渗透测试某大型集团企业内网

admin

4 W) l$ i' B9 l

1、弱口令扫描提权进服务器

0 ^. f: e1 i4 U' ]8 H; u8 }

1 f' M6 P+ h+ ?5 D+ M 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: - v% Q7 ?/ o0 F* Z# \. R1 m* @/ j, Y4 F

---

5 E. {% N' `+ L3 r7 a7 f1 M$ P

0 G- o4 H/ k5 A3 z& U w1 \ 6 ^! L$ Z0 r6 b9 [3 y/ c* |

6 L3 w5 T: h: ^1 p" J- ~4 E, A. p

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

执行一下命令看看

2 f d3 C5 U# `' N

: T J- O5 G$ }$ r6 N & s* R1 B" [, m5 l

1 W# R$ J# p. i6 Y

---

: r& X( {& |! M

3 ~" t& Q! t9 U8 o. l2 r 开了3389 ，直接加账号进去 ) Q$ V/ d4 ?6 B7 W

---

" L) x& }% G5 B' n: b! C T

4 W3 \3 h6 Y! k

7 r W" `- b. [ 6 N' g1 i- I3 p+ _8 i" j$ o

* u" n# R# Q s

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

+ d0 \! O$ C/ O6 I. x j- w/ h

---

8 [4 @" b* s0 y S$ U8 e% Z

x+ c# s) u& U2 V3 A/ b( P2 A) R ( |! Y9 g, U: W$ e: Y" ^$ U! k

直接加个后门， & X8 m+ i3 X& _ o

% l3 \2 ~3 h& v P' h

8 R- j* s% B8 l! b; k( q" }

7 K" i5 H7 |% v* S( C

---

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

; C6 y0 z* c8 W5 F

/ |& n3 b6 _& q9 u! M7 V, @ 2 、域环境下渗透搞定域内全部机器

6 n( m8 }; R4 y# U, p

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

# J9 G$ d6 }% M7 `$ b' a& ]4 k , ~5 y9 w0 K1 r6 x+ l8 g4 z. u, [

---

1 }$ }( c8 ^' v% i$ s ! N$ c. {7 g3 p6 z' b: {/ q6 f

; f1 r3 U! S- G" \% E/ ] Q 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 * {& u) D3 m" U o, M

. D0 D0 H* o. c) L* u

# h6 F, T; C5 @* x& q* j! j. L $ M! f, L1 E, ]' t- s

---

' c, o9 j' |1 T: B! D$ Y 8 n: z- Z* E+ x; Z6 i

/ Y9 l5 O R5 p2 d$ [ 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

" Z. D& f, N$ H, ?% u" H + n1 a8 w h! R0 @. X# s$ z

---

0 [9 s* t; C* x # n' y* H4 j$ a+ J$ V0 g: L7 ~

# v( o3 P0 K) c, }6 |6 n9 R

/ @ o# z9 x: ~, ]7 @4 L2 j! a4 n 1 K+ V+ r6 J' r6 L( G$ a1 H" o

利用cluster 这个用户我们远程登录一下域服务器如图： / _" M$ O- ~( Y4 o6 \) A8 V

- f7 e' X' c, Y. b( L

" j2 L) o: O% Q$ ]9 `5 d9 {% ]' a

---

7 F a9 g' ?& L ! [" Q W& L6 b! E& r

/ v, n5 Y F9 a- U# P8 `

* J) \! M; C/ _* r- ^: ^

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

7 U, K; P7 j) x/ E; m; z C* j7 Z

---

7 [% k3 r: _) P! t1 D

4 E6 X* V+ v- Q. X7 m0 P+ `

' u6 L6 k* l* d7 e , z; v% @6 E6 C$ B0 J; g) \

2 V' N# U! b7 L" ?

0 A* \9 m& N' v 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

6 O# |: K" R: e1 @8 X

# w/ C/ y4 x" U7 b5 ^7 t- u, g# S 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

; t3 \1 r: ^6 W6 _8 Y

/ J6 o' h. G/ O( W blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： * V3 h* ^7 @9 D6 R

& a% k* i% p, n0 _3 o5 f H! I( f 7 D! f& W& j( w. ?

