A- b$ d, A, j; B - Z6 }& T0 M7 H# B% d% Q' d
. F) j8 {7 h5 t. e2 n 9 ?/ h% Y7 S! t4 j4 q& X
1 、弱口令扫描提权进服务器 & X" P @2 @7 d5 W g
3 _2 @; L' b( X% t- W' u
* L1 u3 j: j3 a& v; F4 @
首先 ipconfig 自己的 ip 为 10.10.12.** ，得知要扫描的网段为 10.10.0.1-10.10.19.555 ，楼层总共为 19 层，所以为 19 ，扫描结果如下 : ! F2 S. ~; q% G& i: ]0 w
/ m' u4 ?/ K8 r( h b) n3 P
3 Y3 k7 R8 O3 |3 A# G
; z% b5 U4 G! F9 X6 F. ~
/ D8 n4 O# f! t1 J5 ~! C& G4 T; O" x
: G. v2 r# w" x% K5 t
4 R" V( T" M' k7 L, Z5 a7 Q
+ _+ }/ ~* D7 k- n( Z " z) f9 \. j' _ n
/ o% R$ I+ ?, A# a0 u! A: V7 F" p
- H/ D: Z3 V& v 8 e( Q/ [' B s/ W5 L
% E6 T( j! y/ v$ W+ M" ~. {7 ]) ?+ E- z 8 M: y: u t) i1 T: {3 A: V8 r: g
ipc 弱口令的就不截登录图了，我们看 mssql 弱口令，先看 10.10.9.1 ， sa 密码为空我们执行 + M4 }$ u, Z% e& E+ x% q
" V& d# a9 \1 O; W! L: T, h ) m5 Z2 C9 R. g! K) Q
执行一下命令看看 9 I5 j% @2 s, r+ F% @7 N! k( g
, D6 ~; g. v7 O0 Y3 l5 y : U" s) ~1 r% `, Q
( U# N9 Y' w. H/ q% `1 s4 z
: B6 k, s# F# T S y% k( O1 U( D5 e
* L' y( _: v, }
6 P6 ?$ O/ V! ]* r0 P& `
1 H% y/ ~8 y% p- M, R' W
% m! S0 c6 H1 e& t. w0 ^ 7 Y$ h, ?* b- p/ s
开了 3389 ，直接加账号进去 ) r. n$ ~% B/ b/ j* j
. Y: S" ]3 L- o3 Q, g" f6 s; x% i
$ q& K9 C7 k7 @4 J ^6 H
0 o8 @. C" r$ P; r& c
1 p: l: w# i" P! }% T G2 a
( e3 x6 i: H3 W$ b3 _ d
* e, j2 V9 a T& i
5 _& o1 k( Q. X( H- L; w , } [' {2 E% W; R: ~, Y
" [+ z' r( d$ z$ w- e* _ ! D5 r9 R9 l; }8 h0 Z1 r
一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 0 [, d1 N7 N/ I& `0 Z
3 s" k; _4 S% C4 k g& P3 w
- D( ?' R1 m1 Y5 q/ k. C / H* C9 [* G) b9 x9 K1 w) r2 L
A" w& L3 j; i5 r; t. m% s7 g6 f. Y* h % p; u' Z! a' ~# p1 m
( {1 G9 j. U4 Q$ ? 3 H/ f6 x ^ @$ h
8 U# Y/ e% O0 i' E! Y% }
- g5 A) I5 e: A) d
5 }# Z& D) G) E0 ?5 U( n 直接加个后门， : K- K' H6 f3 S* m( j% s: M
( W# ]2 a9 Q( C0 @1 w d ( B, S, J. r! ^+ p' Y/ g
3 C$ R( A8 B" O# t
6 ^/ N' d+ |1 C9 w1 F / e( A: f9 z% u
- J* \6 F/ o8 _# w' W
1 ^4 w: f' c+ h) i H9 D$ G7 x - d, n: H" n% c+ R4 J& l
/ \( V* s0 E* }; f
+ @: L, n+ t( n0 c 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 $ \' i& U* p* K' n* a
9 p; h! V V1 M1 W! i" H0 q
