记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
* n: }8 H, [8 P8 {- M5 J0 Z' J, x

" |! C1 K5 _" \# ^3 J( g如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
5 C9 m$ S: C0 @3 j
+ L  L$ Q* c2 M) {
因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
" n4 p0 @' @8 A6 s- `( p2 c
4 g9 a2 Q! w3 r9 i- _& q------------------------------------------------------------------------------------
' k6 G0 a! M9 ^2 g
: X' U7 A! d+ i7 \; G先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
( X% J1 b$ ?$ o7 E' m0 O
  m2 B! Y) ~8 X9 q' m# X) p
- H2 s6 r# j! t( E. r' D9 q9 r2 c毫无疑问，IPAD又奖励到了。
$ O- u. W9 u  Z/ R& P/ Y0 k

于是我和社交网站的主管说：你要啥时候才给我部iPhone。
7 D) G' w9 L- G9 M1 h; P) M
4 x: v  \# q3 T1 Y' o
主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
" g2 \6 o) F( D

) D8 T, m/ M5 W7 u) I于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
7 M" y" i+ Y8 c$ F

主管回答:那就来把.打下来了给你iPhone5..

----------------------------------------------------------------------------------------------------------
1 T9 i5 Y0 x: P8 e# J+ O, AA公司的外部保密做的还行，找不到几个员工的公司邮件地址。
  e$ Z4 W* s' x! J
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.

$ `- c8 ]8 B' N/ H( w
  y) n! B& {/ W- y- f好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.

, q9 Z( _; W" K- d# y" l( d
直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
2 `5 }1 O8 P1 F$ h4 O
; B. N: v6 h( M6 [# E, \
: x* I0 o6 U6 t( `3 l) A对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
2 J  u* `) X5 e# P

) X& d- w  k2 p) }: W9 f思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。


) R1 I: U: F8 X于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。

: b3 z: I9 Q$ O3 P* H! I3 k
! ^; o' C9 K/ D8 j& Y7 T对方深信不疑。自然回去访问。
# k7 O, _+ r. t& @. Z( ]! j
/ y" U0 n6 k8 T- ^* B
好把，大概等了几秒钟，WEB那边有session是记录了。
( K5 i& T5 b8 W+ ~( Z, H9 K! H
2 ], P3 M) o5 }+ y5 Q) I
( a" T# F5 O! Q- h5 e一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。


/ b" D) J0 X9 u' \* A7 }我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
* T. e7 x4 L: j* a; A7 E

A管理员说是office2007 ，这样更加证明了我的探针是对的。

/ \) @: @& z# a* m* q; J. Q3 _& S
; q1 x4 B3 o6 @# t' U1 s& ]于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。


) A: |( C; b/ t8 u# PA管理自然就给了我，好把。 office 0day打之。
$ W4 [1 g/ ?$ \( d, \
9 E, D2 [; z8 {% X0 }
打开远控，等着上线，可是就是没上。 出问题了。


3 K+ x# Y% }1 I- b  ^  _+ kA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。


为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。

' I5 G8 Y8 V  Q& ?4 }% h
4 |; K* {* u* V3 N7 B3 @+ i同样的对方去访问了，系统应用很多被探测到了。

' T3 `3 Q+ ^$ u' J5 y' K0 t& d+ W. n
好把，出口IP也是.14.


4 }4 L/ s) e: ~2 J& k# ~5 M; e没问题了。出口IP确定了。
3 B0 [9 t  M: i! z. R

2 o" L6 F8 X3 W( S8 U2 @) P7 a! f1 Z于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。


4 _5 r) g, }5 k! R0 I* {马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。

/ c7 @2 |! ^/ ?; X9 H  x# B/ f
9 y& [: L3 K7 Z+ m8 p# N9 k4 v马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
+ H2 L1 v9 L* L) m3 |$ j
; E' C4 c  b4 `7 i
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。


7 t! F# b/ k  M/ n同时间通过密码记录，得到了内部Linux服务器的账户密码等。
' x+ s& T8 c1 g8 \' Q( f% n
" T9 t1 K, c! q
) q) b" c8 \/ K) s- ~) m! {向主管个人PC机进攻。
0 k4 Y' E, |% N4 ?( c
, a" C6 m7 Q" p+ N; p简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。

' T, u- v  \0 t
于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。


( e5 x/ Z% Y& A( [---------------------------------------------------------------------------------
$ ~5 H% g8 v( ]
7 _& G; U( C  o
- y/ w. A6 ^( K: L晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。


晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone

+ Z8 D6 ^# O3 X0 `5 U
7 j! v$ \( V5 a; t/ w6 J我觉得人还是别太贪心了好。贪心会出事。
3 O% ?. Y2 ?( h$ K

于是我坚决的把马给卸载了。


---------------------------------------------------------------------------------
# {+ n1 T! I3 N; m+ c/ x; y1 S" B对于后续攻击，我的思路如下了：


搜集内部员工的EMAIL，探针+office打之。
( G+ T" o. @! k8 i9 q& o' i3 n

内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
+ s; ?- v1 L9 G7 ?
" d2 P. X1 K$ s0 }
通过登录A管理员公司邮箱发邮件下手。

# O) C2 x- E) N( e  h3 B- f
内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
! a0 R+ n7 y; f
+ P% B! U7 `. c" k! }" R厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
-------------------------------------------------------------------------------
& S0 \' \& g2 b, B
  D" z' R3 x2 m最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。