渗透测试某大型集团企业内网

admin

! i+ x4 m) y0 _! m

8 ^5 L9 a8 h4 j5 V7 x

, L0 O9 I+ w- W$ M& F+ C' T3 W 1、弱口令扫描提权进服务器 : L- }7 G; J4 o }8 Q8 r4 F

4 `2 C5 W- p4 x9 T& ]6 K

& q9 e2 N5 W( ^; @ 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

1 d4 T+ b* _6 K) `& o8 v1 f* U4 ^0 K : @% x5 T, l3 ~+ O' ?4 w# w

---

; ~1 x, v% j: n k& ^ M3 W" w$ C: I 0 X2 c P {1 a8 l

+ W% n) L) T3 [6 g

1 b, e* [2 m5 l- z! P* D

0 ]! n1 _3 n i# j( A

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 1 F8 y6 M# u& S" N' z

% g- B* ?. a" ?) U# f

9 C* v Y) M$ Z3 u b, U) a 执行一下命令看看

4 Z' u/ D3 |% l$ W. E1 r 0 B9 l- W% o8 ^- \

---

% `( K" o, V8 W8 b 8 k8 h2 p; c' `! v( t

开了3389 ，直接加账号进去 % }& V$ ]1 x7 ?8 Z; [; b# c3 G

; k8 I+ C: b# S+ T, a2 D" v- X 7 S6 h: n) Q3 x( x* k

---

7 j8 B- ?4 q/ T3 j

2 l1 D; h5 ^7 [& E. T3 t, M2 m9 [

' s) A0 B7 k. {7 m 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

% x Z5 ^ a# g/ h5 k, \

% k+ E) q# v' W. l f9 E

---

. p% M M9 r9 N# d* w4 t4 e

" g6 N/ c {1 `4 L8 O/ _: @# T 直接加个后门， 8 c: r9 h7 M" }! K; K

* W+ N: V; C; O; O/ b) u

1 W4 V0 Y/ l3 M1 U' m, p

; G9 s F5 R8 L8 U5 g& V

---

: T5 V8 B2 E0 X( n4 F* ^

, A. h9 Y2 {! \) f: p

S2 s- l' F1 W3 ~! y; M& I0 c6 b 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 4 v- u) x* \5 P7 g( l

* J& [7 }$ U4 ~% \

9 U L7 d% c2 n5 z6 i1 P 2 、域环境下渗透搞定域内全部机器 9 ~5 O- Q& z" ~. |6 W9 L

5 q) G" Y6 f/ C" Q# r% R( } 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

1 D l1 H2 j3 T! [

---

; s* }. ?4 D- Y z6 d 3 I5 B, k- L. o

+ f& Q9 i# q L# b/ ^

$ [; _0 t9 l) T8 _# h! g 8 t, {" ^, ~* |& [: v

; y2 ?6 ?4 Q0 t( ^: \- B1 a

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

---

) h' D: }- [2 [% R# m8 I' e) A+ u

( ], h7 P W) j5 E' R

$ e3 h& ?3 S0 P, H$ f; {. p

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

v6 A; n5 C! ~+ r- h2 m 1 w; {" n, B" r9 U( G1 l6 H

---

* b. o6 V1 t$ S3 t) N0 D% I9 }

3 k% U+ N5 `, w$ w! p" \

: u4 X$ k; g @ 利用cluster 这个用户我们远程登录一下域服务器如图：

4 P$ A2 I+ d* Y6 K1 D9 s L

---

: ~! ~' F% y/ S: ]3 e: F: X

% V; ^; C+ x0 P3 @% M7 b

) B. k5 W* x, _8 B; H/ H8 E$ `' k+ z , l5 ]: O. H6 `' V0 L1 O c

! m$ Q# S/ b" ]; z5 ?