! Z2 ^ ~; ^4 W2 a+ k* D5 M2 e 2 、域环境下渗透 搞定域内全部机器 . U& w$ x' g( D* _3 _- o; d2 j
5 r/ B0 M* ?; q- [' L/ Y; t
" d3 i, n! C& A$ ~$ q. _ 经测试 10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行 ipconfig /all 得知 * x- |. F1 x1 E$ u1 p. O- J
; \' i, k; e# B/ M9 |. ]
9 `) N8 A& ]2 o% B2 C " N, E g! D7 O& r3 `8 H$ {6 F9 i r* r
M$ A4 A5 i4 U- I/ D- p a- E$ J - S! w9 Z: _9 u4 Y
+ P4 A$ O3 p( m! E0 A
3 N. Y3 f7 T- g/ T, Z" v
; b- M0 i: h R/ q M: v5 g& Z3 M
1 X3 n2 j, r2 ` . x# h( v0 w# g8 W0 o
当前域为 fsll.com ， ping 一下 fsll.com 得知域服务器 iP 为 10.10.1.36 ，执行命令 net user /domain 如图 ; q7 t; N/ v! }/ a4 n" N: K
% O0 H6 S% G9 q9 u6 k+ M9 \
0 S6 f( [, z& Q/ I
* G" V* H. G8 X) ^" d9 ~ 1 _, l& b" G2 l6 r1 y& ~& k
8 n, N9 z G `) p# K" X7 ~3 }
% j A- K5 U# M* ^/ Q" l
2 K c8 g/ j9 P4 I) z4 G. e % E+ R0 V5 N4 f* `9 r) O
, ^8 U3 G: I, `
6 N3 s/ J4 R5 z: \+ j$ ? 我们需要拿下域服务器，我们的思路是抓 hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行 PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c c:\s.exe ，这句命令的意思是利用当前控制的服务器抓取域服务器 ip 的 hash,10.10.1.36 为域服务器，如图： % l7 F& D2 m( t- W0 J
& B; k7 e7 C5 x$ x
% g+ H8 ?5 \7 k) c6 I, h' L. ~
) Y8 Y3 s+ ]; l7 m! I; }4 z: d
* ]( V1 j/ D2 B6 S$ B7 G! t: t( D
2 g( o: x; ~6 r! G( A w
" e( d- \- ^3 d$ D9 w/ k" p5 ^
, ]2 w( g! u4 B& V3 E k 3 S1 _8 B3 s: C. {
' U2 L8 q9 b. S; d, g& J
6 k I' V9 e4 b% P: U. a$ l 利用 cluster 这个用户我们远程登录一下域服务器如图： ?$ U3 ]( i j/ Z8 c
3 T* L2 n9 W9 r & z& Y) X8 a7 Z; [4 f/ Y5 e8 [# q
; n4 p2 ~: K4 w5 `, N+ q0 h* X : `0 K! h' O9 ?1 W* U+ S
9 ~+ s0 a: z! A* Z: ]' G
0 s) ?2 M( r! ]+ f1 }5 p# y) {
) K1 V, g& r9 b; F6 B 5 T$ {1 n U# ~5 e/ S9 e. K
( _$ N1 O' g* h Q2 e5 p7 P- f
9 a+ J# n, x! p# w, Q+ K) a 尽管我们抓的不是 administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了 administrator 的密码如图： + O+ Q. _. W% D5 }: r' ~
- r) I. ]; U& _3 f+ E1 B( a& M6 S* W ' @3 @+ P7 H2 n0 x: |" z
( m: R- K: {: m& {
Y; G, r/ j* ^ # z/ G9 @' v+ N5 e& r3 Z
: N3 j- w& y4 E+ D" Q+ M, G" K
# C& ~: D+ D+ }- I. F 9 C; \5 R2 y4 [, _6 t' l; B2 b
$ T% F3 x, H5 d4 P
