渗透测试某大型集团企业内网

admin

, E, i- s H& o4 h+ u

1 h& N( c% U! M7 Q! w. `" x

- u5 x6 v7 o: m- y" u1 k; k 1、弱口令扫描提权进服务器 ) \- _5 I& U w( k1 ?' I) y! Q

' l; b: }2 K+ y' t0 ?; u4 @) v

" ]; u! x: r; E, e$ Q% C* J 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: , r! K6 f: I+ @+ z3 B1 F1 l8 D. j$ a

' a& A+ J/ o# D+ i

---

. s) _' F* i( h" g; D' D. G

. d# b5 v0 j. n ~* A# H + ]5 \- s; [ |

4 c0 h6 I7 j3 Q/ o. t0 d ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 - B- y3 V/ n7 m3 X0 |

. y8 N3 f$ y' d4 R; R2 |* ~ 执行一下命令看看

$ `% q, V) m0 G: x4 R2 y

! T* m) H; m9 S8 d

& I# u p9 ]6 ]$ h" l1 j8 i

---

) p% M( n! x2 K+ C7 U # V) W8 P6 A7 i% Z) z

. i7 _& z( N- G ]. b ~

9 L0 i# a8 m' F, r }9 U 开了3389 ，直接加账号进去

) e( ]. p0 n# A, ~; ~4 C% I7 j

---

* p4 B# S. W8 D9 i7 U

7 f+ x/ E. H" W7 W) G; [

/ w3 z: ]5 m2 f I. A3 t& R- V

1 W7 Y9 f3 r( _. b

0 g% i& m# z- ?4 O- i j 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

0 v" ~+ \& v5 ^0 |- w- m

---

* F- e( N& m( g. m" W

: V: D- T1 C& J

+ [4 l- q7 [2 u7 _

直接加个后门，

! _5 R$ f/ U9 G1 E# F

6 b4 B( q" w6 H# L# W6 o+ f % |* E! {9 w: l" N

---

* q* K) l& x4 t k 0 _# n& c5 G" Q; j' s) V5 a: E

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

% Z* [6 f. @# e2 X, S; Z4 l) } 2 、域环境下渗透搞定域内全部机器

7 s; K' G2 [( K2 S9 Y; R) G

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 ; b; N/ T- N# M/ }9 s& |& f

6 Q6 P. I! m" m

, {6 q X, J- b6 R6 f5 t; b

---

( |/ m1 W7 ~0 \3 M

: f* _$ k: Z! }6 R! L0 B

( P+ v7 x" _6 U" A7 M 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 - x+ g; `" X l) c; J1 r

, `- i; b& Q: y

---

! D) m& L" [$ I3 q$ ?4 A5 X: o , D4 r6 c, b6 g9 r8 {

' r3 z& I% L, b- N5 o! k3 F. u

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

* A0 v% \5 B5 Y: j8 l7 u, \

7 C/ ` `9 E( f7 W! G, C, r2 C

---

6 B7 e9 T; t- z) M" r; k" _7 p 3 b9 h# f) P- ~2 B! R I5 W

& K6 b6 V, u; |. q

9 D+ O. ~- Q% m6 Y5 W, Y& g2 {

6 ]7 ` d1 T' T% ^6 E9 y* s' x

利用cluster 这个用户我们远程登录一下域服务器如图：

) R! B* O5 R5 l/ ]

4 r$ |+ \/ u5 e8 ~( q5 ^5 a

---

$ g; k) b/ X$ F6 F9 c

" ]& z2 x8 C* i* R, K+ X0 ? , {; J6 z6 j& R' D" T

" j v- ?2 k, ]4 B

* ~" n. Q3 q/ K1 ~3 F" r 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

( _0 H( V' k3 T& ]