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： ' r- x6 O2 p ?) g8 K% Y0 O6 U

1 O8 t4 C9 G& I. G- l8 y

% {7 R. B: t7 J+ W3 V% g2 B, ^+ @ ) V0 j5 z# X8 j; X$ N0 C

---

, [8 f8 e2 l2 L8 Q& m

8 k! W! X% c% B9 l

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

; F& R; p5 X: |

& i3 T& ?9 A+ l! Q% s" S: F% w ! T4 x- O1 E8 W/ N

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

1 [6 a8 x$ b' t6 d3 t

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

---

7 `& Q, Y* @/ @

' n i0 Y+ g. V2 T) j

+ j& z* X9 N$ i3 [; c" C ! {4 A* l' k( \& w, K* f9 @

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 * U, z% Q& `$ u

- T2 P0 H E# X# a( ^+ e4 {" E

2 ?& X) d0 O" u% n2 O! u

---

2 v" {! Q( y, f' M2 t$ b |+ z. H; E5 X5 F# E, {8 Q; x

' D) w( M$ w2 R* ?2 Y& @

/ M, t" ^- Q* ^/ L

利用ms08067 成功溢出服务器，成功登录服务器

( x3 |& Q# s$ Q2 \8 b- b

) Q4 p/ q2 X |$ h: R

---

* I- K1 G6 Y* h U 6 H$ L' M6 r" X( E( D

0 i! ?" M7 q5 ?: T- Z- P

t7 t5 o* N6 g H

* y) g1 L+ a* _, g 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

这样两个域我们就全部拿下了。

! U6 G& f7 \8 w, a

" e; z' F+ h6 C* t& \% W 3 、通过oa 系统入侵进服务器

% K5 w# A/ S: p9 ]4 M, ]; Y% Z Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 8 e# y4 {/ t! R5 b. o7 p. B

6 y) w% K o+ A

---

9 ?, Q+ l3 F/ g2 h; U3 T

1 H0 }3 k$ s* e# a( }' y

! {- \9 D* w9 {+ X8 C- d* I 2 z5 _& K: {3 _

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 * k7 k' u/ K: _$ X7 I9 ?

% {: g! i6 t$ Y+ }3 L) y! B g7 K 0 a$ X ~) h- s

---

: t1 q( Q7 J5 A! O8 b: S

" `: z i5 I; J" }4 y- w

3 Z4 u% v F, y" L5 ? 填写错误标记开扫结果如下 - m/ L n# L& e9 g* x

! |: _3 f6 t/ ?8 |. T) {* Y * c% I) p% j/ P7 b

---

7 K% g# T: N% c

' A0 g9 k8 ?% a: u; x; ]/ c0 @8 A

下面我们进OA 9 n. |9 Q$ R3 r( w t" ]

' H4 Y) `0 x6 ~9 B- V# K2 N: }

---

8 J% L: |, V- S5 P/ v- v) j

我们想办法拿webshell ，在一处上传地方上传jsp 马如图

5 y8 T# L- O0 o5 D8 o

---

# x! j* m- b3 w {( A- D9 v) d/ o + c2 w' [+ r N/ W3 Z0 r$ {) p

# q' }6 f- u W" o- \5 ~5 o

6 l: _$ e7 V% [: c5 x8 m: M

7 C( p: A5 z: ^

$ M; M6 l4 s) @3 d1 \4 w9 R" m

3 v0 |5 R$ H, \* R G% \3 K( u- h& E9 R) q 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 7 C8 U C8 |- H% `0 z. R

4 、利用tomcat 提权进服务器

) R3 K5 k$ n2 f3 _( P. ]

) Z8 V$ c |+ f) N 用nessus 扫描目标ip 发现如图

7 Q# q) M. C0 j3 M9 Q

---

! r% S7 ]$ ]8 t+ |4 U+ d: P0 t

# A) i2 Y/ U0 a+ @4 ]/ m, e( C' c

, ^: M. O/ d& j9 B0 P

2 l, X3 k% i' O9 X2 ?0 N 登录如图： . R& P; f8 p- \% ^/ _# `+ j

; Y$ q5 _" |9 }' Z8 }* f

---

1 }+ J1 W3 P P# f( g

0 Q& i* Z: i) @0 ~/ {- U4 y$ H

6 O1 h2 _6 @ |0 n" }

" S% L1 C v$ W1 h' _8 V; C. \ 找个上传的地方上传如图：

' \- V* N+ f. O6 k) y* `- [% ]