0 T! ^8 A9 v5 H- H b7 I1 h 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓 hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： 2 t7 M# L. q; ^* A8 l
! J( k0 I* M) ^1 X# D- y3 t/ m$ F
6 ^' y( C: G; W, }: {0 C5 m4 R 0 ?* t) B) R5 \/ Y4 E. Y
! f( T7 }- ]1 ]" p 7 M6 D% j- M4 I
域下有好几台服务器，我们可以 ping 一下 ip ，这里只 ping 一台， ping ) ?( f9 C2 Q& ]8 x6 p5 J$ J6 _
* s* k- x+ T' W7 S" c
' c `2 k1 [, d t; i. B) V blade9 得知 iP 为 10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： 3 @: _4 h) Z6 f' Z
8 S1 G+ W5 [/ X0 \9 N1 |7 ]
* X- u- p' z6 J) U# Z& }5 g: U v: t, S a) `% s2 \
, I& f9 n" f7 N9 W/ T$ |
# h+ V0 i$ `+ v# ?. p
5 y. |$ m0 }; j' `' X I- n* I
6 V) k; S m# Z- q
0 F$ N$ B8 I% ]
- \- P+ V3 c! y! t- t
; L# N5 {/ r- ~
经过的提前扫描，服务器主要集中到 10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有 10.13.50.X 段，经扫描 10.13.50.101 开了 3389 ，我用 nessus 扫描如下图 " J6 G5 X m2 {& C3 w7 i2 e
8 i% z6 d) P4 c
! s) I; s( `# I% R
/ H$ W) d9 e4 U: y* e" A
: r) X: a6 \1 K6 T# `" B6 w5 z
! F4 Y' Y4 z$ M" H; c5 O# C
7 h" m! o0 \/ H0 t! w3 W
( a/ r1 Z$ m9 D0 Y4 W& V' V% `
" s7 `0 D& @; s: }% p: t, s o, o' k1 t
; I9 N8 U2 t; I0 |
& q5 a; z' k8 i) I 利用 ms08067 成功溢出服务器，成功登录服务器 / z7 K/ D# ?/ ~
4 l0 }) I1 m7 p; v 0 D2 }5 `0 G0 O* }: X
6 E; ?) ^' ~) n 2 h8 X5 X) B' c; t - i& m5 B- i N1 {7 p
6 _4 r$ s+ S4 g) k
; V8 t a: h! i; ~5 Q0 ?% { , y% |4 @. ^% J9 _+ U+ `
, v& b# r) z1 Q& n9 f: n
! z- {1 `4 u* ]# E, {9 X9 F" w 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓 hash 得知 administrator 密码为 zydlasen , M. w" g7 _! t% m; E- c% V0 l$ d
1 L. l+ {4 ?5 j% s# @ 4 l6 u0 b4 @0 I( o& n2 A. |+ q. e
这样两个域我们就全部拿下了。 ' v" P0 n: S4 f, U
, T5 i! W; J. z7 f* z/ N: G
: X/ `, _0 J) G; r0 p 3 、通过 oa 系统入侵 进服务器 N, a/ g7 x2 {, m% W
' m4 u& E0 H4 E$ V, c+ Y; c/ t ! e7 C# |+ p5 S6 o0 r& w- I
Oa 系统的地址是 http://10.10.1.21:8060/oa/login.vm 如图 5 E3 x9 ?) o, z
, u. I. N+ n: t
! v- I, K# A! Z3 x5 g4 s h8 n
8 _/ z" T h, h9 N
" g$ n' P8 K4 s6 V% n; k
+ ?7 q, Q: U8 i! s; R
! c0 w9 n/ {# p) u6 r3 T5 O1 [
9 a% m) I- A9 \
" O8 m/ V) x3 r$ t0 S0 J" k) \7 Q+ [( U! ?