---

. L& B( j& B* ` $ E$ U4 X1 U) F% n8 T: L. m" e

* S* o# T `/ d$ X$ K

; n( s7 ?+ l! u+ ?% {

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

/ Z, R) b7 P0 D* c% i6 ]% u" q

---

+ ]( W2 i4 H, y. u

, ~" I/ K6 w7 r" |& ^0 | L! E8 W

% w) Y( l3 p; V 8 z: Z/ _; O' Z5 q1 ~! {

利用ms08067 成功溢出服务器，成功登录服务器

: a7 s9 B* @% e, M! y

---

; o! Y3 _, P+ C! \! P1 [ . @8 Y3 S! U( X

& h2 j, p" [; v& C# p

7 z- A5 w$ m6 X2 m9 `

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen - ]+ r0 m8 r) C' N: E

1 V7 ^, e5 ^5 \$ v

# S+ ]7 t9 V8 T+ h- | 这样两个域我们就全部拿下了。 : \4 V% ]2 Z7 T) Z# D; F/ E

3 、通过oa 系统入侵进服务器

1 _5 K! x# j8 X; O

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

- g0 Q! O$ E; l

$ e3 ]1 n# a/ Q9 ?7 V: m8 c

---

% x: |$ H7 h2 H) ^) ~ ' L/ Y; o* h4 ^7 f% u1 K

1 k$ i( G# F; V

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

& V( c" H; ~2 E1 ]3 C

! A/ \$ P( Q% U$ a3 j* ]. {

---

0 i4 f7 q! k3 Q 6 @8 t% e4 K9 s" Z

2 Y' i0 s$ g: I7 ?! L/ e ( M9 e/ _9 k5 P0 d7 k$ {( @6 ^/ R

) I1 z! d( z* Q/ z$ P 填写错误标记开扫结果如下 ( X; x& |9 N1 d& Y- ~

" }2 I" q) L- l! {

---

7 L$ z' j1 {" e+ A

/ W# D# ]0 M n0 k* `& e8 j

下面我们进OA 7 @2 M2 l, C, b7 A9 K2 b' z

# `8 I) ]) H M7 l

6 q9 p1 p n: U3 r- f$ [

---

# j) [8 S. v# l/ G- w1 z2 s" t $ d) l) a; f0 S) |6 n' H

3 D5 ]9 ^5 ~+ |3 Q

2 W, ~ s& |" K R6 M; \ N

5 o& I' f0 Y# ? 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

" ?6 N2 @7 W& N# t% j5 z% h

---

) o& O3 V4 ?9 D4 k6 x% V- ]% V# Q4 D5 K ! x3 h7 l9 _4 _4 `

" E m- E1 E6 ~

# {1 K& _/ e6 A4 A! n( p( D

- h* ~7 X2 Z- w& h

4 G6 N% ?1 `: m% R 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 ; Z" Z/ }1 b/ n B b

' k! z4 D: M+ N R6 b }2 ~6 r( H

s9 I0 U% y$ w( ^& n$ U 4 、利用tomcat 提权进服务器 2 w# f/ l/ F4 w, ?