- {; Y2 B. l, R

---

U4 ?" ?9 a, b- a ' `" b3 G2 q) m6 T9 l8 G) k

Z, @9 N2 x q% ]7 v6 h

' U, Q% A" ?9 P) W3 c5 V- ~

然后就是同样执行命令提权，过程不在写了 " S0 M R! _; E f

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

首先测试ARP 嗅探如图 ) _% k% K, A+ @1 D+ `

; J# N; O3 z1 j& [5 u( O

5 `" |. ^9 C3 `

---

* P( k3 @; K; z7 ^8 `

% ^# S# y. W7 k6 Z

# z2 o: J A2 g: R2 ?4 a! H0 h

5 N. g) a4 w+ m) \8 r0 J" G6 T 测试结果如下图： 6 i+ \0 q5 w( k* W+ z/ `

3 f. C9 k, _( t) A& F' m: C

9 a, z" Q+ x# l3 q" l0 _3 [0 N - u3 {% h1 X5 @6 L, d4 N- s5 i

---

9 b8 j( q+ |! i. X' R

" i O, f2 y: C' V+ ?+ t Q d4 X" g' W& N

+ u* @9 S" W3 P# I5 n* m

3 j9 i1 o" }& E% p6 X a. [ 哈哈嗅探到的东西少是因为这个域下才有几台机器 + f8 H8 W. n- }* ^+ \( g2 a P4 b

) C+ ~/ C4 g+ _* n+ N 下面我们测试DNS欺骗，如图：

" J I# P, _4 g' F1 C$ }2 B( E

4 {, P2 L' R) ~0 ^" t! w k$ C6 c7 b

---

* Q+ l& ? {4 F 4 @( O A5 M7 D- `

5 ~0 v. f! @- d1 K" ] * U+ V2 j; a X8 [4 \

D6 J/ {/ Z% A

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： ^6 v. Z; I X7 |+ U0 k! h0 k