9 B" l @# K7 A. I 4 g( y- S) k" {3 C3 B+ Q* ?- q
没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 1 {; I) ?+ F8 j0 M+ F# e- q
, F; G4 U4 k9 U* a/ q; m
3 i, g* j( x1 T% e 6 g: t) o4 l ^6 n5 H
2 l2 @$ V" T# B6 \4 ]7 w3 W6 Z9 O( A
) Z. {- D+ b2 k0 r; N& o& J N
! e5 x) @9 o/ Y' e7 H8 @3 J H9 i
/ k& `, }; }9 K4 T& } g
% C# W3 T8 ]/ s u
" F2 v' ~- p2 q$ I( l* Q
9 \2 o- ~: R* i ]- k7 [
填写错误标记开扫结果如下 " `: G9 S1 v0 s7 z; q
# U Q7 f: K; V, Y
) n4 k7 a- e0 s$ e
( d2 y b( k$ Y( { 6 E7 t2 C! d/ N) z7 ^/ E7 b + M5 Q/ B; e) {& C' @: T/ e2 W4 A
, m( U# o& y2 [& |; n
. m- V7 @% K) T) J: L5 w5 o! G
! b ]% H. M) X5 [7 f5 I; W
" r* q& C. p$ g2 Y3 y2 p
+ B# p3 e0 B7 G4 m/ ^, ]3 D/ r
下面我们进 OA ) O* F5 v, N" I/ i0 q: y
7 t' c1 G' q6 O* T3 I% h& V
9 \$ ]" f3 k; ~% z
2 `5 a. B4 C* p ; e2 c1 m; z8 ^
' @) m0 u# P: {% \' {5 K
% O: ~/ P! C# g, n
, Q* f% ?2 `& B8 L
) K5 h& k. n0 a; q: l- C
9 {6 C: m' u% d1 E& }
1 `3 V/ C( m; c. d+ r 我们想办法拿 webshell ，在一处上传地方上传 jsp 马如图 $ E' K) w( n% m
1 g2 e6 M- ^# {' g( X) A2 w6 W; r
- S/ T1 h. d- r2 U5 Y+ [4 c
" `$ x' a" S& [2 X
% A; c! v+ f3 p5 U0 [( _2 d' a
: ^5 Z, _2 ~3 k2 O1 Z7 J# }
% S" ~! s+ v6 V. a [+ O, ]
+ q; }' C; S) K 8 @0 L5 F: F% h' p- H, W
& q Y) c5 L/ \+ x" [ ; Q2 A; c& | ]" Z) l
% y, b+ ^8 y0 w" |* }' B. ^
( a w; A) g3 T3 \% {9 [
5 n7 i. f1 _8 F) p6 w6 z# z
利用 jsp 的大马同样提权 ok ，哈哈其实这台服务器之前已经拿好了 . g3 u. `/ b6 m8 n _% `) `
: y* W9 f( _% w! O2 j8 ~0 C 5 Z5 K; b7 J* v
4 、利用 tomcat 提权进服务器 + ]8 e5 B. V4 ?, j5 _) {5 B) h
# o- N2 \9 Z" B' d
' @5 w" `4 m" r/ T) {4 m) v5 P: Z, i- B
用 nessus 扫描目标 ip 发现如图 " J* C z9 b" r- u+ W+ `9 t
+ z( A- }( ]& ]6 n6 m
, S5 F- B( y: h7 K. E
' e! _% v, p9 ^5 }4 B 0 Z" B# g, O2 i8 w9 l
# W7 L T2 A' I2 a5 \+ f$ C2 p
0 Q* a; P9 f. _' b
' o) N9 z9 [ D1 k8 H' C; `
W" C4 F' Z- z c3 |7 v/ w; P( ~$ `
6 n! g* {2 ^* A, [
# Y; |; z9 O1 q 登录如图： ; H; }: v' V8 ~0 w; A' q) ^( h
- g3 `, V0 k% e! t9 N' K
4 d7 {( T; x$ \* ~- i1 n! w3 N/ f 5 w, G8 S5 S8 _# d, @0 T k# h
1 ]$ X. A. d/ t3 s 1 W9 F0 ]" j4 b4 P8 o
) e1 E% f7 [- f6 g U6 R
' H) o! C3 T( L( V( w u' g0 ^! J& K& f) B9 N1 y
9 t1 O: X4 B! P/ o3 x- U4 w- @. j