! T1 T; O* L% }: p3 ]! Z1 \6 r" b

---

6 y2 {; R; ^: I( S- ]: ?3 W9 d

! w' r" x F! i5 s

G% J/ A8 g; o1 P% b) A ; A8 w: X" r4 Y

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： # f. o- C" v8 P* X/ T

7 U( Z. m* W" T# E

' c5 D! Y+ ~* V& f3 y+ U; L E$ m

0 _2 @& C& N- T1 K/ P, S

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping 8 i, e2 f5 K1 A

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： : h: [, n2 p4 Z' A

# o/ d3 a; ?$ {& _6 c: U# h! K% ]7 e" p

( v! }0 {) A q 4 [; m+ o8 d# t# h8 d% H

---

/ K$ r0 _" J9 D2 y 8 p* n4 U2 Z0 H7 A+ p$ |7 ]# ~

# P! o2 q% v; ^% q$ J' u7 g

9 {" M% B. _$ f& [- y! ]* i

+ l, r, h6 C1 `) s 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 " ]- K$ M% l6 A

4 {( P1 o9 p; x! Q1 E ; f5 ~( F: I/ E2 Q1 ^! V- p$ l

---

) m& y% U/ H: Z# ? * b6 y7 j0 j! O {' r6 g. O

; g# @* H, p' b& K% N$ ~

利用ms08067 成功溢出服务器，成功登录服务器

- u! c7 t) M2 B8 d* E0 A

---

& g) X& T: J: K

1 r( x8 `3 \" Z- [+ U

* G7 O. R' B4 Q! ]

3 H# K2 }# M: F& H( t5 ?; p8 i: ?9 B 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

: g, L0 R: \5 V

4 h6 d) @: ?! o7 s9 j- m 这样两个域我们就全部拿下了。 + y4 v6 g1 {& w

: t9 T6 }7 k) p3 \" K

3 、通过oa 系统入侵进服务器 3 F1 p$ _: J* F) q

" J1 U0 R1 D! k, j1 E) e a% z' C Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

3 E+ K4 }3 l- t% O3 b- S% M1 P

- O/ ?$ s l' O5 [9 F. F' r, D

---

# w; e* j3 `% J9 {% Q( h( Y1 t

3 ~ m' E, a; p! v0 [, s7 s2 l , f% L: [& R0 @0 I( ]

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

% T2 ~' a. G5 K1 V- t: s

8 Z s6 r4 N2 J2 o; m# f0 z. m 4 U1 \4 l. B& l" q5 n2 ~: k9 y4 m

---

5 m4 H- }6 k. V( }

填写错误标记开扫结果如下

% X$ E! z$ ]# X

& W8 L- N: L6 `+ q

---

! C$ D& }* q% g4 _! t k3 w0 C# o: R

# J8 E; Y: d/ W" w; _

]. K# P8 l+ H. v1 R

+ R& r5 T3 N6 d+ @$ q$ E; ] 下面我们进OA : e, E8 ]% a" b9 v- u; G

---

2 P/ n( X5 r; C2 V2 l- m 0 j6 T6 {& N6 {- a# t

6 v! j$ v# t9 u+ p; j; ? I& S 0 n4 K( {" q7 e

. g: x' @; }5 Q3 L1 q

3 w2 d) j- x" h. \# ? 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 C, w1 r6 X1 J( H9 W