. }8 |: F1 r, o2 m$ Y% S# R- O

! V+ Q* r% j9 I4 b) { 用nessus 扫描目标ip 发现如图

& X* l6 r' I" R! q5 \

. K$ d/ Q- g. E# p9 q

---

5 e6 O3 E: ]/ S$ x6 M / j1 g2 A/ K, C8 o" f6 \

7 v7 B) p$ Z' n, |% {$ O

% c. T* u4 }* O- d0 ~ u. r 登录如图： 4 e* I& {, m7 K9 _

8 p0 M# {9 i1 y+ S! d0 `; y

. s0 l. s/ ]( L( W( K! `6 X

---

% Z) W$ T; ?5 g. z

|7 N1 x( E9 m) j

- r8 t6 m+ r: `1 }) X

$ o+ w( J! D h& [& W& M: y

找个上传的地方上传如图：

" S+ Q7 o% M1 Y m4 F7 [

---

6 P+ C1 L# h% H$ a+ g

6 n# o9 j* B( T8 n8 ?0 | % `- W- @0 i: L" x

( o' g4 D* ?: l" L! n8 O7 W0 W5 t

然后就是同样执行命令提权，过程不在写了 # L: k$ j: E/ G5 G. q' J7 t

% k) X5 ^5 U/ l

/ T/ F4 Z7 S9 h/ P* d 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

" i6 C2 @! t4 G% D0 A6 L. V) B

* B: \& Q8 L6 L8 h3 P! Z+ g 首先测试ARP 嗅探如图

2 j, u; g# W: o r, \/ L9 N9 X6 T

6 G+ @& ~" l* a2 ~& ?7 F

---

/ {: }* E$ m+ r2 ^ I- v

Z ?1 I6 w' i1 I+ w1 d

6 ?3 @6 E+ c' j: f

5 Q d! Z. v( h1 ? ~; p

1 f6 A9 ^- b4 } 测试结果如下图：

& y7 P6 O7 a! J' c) S

---

/ o: y/ u6 u6 S " O* o+ ?1 w- f

) z8 `0 r& o7 d8 L& b6 \. K

4 r; a9 ]+ o0 r/ k

哈哈嗅探到的东西少是因为这个域下才有几台机器

( K; K$ A/ Y7 k

下面我们测试DNS欺骗，如图： t, A: V/ h) `8 z- h

6 f' s9 p- Q8 ^0 @3 }5 n

---

; c( N; d# Q- S$ F

z( I+ [# g) ~2 X

B/ j2 K8 K; O( Q' ^ 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

$ Q6 j0 S$ _- b7 E0 O. O; W7 R& x

---

0 {" B& a/ f; b- ?0 a5 M 2 p8 i3 h- P3 M$ [9 |% u

4 c; a8 X) Y; ~6 A# G5 z7 j( d3 P

（注：欺骗这个过程由于我之前录制了教程，截图教程了） + e1 u2 v0 | B/ e/ i% X

6 、成功入侵交换机 4 w3 a$ o2 L( ?" G

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 " ~ r K2 W% X

& k! b; h5 j+ Z0 x 我们进服务器看看，插有福吧看着面熟吧 - M& D4 n4 M7 Y

---

, b8 K% D3 }& [/ R/ V5 Z1 `$ T

# C) `, L5 R- {

" ]# M( D$ C- V0 O

装了思科交换机管理系统，我们继续看，有两个 管理员 % D% x# k( o& I

, r. |) ~$ G' a) ?

---

/ Y3 c. d* [1 v; ?+ Z" N 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

. T7 ]. Z5 O# v! k

---

4 _5 q. z) b$ h9 O ! M" g) _2 A3 B, t% z. f u

7 }$ H3 d; S5 J

! j' m$ M [( J& M6 D

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

h/ v/ ?9 b9 J, w

, F2 Q' ?% h$ o* ]0 x

---

, I, B2 d U0 y# ?

& y2 l, l( E/ X* I* _$ e( r1 v

; O8 b- w* p( K! H% C

- q, ]$ y9 P. Z7 _) E+ B: x) J5 ]6 | 点config ，必须写好对应的communuity string 值，如图： + a7 M; t+ D1 u* K