5 M5 O' k5 w% I& r: Z 找个上传的地方上传如图： 2 Z9 v f, G. u! h# ^, }5 v; g
! G" _: J, R1 i
! O/ q; M% y: I: i & [9 ?8 Y2 S# q* n) T
X; v: e0 R! S0 |0 ?1 h2 @( J2 r
2 V6 }4 q. n3 C+ E& G
$ o& Y9 Z8 Z: W5 S$ A- f% {
3 I$ y* v( d6 A9 q7 x ^8 ` : W' T" u, e6 x+ H
4 g) a& k& A, i6 _
5 P9 }- }; ?6 H' E1 |) |
然后就是同样执行命令提权，过程不在写了 4 F, F7 ~- l/ B7 `- J# T
S' w2 C! E1 C0 J' x% |
) V2 ?+ }: s4 G7 ?6 U+ y) t 5 、利用 cain 对局域网进行 ARP 嗅探和 DNS 欺骗 $ g/ J6 h: H3 Z) N8 s& M
3 O' h5 ]# o3 v; c8 E$ Z' d) b- A: ~
1 n) H! P. {& T- z+ l( z S/ B
首先测试 ARP 嗅探如图 , P/ _* @8 V' w5 `9 H9 ^7 r
% m, t, V1 `9 `! Q# e/ [* P6 [
3 Y3 h- r* X) k# L& g( X0 q9 m+ `
. g$ i8 O4 U8 [- J8 h9 b
/ I* t* E2 B% T2 w* v$ p" f) a
) R- [ u7 V. O* P" q
, E9 I8 y( j! h' u% p! R
9 d4 C2 e# ~& c+ ^( L ' g; V' d# \. I K; J
5 A; b* Y- x3 s3 [) R9 K" x9 b
. j, Z0 E# r q& F% A: H 测试结果如下图： & _- g) I4 G' X1 g! K
3 {% {2 q1 h4 v; c4 C+ l " N2 @, B5 w1 r
% @/ u" j* b/ s7 ], F
( \5 r5 ]) c) S' n& P/ }% I
) `5 D$ p& K2 u) d0 [6 r* r
- i1 h( Q. @% `, u
9 |6 o; \# s( o3 t g2 x+ q # o! k! ]8 c o
. U/ V; R4 o- M
6 L1 p0 b8 u: g! b8 u" g" P# e
哈哈嗅探到的东西少是因为这个域下才有几台机器 3 F0 P! ?( e: \+ b; c
( X7 a/ L0 @7 c7 u* H 9 v" ^5 Z$ ]5 t# j- j: a
下面我们测试 DNS 欺骗，如图： 4 D' c9 U0 I" \+ O7 W" u7 H5 U
1 ^, g3 ^$ o* D- R7 s: _1 N' W; _
( e( O5 T# k0 m- P6 O+ t( l
' K1 W9 O+ u7 l. s3 D; D' ? m + N( W6 F+ _ t! u6 M
6 C F9 e. i0 ]! h4 @
% O$ T8 L: Q# u' c 8 u0 D" T9 L' ^9 |( n( h; v
5 X8 z: e& \) n1 N4 q" `; Z
2 T8 k! d {0 x; a8 x
* P2 l* P. m) S, y# P9 U* u0 t 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 3 g9 b$ S. {; U5 ^" ~' m
/ {' g; \' n& _% s
7 y! ~; A: O% \& t) k8 h# j
0 Q$ `6 m8 u3 F& }, s 3 ^% `+ h" S- b% e" c
- ^3 `1 i/ q& R$ u
( `6 O% A4 l( D0 F+ F ^2 G; C
) }- g: X4 X: F. }, P, o 0 y! y9 H& N4 u3 @; L. A
. k; f' x) F/ E. O! N8 s
+ B e$ ~( w. b* O& w, ?3 y! o2 u
（注：欺骗这个过程由于我之前录制了教程，截图教程了） - _/ |/ l0 l8 y; X9 }' m6 ^# b" E
3 ?; w) t* j( h
3 h+ p. C4 c' F- @3 [
6 、成功入侵交换机 , z2 q+ X/ y# ?0 c
$ ]) s& b0 u( f4 ? V! B ) o( C w+ ~9 U. w
我在扫描 10.10.0. 段的时候发现有个 3389 好可疑地址是 10.10.0.65 ，经过 nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓 hash 得到这台服务器的密码为 lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 4 ^7 k o5 d3 |3 A
