _9 y2 O% r+ E1 H

) v6 n$ `4 {2 p( x! Q& N

---

% }) Z7 w0 Z% s4 |

4 G5 _4 i( D8 Q: o8 ~- h* A( N$ Q

v1 r$ p7 Y/ a 登录如图： ; S% S8 U) M0 W% s

+ @. h* q. M- {$ a# d

---

( V# `6 C$ J: ^5 ~1 z

; b+ `& {: W, U; ?

) s4 ~$ A8 l; u! x, d' U% t

( x! I4 z. `$ e9 I9 Q 找个上传的地方上传如图： 0 j- w8 K6 Q* D/ ]; s8 W

% ^. l p, l" S2 p3 E, t$ m

" u) D% z, b; l9 Y- l, x" N: @& S* M* \ , B6 Y; f& E8 o$ U: r

---

2 m! v5 x @0 q

- ?+ |# Y; N) S+ R/ ?, e6 r

然后就是同样执行命令提权，过程不在写了 5 F& x9 C( g4 M; S2 R+ p" d; O) v0 f+ w

# V N! V( Y q$ Q- |% b4 H/ O 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

$ C9 L- W! [- Q7 ]6 U. Q 首先测试ARP 嗅探如图

! X7 _- _6 ~ T# N

---

4 @- `: M2 a- `0 J% V1 J

l8 s; g- v, e/ G

3 Z( `& _. ~6 o# Y- K9 d/ k0 H

4 | k9 v' ]0 m A$ t 测试结果如下图： 6 d, |# L8 ?0 t: u% n4 G$ b5 _3 i" d2 T

3 {' {+ {, f4 x9 O1 I0 m. Q

4 g n. \, ~( M; b) J# Q

---

# }( j. p1 I4 t

! C; Y; \1 m8 _ r, ?

8 ^9 Z! {/ }6 Q }) `4 V

哈哈嗅探到的东西少是因为这个域下才有几台机器

0 Z9 z0 k0 h' \8 q+ \/ x) j

# j; }- T& r: W* Q% i6 b' J 下面我们测试DNS欺骗，如图：

' m% L4 `6 {6 P# L

---

% @( w, i# S2 V% E# t

# ]7 i% y4 {9 ~% V: C4 _! D( V

! m# e9 k( e( c

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： * s0 l0 O8 ]# x! w

* a# n% Z3 f" Z$ |/ V& [; K

6 ]8 l1 @; t* n6 ^

---

! Q( C F& T7 J) s. h

+ `. S2 i5 t: o( p5 \* o

* E+ |9 k5 h2 m: A

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

6 、成功入侵交换机

9 G- N }* N9 }4 a# v

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

* C% I: T' R+ W3 b% c+ v* ^

我们进服务器看看，插有福吧看着面熟吧

4 h0 T9 J/ }. I8 g# M : C. y1 p/ e1 k. H2 ^% a; L/ I6 ]

