记一次某医院渗透（近源）

admin

8 P, n g) @. x+ b3 @: S 声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

! V+ h/ j/ |) v6 s& J& ~- k& |9 N 众亦信安，中意你啊！

ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> , p# R- s9 ~# f$ n

. U$ B! `6 T N+ E# }2 n; G' d3 y

0 V( T( t0 Y0 t) @! {; y ingFang SC,serif;">

. f- L; h+ v7 ^3 o; a

" l7 S6 _( Z2 p7 Z7 T* {$ e 众亦信安 5 \( t1 _5 F- k2 H/ a R# t

, w( Q p4 g3 t* j8 d( }6 u, Z

4 P4 s5 a3 z1 o! [ 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;">

ingFang SC,serif;">26篇原创内容ingFang SC,serif;">

2 g* |8 Y: O- d- K- k: Y

公众号ingFang SC,serif;">

% ^4 j( J, U7 r4 D0 H! D

点不了吃亏，点不了上当，设置星标，方能无恙！ - G' B. g) U, v: }/ N9 E; F* n

ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">  , J/ B o, L$ m/ H* T

' ?4 A" }- j6 L. |2 D0 j+ J8 S: } 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。

3 h- T3 Z7 q; b' r5 G6 i

2 ]5 c7 Q0 G, ^* S; k; p   5 c. }4 `/ k$ `" k& v

: q- `) D. V' A6 k# P. Z$ o4 t

+ P9 L u: o! i

0 q, a% W: K+ X 无线or有线 ' e, F* y! D4 X A8 Y

" K8 v; g7 A) [5 ^0 V

8 \% l! A/ j7 i+ S. _9 h2 _

大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 $ E9 C' V7 ]! O/ v* L

3 ?; C# ]$ G7 O, n

一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 " T& o r2 w0 x

6 ~- y6 z; N9 c

; H. Q- J# \! ~* _& G* `" E

9 `2 c( I6 Y$ K3 O3 t; z

9 Z; l- V! p5 P5 T1 f( a8 i( m! U

这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 ( ^& Z* i, D! Z: N7 O! [# g

) D2 ?) b# W ?0 z" Z

; e- b8 q: {$ d2 n( g) n

# b) X9 s8 B$ e/ G' c1 S8 o' d% Z

很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） % ]5 Z% h( L: Y

) F/ F. m+ ]& A2 U. z. z* z

# s% C! a2 b8 R# w 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 4 G& Z3 }9 m( J

& d+ V7 Y$ C$ ?

这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。

) D" ?+ b3 C$ E9 r p% j8 ~# N 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 * c- \& @* ~4 O" ^

5 @8 L$ O* [) o G7 ], x

9 ?, m% A4 k; Y 内网渗透 2 M4 H; }1 M, p* w# _

/ G. a# D: N5 B7 ~: J3 x

: H& a& n3 j2 H4 Z# e9 d9 h9 @; g

win下搭建cs和linux类似。

teamserver.bat + ip + 密码

0 |$ v) P7 C4 C3 T# B. N

3 Q% T5 q$ ^( J) p5 K' ^; H2 k6 n

fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） * ~! X2 q6 F& p# K

( |& w) H# G0 x) T' w ( Z- M2 I M! ~8 S" C& B+ V

4 T& [8 n/ N5 d* B d U9 Z5 Q

" N1 K! Q8 G! R" m 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
}# D. I# D4 M2 \5 q7 I$ w
: x! j5 {+ _/ H# _/ J" O9 r/ k- ]

4 ?. S+ ?# U1 p: r: w 5 U2 Z6 q4 O1 J5 l/ J

fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 : e6 Q. F, X9 `# a: ~, M+ k* k& b

PACS系统

2 S- ?( F9 B, c6 S' ]4 P3 d9 W; W ' W' e0 W$ ]$ ^, u1 N0 V

# ?+ O; Q& o! V" a, h
% l: _7 l8 k7 t' v; E 5 ~6 s" t" G+ E! S4 N

5 f1 ^8 V+ D/ l2 F5 I$ {6 _ HIS系统

  6 Y+ k- ?* V0 S' l$ H2 b

( U5 A2 l/ \' o; M, u# B! }

5 L }, G: d7 a, o$ T. N

还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 ' ?# ~& z9 V+ Z% T, u& b

# ~6 r1 Y0 _9 E. [4 A

9 E* ^! ~( f7 w2 A6 F1 Z7 F2 p( @0 n

- R9 y$ l# V+ k n 后话

+ L1 K6 U A* d' Q0 I- z, ? 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。

3 t6 s" Q$ g! I0 |7 J+ u1 S' D. t M

---

3 b e4 I0 i3 @9 d 6 F }, S4 z5 T

: n0 p \# r, E) B. q N ( Z/ X$ G, Q3 b, i/ X

点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。

8 k" R+ Q$ Y' k4 x, |4 k  

( t# ], s7 t, n: c0 ~