: y7 z$ ?6 Z3 k4 Y0 a* }$ e1 o
( v/ R `* q, l8 L: j' V. D
我们进服务器看看，插有福吧看着面熟吧 / i; J2 X7 @1 r, B1 O7 ^& M* L" Y
4 z* w/ M5 E" Y2 x0 C6 u
5 z7 A) I s' c* i
7 c2 }% i6 a R* i# j . o) k, w' Q6 ]; B7 A # @4 M9 O$ z, W0 R. a1 n6 ~0 v
8 ?; ?3 d* @5 n
# c6 G/ n# e4 p
% }& @( q u5 N8 m! `5 p8 C% }8 ^
/ s7 ?1 p- ]6 E
; ]# y. }' C, P+ y 装了思科交换机管理系统，我们继续看，有两个 管理员 / Y2 p. I. ]( X' @0 h
' G* q/ g% w9 E
0 p1 D3 o6 F0 S# d F9 v& h
6 c4 f% j5 s7 z: W* x% s% X . v" {/ ? A6 o
" w: l s6 Q" z( M
' r+ K6 F8 Y+ j+ y; |
% X( k" R1 j, ~% m ? 5 w8 a/ U, D, U) m) ~, `
. `( }5 B- P* |) |
r+ P8 l" [' p4 O 这程序功能老强大了，可以直接配置个管理员登陆 N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 6 I6 k/ d) |, U* u3 K6 G
, X& q' G- Y( V# g
' l2 O' t8 q( X# j , q9 G/ L0 E# b/ H4 ~1 V
# A8 ^* Y# ~$ M- m, Y! I) s M
: [ m1 c& E& u; [4 d2 A
' C1 ?! p$ O5 l
" I- Z8 e- t; U/ O ) ^2 M& V T7 R! i. i5 b7 S) U
) j1 |9 Z: K8 j5 x1 O
( A: K: \. G7 n/ F: U 172.16.4.1,172.16.20.1 密码分别为： @lasenjjz ， @lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用 communuity string 读取，得知已知的值为 lasenjtw * ，下面我们利用 IP Network Browser 读取配置文件如图： 0 F; o2 J1 {" d
- O7 T' I% C- t% x( O3 Q% I: s 8 K2 ?9 v p ?& Q. t* y
8 \# T( I% U) [: N5 g$ r7 v ! L( |5 S$ F8 A" F+ [/ a
8 L* u3 x/ ]0 S9 j' y; T5 [0 p
% I7 F& ~& f: @3 Q2 D
: z4 l! w; I" C5 @ 7 L8 S# N; L* M O+ {0 C
) R. K+ x r9 O8 U$ V4 N) H
& D4 Q6 T( I Y5 H: s6 C( I 点 config ，必须写好对应的 communuity string 值，如图： / p- B! r$ g) u x
; X ^2 h3 y1 `; t3 M0 Y
, i5 m! Q8 Y, K* t% |) c1 d6 x
- p3 d; r v! B0 |; u) M3 l # R T1 h$ Y" O! d0 V0 r/ S 6 i! b# S& }2 b+ J3 d! H2 u" ?! P
* n1 j- [+ v+ m, x N
& r5 ^+ Q* y/ |. Z' i$ E1 T) H0 _ / F6 U* J4 @; ^8 X. i
, ~$ o2 g& d* o3 ]0 g - \1 K- S; z* b
远程登录看看，如图： 3 H. p3 g- p( \- V* \9 \, B; ]! r, K" z
5 z8 a2 e- o; y- g% [ c: Q 1 H$ E7 X% i2 y1 q, r8 U9 C
5 y. ~# G" r' X$ N; O
" |7 F* u* n& t G: ^; t5 l 1 c% u% a2 T. l0 k4 B
1 q- B) [$ r% e) s2 e+ a# z
* `0 w# U$ @' U 0 y3 b! Y5 R9 h# F# d
! }$ i- Y9 T5 x5 s7 Z( V- X, K6 N / S3 ?: B: ^) g7 Y& i8 A, h
直接进入特权模式，以此类推搞了将近 70 台交换机如图： ) Z# |" k/ ~1 O! A