' g" W v; d [# @- W: t' i+ O

% ] q: O$ y5 K) P7 ^

---

, @( W) j0 ~9 W; T1 E& |

8 ?# \4 L& L8 W7 u6 I

5 T+ U$ Q! B. d' k （注：欺骗这个过程由于我之前录制了教程，截图教程了） # p0 |0 |0 h, R6 b( s

" M- v3 V; E" L8 i1 S

7 y# l/ Z3 ?6 N' Z1 I 6 、成功入侵交换机 ( f: ^. ^8 y6 J9 n4 }

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 ; B4 D' G0 L5 H

+ I. a+ E/ w/ J+ p; Y& S( M 我们进服务器看看，插有福吧看着面熟吧

3 O" M b+ c) ~. \ . e4 |$ l% Q6 v8 X

---

$ p$ b1 V0 C4 o) w- X+ W

# A* d8 d) D2 ?) ~

h% G+ h5 p, o1 w9 D* P

装了思科交换机管理系统，我们继续看，有两个 管理员 # T# Z: T! J, E) S* _( s

9 V. F* ~( L1 p0 U , |5 I: b2 f# W5 v' e

---

; D6 Z. d, i7 E/ ^% H7 S0 I 3 `4 ?! F. W" |: A- U; w9 F

3 `8 x+ }* A, A8 w+ o( B) P

- A5 g$ C% T: ?4 v2 | 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

9 v8 m! N( y+ X/ W$ h2 U+ j

! Y* N6 @" d# E* E

---

( h/ z% I' a4 ]9 v2 s

( P. k: N8 `6 w3 T8 z

2 Z" q) @# H0 X/ Q% [ ' J; f, U+ _9 q, H3 x) d6 m

+ S9 n2 e1 \% M- u$ h- I& S) z

1 I/ t" ]. i$ {2 l c8 d 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

. `0 ^4 p( Z. I8 O: I

) e& V# Z/ s* O6 w6 q1 r/ L 7 m4 k4 \- ~6 u: `

---

- ?7 o" a5 c$ k9 _

+ I1 A* P: o& c3 }- f1 Z

' r5 D+ R3 D' Y9 m5 v 点config ，必须写好对应的communuity string 值，如图：

/ v$ I+ |8 N. V& Q& k; i4 W. G3 O ) S3 p7 o8 s. e+ G% I

---

" h, q! d& Y5 C" D. G

( H0 Q4 y8 J$ I K1 v

7 N" U8 @) b2 v7 `7 I. m- U) o

4 Y) D4 U4 ~. T. b" R7 L. `

+ l4 n0 p. q- I- T* r7 P7 Q 远程登录看看，如图： 9 E0 c, b8 {& |4 ?; |- H

" R4 C! {7 q; {' ?! x2 ]9 f5 R 9 R% @) J! G4 s" O$ y

---

6 Y, J( L8 D" v6 H

; p5 U% q( H6 y" A* @

3 c: x- U! c! U6 n 直接进入特权模式，以此类推搞了将近70 台交换机如图：

6 ]# B# ]$ y) t$ ]& b

' V0 @$ S$ x4 T 0 ~ r" @( f2 x, h3 H

---

3 f9 o. a1 G) @8 u5 f: l

% L+ N3 d6 y4 {' ?6 P; ?0 k% y

# w$ Q, D6 g% p |. j; V

. ~6 R p- l! S: I0 i3 j% c6 ?

, {, n* a- K r 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

* z7 j' i A4 G% s; o( R6 |

---

. h7 v. p# C0 ^& S- C- e

6 _$ b( o- \ a

确实可以读取配置文件的。

8 l& r$ W* U- M! M6 i q 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 6 u9 C9 z' o0 Z5 `5 T

0 P, i1 M% c1 n, Y8 s. {

( @ J0 Y/ t4 v3 ? % H5 D3 [* c( v! _9 y

---

5 n( @) u0 l- I- _ : V2 p3 g! ~. k4 A7 k. `

( W; r! |1 K$ L9 h) Q. I# n9 F* W2 l& u

, N* e: c' V4 c# \

4 P; v! Z b: W; W4 i+ _' K# O

, h1 }' G4 M6 [( G+ t* L0 l

5 I9 C2 S/ q3 H) y F. A4 H% ^# V+ W8 A0 h 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 1 [. T; c6 F$ t% {

0 C0 {/ ?) ~! \9 M4 J I

. j# }& i& W: W" p) n- i. l

---

( K! a+ m/ ]/ A1 a

2 y, h4 V0 |. ^- Q1 O% e% j7 X" ^

+ m* i% {7 d( z9 e8 ]

上图千兆交换机管理系统。

8 V/ W& o4 x w7 u; O3 ?$ T

/ H" `: V; j1 |- I/ N 7 、入侵山石网关防火墙 - V: y3 O! u; _9 D1 W

+ N3 |/ i' _1 ?) m9 a 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： * C P, j6 M) \, f2 R/ a# O6 @

0 w0 m' l d) b" G' n' d

7 w' |, b2 f3 j- v- L, z4 G

---

. P0 V) Z/ Q! M

6 D2 c, x0 \- H. T2 O+ L: O0 ~& ~

% I+ d8 g+ Y/ r' u0 \) N$ }

4 V) R; |; U, _3 @ 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 2 @# Y# a' g1 e4 z' d* R

5 v5 H% I7 V" q8 ~

3 d+ \3 F* w' N9 a8 M5 y' h , K( m" ~9 Y) Z+ o2 a N

---

2 L( q0 `* l% `) O; C& M- }

2 p; D7 J: L+ d9 \' k

6 X( K3 J0 A& r& J% I9 U1 |9 `' h

0 `7 U+ r: l0 @6 y2 A# I& w3 t

" }) D5 g5 u0 P+ _7 Q) z 然后登陆网关如图：**

6 _+ u) E" n+ I5 h1 u+ o

# o; g+ }5 s1 D9 z

---

& B4 R% w8 p C+ r. O

! y& D$ ^9 B2 f( V: A' E. s

* Q+ D, p" b+ I$ J* A

' v1 g% H, \$ ?: b- {4 J( T! E1 ]

---

3 k" O( e; V# Y$ O5 {

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

; [& B+ `" @1 ^% Q" F: N

4 A+ O: O* \* b" p& \8 H9 Q 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

7 ?0 I6 Y" f/ Y& L2 y; H

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

$ @4 h+ U/ A) N; S# Z) z# `% L3 R

---

. v9 h" V6 H$ U; x 5 m* B5 @3 W, Y

6 Y m/ o3 N2 o* Y& g 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

! l3 b* B% U: e) W- j5 }& L

  7 G/ {6 H6 N7 s" b, s# ?& g. c

9 E% P+ R) ~' X

' ~ {; A+ g2 ^% p; l * z4 X2 r, [5 z& S7 f