7 D* ~: n$ o4 R& ]& V' @3 N" v9 C/ l! ? / i y; c3 [: h I& u7 _

---

; N# o9 @5 D6 K! ?. g! n) t

3 x; ?, O. X2 P) }8 q8 N

% j: Q# _3 ]3 |, S1 S

远程登录看看，如图： % [# j# U4 N6 Y5 s" D& a

4 U$ M: c! z/ g; Z/ x- g

+ O& Y/ x) {) Q; M; N! d$ r

---

; L3 l6 G7 O8 c/ e 7 p+ B# N$ S3 v6 `# m' X

5 a" b! _* R) b4 g# p" h- | 2 K1 _3 N, S, j

1 A+ a7 w: h, P; b# M t

' r& L: S& m3 B! l 直接进入特权模式，以此类推搞了将近70 台交换机如图： . {( r7 t+ i+ w) s; ], }: m7 A

; C7 v/ j I7 n" V7 h( p+ d! n

---

+ Y: [. y' @# Z* B+ \. B4 K 5 z) F2 b- n" n5 U! `, U+ d

/ D& O8 f" [# `) c. o3 s6 m8 Z 7 e5 r/ \ @+ T; Y

5 ?0 I0 ]6 f. x- F/ x$ r

+ h, j1 l: W2 a, P

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

! f& Q) E; D/ Q" O9 w4 T

---

) m1 W3 b2 y0 ]+ ^, ?( A

0 L. Z& e+ Q! g' t& w" I 确实可以读取配置文件的。

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

5 Y; d" s2 A6 k2 m

9 h/ _5 @, r$ h6 u* R # ^$ k, ]9 r! L2 R

---

8 P: g: Y* Y( K& C

7 z+ I4 X1 f% e: ^+ g0 l

; k* e4 v. F9 s4 R8 m' Y0 q: M

( P* E5 D+ m7 ~+ X* t0 |

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 9 G. M$ D1 j$ G8 C6 S

! @2 d& o$ w7 |; ^, Z8 M ( i0 Y" h* Y( ]/ }, `; V2 i

---

, F9 Y9 w6 y# B. B3 {' R

3 z F. F+ _9 N; c" v3 G

9 e4 m. d- S; y' G0 H1 U4 f) n, o5 F

6 p% I+ a4 k- x 上图千兆交换机管理系统。 0 E9 {/ U% R7 a/ t/ W

/ p9 c9 i9 I' g

5 n) P7 K& J4 p7 S. U 7 、入侵山石网关防火墙

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

' F' V' T5 {( g' e! q

---

' v8 V( `$ h) ^

+ C# @3 K8 P8 k; x* |' g; Y$ j

; k5 V$ T% }! h- d! ~& f V 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

# T. [4 Z8 \+ k! m& g

: l7 D- ?" v& ~

---

" z, J. N/ j8 @6 R! [: k8 _

" z8 K M9 _5 t: h, W7 {

& x5 J) E* W1 b. ^6 {1 | _) d

$ n. a+ N9 u0 p2 I5 V$ @0 t* K 然后登陆网关如图：**

9 P" G/ Z' }9 @' F2 }

2 _/ r. _6 T- I

---

; b( E3 U; r: A; b: V; U7 o/ Q

5 m U- i2 c- H' c( t+ @

3 k% b4 g% s7 |- v

---

4 ^; i: e0 C" W1 T" Z9 \! S 6 u7 R; T& g4 r# m

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 6 Y; r. e" V, w; [; |) s

1 d% F F$ B y. c( m' ^

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 ! V' c8 }- L) T1 ^( \" _

# \1 d/ y" V) V" ?; f9 X6 \( P1 Q; T

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

+ f. p6 L! ^: x" ]$ q0 S! M

- u J% \. k. W+ v0 S5 [

---

_3 d2 z# J2 E3 Z) j: X

: [2 M( i1 ~! _

# D- g3 j# Z) d( E

' B; V1 v" d k; o* Y. n2 X

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 & O4 L1 ?& f0 f9 y- e H0 n; Y

  4 i9 ?" ]* c# w% u x6 C

& H; |. |! T3 |8 a/ f% |

7 K) ~! K4 f8 Z/ r
' `; P4 B# T2 Z1 @$ u# b5 P

5 d4 B/ |! t8 o- V$ v