% H! Q/ q% P8 h7 E$ _3 l3 R
, ?. n a( g4 C" e2 Q) b- f
7 z/ q3 {7 C0 ]6 t1 G2 i" l) D+ Y ! {3 e# Y+ j5 `$ M \ 0 j9 E2 j- R7 B0 ]9 @
: z w/ t8 O; H- g& P
9 n, r3 z& h) D! A8 m; S9 U1 o : I+ P' \; L$ u' U
( ?/ G' r7 x$ a7 x( x
1 F" P1 [ R) k6 z& H; D: f( Z
+ ?3 {5 i% z4 c
; F3 a! w" {* a6 Y4 j) M- _6 Y : z9 x4 b5 N9 X/ u: {
总结交换机的渗透这块，主要是拿到了 cisco 交换机的管理系统直接查看特权密码和直接用 communuity string 读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠 nessus 扫描了，只要是 public 权限就能读取配置文件了，之前扫描到一个 nessus 的结果为 public ，这里上一张图， **
$ R( ]' r# D: S" ]+ N2 c) C# M
3 z8 E; V# \( q, b% E. S
: q6 c4 }, q( u
$ ?; P, U9 ?/ u; s% O* | 4 u0 q% V O8 f2 _
' i- ^, }# l% U0 C6 ?- ~2 h( U: x5 k
3 a$ x" A3 i+ R% G1 |) `
( E/ j0 r% D. @* | 1 x9 h# r: O% `* S5 [' U
3 i* Q6 ~4 J' D# @+ u! K
1 Y$ @3 R3 A2 D; A1 \
确实可以读取配置文件的。 # X$ ]. C7 A) Y) d
j8 K6 @7 z9 m7 j1 W$ O# K
; A0 \% l( i8 X: P6 q. y
除此之外还渗进了一些 web 登录交换机和一个远程管理控制系统如下图 : y5 L! d c2 U" ]
; g2 a# V% g) E* @# q 5 U% G; E" ^3 y8 P
' m! @7 s! l1 h# Y# T# @ w A; p/ V' X$ s# u9 |8 K
3 |5 [- O5 g$ ~6 G
: O. _9 G' b* H3 P* F. A $ W" M0 ?$ ]7 p) e' ~+ K8 C) N
0 R* I7 z/ t) N
$ X, l7 Z' U) J
! T: r0 P& a- B; o3 a0 P 3 |: `; w4 I8 r0 }1 d2 a
$ u. o5 R+ P3 ]8 h9 J) \ 1 o2 o8 ?: z( q/ m2 @* j7 @5 J S
直接用 UID 是 USERID ，默认 PW 是 PASSW0RD( 注意是数字 0 不是字母 O) 登录了，可以远程管理所有的 3389 。 & u8 i2 T$ X& D& U
* l# e+ @* U5 E! r, D$ O ! X, f" E% }/ T( L$ Z
/ l8 V( n9 K8 n/ ]' e( b& R
+ c$ W, U0 R% F& {6 ~9 E+ n" k7 O0 i# Y1 @
* ~# n7 p0 L$ H# t* S6 V
- f. S' m: T* {7 n/ g
: c) b% \* L4 h1 O$ F b
! N3 K+ X1 x3 h( R+ C0 Q/ p4 \# Q. X
3 w- v1 q" _" j% i% \
/ B# t6 l J, L7 K% P/ `3 j6 p9 R 上图千兆交换机管理系统。 8 z3 T& J0 c- c! o+ P' W) O; f3 N
: C" P0 w4 b, E# h
. o; ~2 r& r5 A4 a5 a 7 、入侵山石网关防火墙 & x- b5 R e2 f G1 E; R; R
/ v" j9 M& a4 u! F8 u0 d
- T! n: I% k- d
对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： . h" r( ~$ ~* {+ M; z& @( p
! f( i$ ~5 t. f. L- q' S
+ H# C' U* [2 c* w4 J3 h
9 Y! y- m1 n2 N% T8 w+ X & O5 C' V( w# P% a ) G6 y" b; U! ]' L3 M9 E; r0 u
1 n8 |% T9 U# |3 z, F % z5 }6 [8 o7 e) ]
7 I8 o) w1 v- V+ z' B3 v. p5 o$ [7 G