6 j) q8 J8 U! c4 g

$ Q9 {" m0 F8 V/ ^ # T$ [0 ?7 ]+ V0 i& _

---

; r8 A6 S% X" K9 L- h7 n2 u9 \

1 r8 A' G& q7 u. ]. u+ g3 c

! b0 y# F3 R: }3 I; L& J7 h

7 d0 ]6 \' w. U$ Y$ s& S 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

2 y2 Q! W2 w3 l# Y% U- H 4 、利用tomcat 提权进服务器

3 E: q, K; Z1 B' E# _& v( m

用nessus 扫描目标ip 发现如图

) d7 c; B# |. E, z* b# @" C

k" g: ^& L3 T2 G8 r 7 l' D( t! ^% w/ I

---

( T0 ?: h3 @. H" n1 t6 W x) R% z) J7 [7 {+ a

登录如图： $ K- a7 @7 k8 _' r4 v

9 P1 z4 b# \% U! Y! ?3 ?

---

; X2 ^" A6 x# ?! c0 R , @4 D' G/ \0 E) U

% V. ]3 Q$ u6 f

找个上传的地方上传如图： ; c0 l: U# I- }5 m6 }& G5 N

---

# K: U6 F7 ]$ |8 x , l! H1 d; c( b, v5 B6 |- b' n, |. _

# ]8 D e! D- G* X2 Y! l

8 F: ] H0 \( r3 @& n 6 b1 G* U8 @0 l. B; \2 o8 U

然后就是同样执行命令提权，过程不在写了 2 Y J! A1 U' S1 i0 `

0 [. ^1 r7 z/ `7 n6 x: e

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 5 D; P* |) s5 ]% \, ]+ c

首先测试ARP 嗅探如图 6 S A- U3 f9 K0 j5 L0 \

' @! f7 H0 D. O! b' f

---

4 ?) F% I! f; P+ D& |5 |3 Q/ l" @ 4 O: O6 x# k8 U/ G

* \5 [: {$ I5 y9 x3 q9 U

^. q1 ^& U2 Y |4 |+ g$ M ; j$ t. o1 i/ x" }

+ p% h0 [2 N3 @; g# d3 G' T5 e 测试结果如下图：

---

@4 Y v' F6 s n( x6 W

5 ~# o5 l/ {$ G, Z' y4 ^ ; p! \7 z; x6 w- A

7 z* s1 V/ N( a$ Y6 K) M 哈哈嗅探到的东西少是因为这个域下才有几台机器 # Q* W* y. Z: x7 y% L

下面我们测试DNS欺骗，如图：

3 d" ^/ C! r4 \

---

4 i, H0 B% i) ~: L4 m

6 x% z; s F" b

% q. P' |2 v8 }$ b) o9 m 4 X# i; J- O, C6 g

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： ; k! o, f: S" f) c* O; b; w3 d. W

9 N. u T, @1 I+ n2 _! o( D

) i: x8 x* E( y0 ^; q, Z

---

( a1 u! O, ^. j0 ?% Y% o

! {8 [3 U( {& n" \$ c% i （注：欺骗这个过程由于我之前录制了教程，截图教程了） 9 c1 K, i2 e6 Z3 j. a" T, @

6 、成功入侵交换机 . N! f% H! W9 C: f! ]; @) j

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 % H2 J- v% W9 t: B" A

* D6 D& @; \ c- B. f" I

2 ?" |% P. i4 s( t$ w/ Y 我们进服务器看看，插有福吧看着面熟吧 6 b! @+ s. y6 D3 W, |

+ T7 O! g, R. \) P: s9 \2 J0 z

) l, L! B7 K' a3 ^& b& l 8 ^, u6 A2 ?" P% s

---

\# `+ `/ A3 E& |" [$ l! Y4 \6 l

& x( p+ \" H$ b) c/ O5 R8 e- J+ s

$ {" B7 V0 R% J9 l/ u+ \! O: r

. Y- B& L5 `6 V2 C! a 装了思科交换机管理系统，我们继续看，有两个 管理员

" L/ x5 c: Z R' q: c4 r

& f7 b7 y! \3 L; ~/ b

---

, |) v6 l" M y

4 n4 r/ g0 t5 b, V& D; l 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

- d F1 Z4 c+ i# X5 K- w

---

3 J" s3 t' ?" R

) y/ v3 ^" l3 h) \# j# n8 B

R1 O2 M# U; F8 [

* U+ k* |! v* c! M" d: A" f 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： 2 T9 Q+ h! w0 `5 a0 u

) e# s& J3 _* A' Q/ O5 r/ Y7 S4 @

---

! j# j; k+ P& ?