---

6 O3 z$ E' I: L7 B' g: f! | 4 ^2 H6 |8 @& U) T, e2 i3 K

& }- `2 z5 f0 }

+ P% P; l7 S7 ^/ F: }. Q. Z 装了思科交换机管理系统，我们继续看，有两个 管理员

# I* N b5 u" m8 l2 [

+ o2 j \* T/ w/ u' I4 L$ e0 z5 W

---

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 4 Z1 ~( ]8 H" M+ X0 M% Q

) r) t1 @& H& }

---

k4 q, P7 t! O$ b: A- N

0 c/ J# \; p, l

0 z# [% W) }* d7 q1 a( T

% C9 Y4 S( ^* _3 F7 [ 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

---

" A. }) r0 Y7 u6 \3 N& f; t 1 e. n8 O1 h) ~. o3 J

" U/ k" d" i: J- x( \

2 b0 T2 n1 D' G4 g X

1 q) S% V: r( c& l0 } 点config ，必须写好对应的communuity string 值，如图：

a$ \6 D. Y- [

---

$ H/ u2 B% \- z+ W% t$ q. T5 r

6 m0 s2 Q- Z& [8 S' e) P

0 x% p. G; }; Z: }. p- X6 k 远程登录看看，如图： ) S5 i2 i! ^5 a

$ c" `) l5 ]: m0 q

: |8 I! q6 P5 U' O5 p3 R& P8 s

---

) ?$ d% C( |$ l6 f/ B+ k

直接进入特权模式，以此类推搞了将近70 台交换机如图：

8 A/ L* q9 [. h3 J9 z

2 C5 k; A! r, Y9 a7 y

---

2 t7 i" e" u6 U5 j" x+ i

3 Q: T+ F5 {$ D& w+ n

7 u& z, `$ f9 z( ]; y4 \* y

1 w# D# W) q: m3 a" P8 D2 Z6 F 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** / \$ v2 W, _& w

---

, q" U, v' z; h ; @' w/ n8 L2 @& o+ w: X/ Y* r: K

7 P5 l& e/ P- r7 q

0 ~/ y* Z1 F2 W! a4 y * y' H( P% F' f# F& a8 `( c

% ?$ d2 @, j$ _9 k, Q- j. Q 确实可以读取配置文件的。

( U+ D) X' {9 J6 d

D/ M J l u- s: Y9 R# o0 R5 F 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

3 H0 @8 Q% z. H5 _1 X . R! q" z4 J4 H) G" g

---

8 e% \5 f- z' _

2 @$ q2 B/ }+ X8 Q

$ d) M# S9 \( r

4 m; P3 C! b, J& s' l6 N

" o0 D( W& k, m

0 V* I, s/ ^4 Y8 P4 w( K 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 * {% h& ^: r: P4 T7 p* m, O2 ]

. D' ]5 d7 X0 H5 ]' c

---

% _$ a8 r! C$ p$ v0 i8 j - K2 [) H6 y1 p u! H B' X

- u _5 P2 Q) V! {

4 q& H/ _) U/ y: L' R& ]' B

* P# M( G. ]2 D( ^! F9 a- \# H

# o( N/ M4 Z7 C2 O s6 L 上图千兆交换机管理系统。

% f i% J, B; P0 u

$ |# c; t4 I" @" v. k 7 、入侵山石网关防火墙 7 R, C: G9 ]7 \+ T6 W: L b

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： & |! N5 a/ O# q0 l5 Y. A) e

" w$ T9 v+ q- e+ j

# D, x, Y! u) D+ O8 h# n

---

2 P6 t7 s, }& U8 t# s6 ]2 v# S

" ?2 R6 K- b' m2 a' H

; Z* H5 A' D+ G6 I8 x" p9 f

) I* X( Z; P- J% s% A& a 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

+ H/ O ]: m6 y9 U& M

---

) ]' C. r: y5 j8 O

" w9 ]& n# E( `6 b9 W

然后登陆网关如图：** 6 n' @' K& P- }

; y5 v7 C4 r# F. P

: j3 u1 t+ L/ y2 m, z7 B- g

---

# B: e) J- \0 C7 {. S8 R% ^& r: Q

0 z; {9 K# a, C! k. l* @

% s+ H$ b4 c$ K# \" X& i" M0 R$ T, W

---

1 B( J3 L% b+ Z7 T& Q+ U% q/ F

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** ! |/ z3 W% l) u! l

- P( s: V& Q4 L* P, {

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

! H# q. a, f- ~/ k

, }$ a) \3 \2 P 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

---

( u8 d: |( r8 ~$ T2 s `

2 F8 f. i1 _2 x' E' O3 B/ p

5 Y; q0 l' a" ~2 f

- l$ p6 x+ V# c 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

  3 q, f* P" f* j3 p! x/ i

, \) t7 v4 S+ [6 q8 x. z' ?! z2 q

5 A2 y0 W% f4 P0 p( x. ^
/ |+ p( J, B2 i' k h: N