8 ^ r4 H7 c# T5 y/ k8 w5 c
9 |% v% c/ k0 M6 \& R 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： ; |& S' u M+ g* g
8 D7 d! t: \7 f* H( W6 \2 N
5 C, D3 _2 P* \- `- a7 n/ n8 \
, \' _7 `. l' w. b3 _0 Z4 ]/ k , K- l2 ^8 y, B) r' M
, d8 ]6 `, K& p3 ?" H
3 {' L: L) X1 V9 I
" P! h9 }% q- ^. Z ) t/ }3 Y+ g5 f
9 ^+ z) @! _* I% z% G. g x8 N1 s! \. e( R( g; l
然后登陆网关如图： ** ( Z) Y, m* m- }; f' L& Q
, m7 f- W; Q ]/ m3 ]& t
& K& J8 X9 O8 c+ D
v5 }) H! Y; t' n6 H5 t * `2 A/ `4 p& h- ~$ I$ v
1 U2 y+ \. W/ `' x, t& Y6 j, w0 ^
, v* V: k$ y5 `3 X9 C
% J' Q* }" H" ?% e; A6 E
% ~$ P! k7 L+ X+ v
# H- N. m& y- w. t7 { ) y6 f$ y4 G6 C1 U' b" k* Y
) g# I6 w4 \* K
! W8 J4 M$ {3 q6 P1 d
3 v# N4 r/ D, u: Q
( I% `2 Z( p, Q! `& o
$ n7 a) g, n+ P" U; i. F3 }; f7 c 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里 ** ie 家里里 172.16.251.254 ，这不就是网关的地址么，所以我就用 administrator 登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用 IE 密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码， 73 台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封 IP 好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用 nessus 扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！ ** + l5 @' n# t% N) W7 \' k1 n. r
* ~$ n2 k! R. T- P4 J1 m5 Y
( f. f& T* l$ ? 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人 PC 还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人 QQ ： 635833 ，欢迎进行技术交流。 " a- t! b6 t5 K0 z9 _
# Q% B: }5 [# K& ~; x
* t9 i' n" t& Z; |" V E" h3 Y
补充：最近公司换领导，本来想搞搞端口镜像，嗅探和 dns** 欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图： **
- W3 H. `# D! E' N5 Y3 u7 x
7 ^3 f6 s1 i6 V. t. }, B
8 ]) l7 t0 r: d. F# O+ H 8 Z+ z( j+ G7 C: f+ |3 {
) a" g, N2 z" k
7 E" x1 I4 w" ~- b7 @% o! j
9 F7 Q/ t1 Y" G3 b( j
3 @) X: s( \+ q7 i7 [2 ?0 Y ' [* M0 o2 Y% k
4 L# \. C% b: i: V7 Q1 G
( E% |: B' G) f3 h; c 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 i/ Y5 Y, s( e! L! Z. t
/ P" m }4 M: Y" h% ] l
( ]( `/ ~, v# u8 U& o! w
2 ?4 l# \8 z3 C
$ L2 d: ~- Y4 f% x4 ~, \
% c# c! N v) f$ V3 R. e # _- E" C1 B3 }. W, N5 k F! k
- ^9 e4 x- u; l1 Z& t % H5 }- _4 {$ K( J& V9 F 
发表于 2018-10-20 20:19:10
收藏
支持
反对