1 t- N4 F: w# n% Y7 m- f" @

: k/ r( b- C- f4 P4 c: h' |

' x+ A. W: L/ a" M 点config ，必须写好对应的communuity string 值，如图：

1 [9 M5 d* Q: N& L9 o$ g* M/ q

---

" |! g3 f; O- V( A, S

( s5 G$ c, L. m8 v

: e* e- h7 y+ z v) ~, @$ v

远程登录看看，如图： 8 {) h+ g( j4 z! k! q# w

$ l2 A+ q# o4 P9 B# d0 m

# d3 \2 n& v, y6 p- L # [) \* y6 ?, E9 a

---

8 q8 j4 i* |% c5 |9 d8 w

/ X2 X$ M, t$ @! t6 _1 f6 G- N

直接进入特权模式，以此类推搞了将近70 台交换机如图：

---

, ~5 d( h0 a$ [$ f" N

# g1 H( g: I8 B4 d U6 c, g4 t2 y0 J- M: S

& n- }# `* m% J8 E u) t

2 d/ }, a: I2 p ! d1 z8 v% _0 p0 B- u

- P& l) f% [' Q" G+ I$ t' P

: W f$ M7 p3 F/ [/ Y 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

! Z& }! x3 n, M# G

---

0 Y# b! B5 y) |2 A: E

; \7 ^+ ?2 O- E5 T6 ]

3 X4 |! Y! `* D% C/ S t: j5 Q

确实可以读取配置文件的。 " c4 N9 [( z- t+ ~

" F) w* D) G8 O6 W, j1 @/ x

) A* L! E$ m' P& T8 w* S 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 , \( k- g5 z# e, }) [

4 n/ N& c) L: j+ u: s7 `: ?0 E" g) t

2 g, h6 e" a/ ?1 f6 G j) N s

---

7 O8 u# D* [- L0 q! {" s( a5 U ( g R) R* ^$ \* t4 D

) ^6 n$ G+ `5 y1 \8 T4 \- }0 a

+ T7 a w* O7 V

7 x7 E1 E5 X5 L7 e- M

3 c0 s; x: a1 r6 k+ X7 O$ G

- N, ~3 m& ~* T 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

---

; V/ l R) A/ L* \2 v* x- q

" o7 Z: A7 a! A/ Z

+ z( ]+ X" v! c, T$ ]9 S/ b9 p6 [

. w- g: L+ @' H) r$ y2 L# X8 B

上图千兆交换机管理系统。

" W9 w! s7 W. L5 O+ s) C" ]

7 、入侵山石网关防火墙 6 m- J1 a" T' i7 R4 e8 P3 F

: ~2 _. d* O/ M8 _% H 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

# f% j; D5 h2 n0 O

---

% |# y/ ^6 t$ O/ C7 J # A4 o# Z- ]7 r/ ~" x9 |

. |0 |4 l! E7 G( z- _

; ~+ K6 T6 G* ]- @ y0 N8 G" h* l' R! u : g3 `2 r8 c. m5 P3 K

, J" F2 ~5 I& P t" u4 o

" c d5 I% o/ j0 [6 B1 W 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： * ^! P7 x- ?, J' [6 @/ `

---

+ ?: ]* e+ z0 S2 r. E5 }* X

; g o$ i- j0 V& L* G. Q

5 Q! R; L) G- n ^6 v ) L! X( v1 P+ L/ p7 Q

% J9 ] h: l5 K9 h( R% t( x

0 @0 l2 |0 G' ?& T8 Y& w 然后登陆网关如图：** . h& G, Z3 h6 r5 ^" J, t( E

7 t/ l- Q% I, x9 s6 H

---

7 x' @/ m) \+ s5 f V) W1 D

7 r; J3 k" ?% G" Z8 k4 I: b/ G

4 s7 F4 C6 r* x4 g3 ]* c

7 I& x7 d. S, p$ |0 P

+ w8 F7 O( j2 g y6 V0 R: {; v T

---

: H2 n2 c! [- m% r

6 S& n* M" E5 I8 Y 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 0 h, r. Q' D5 Z/ |' r" e( d- S) T

, S( n7 j4 q1 R$ B' n5 ?0 p2 Z 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 - _$ S# E5 V5 O. t5 U0 @

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

- R; U# P" J, n6 g

---

% t& Y" L* \- O( V" l8 T4 @7 R

% [, d n" B! c$ \8 l- p

! \" ]2 q. g: o

3 [7 a7 N9 G* X; U* M0 i

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 7 h6 \8 d5 Y# x- m7 _

0 |: q+ Y* }0 ^3 Z7 I6 q5 `

3 v) ]( @5 W' N/ H/ L   % I' o5 B/ C- _8 }0 i

5 G+ F8 X! E& ~; `( M* b4 ^

1 m' G0 {" _ v- {6 J; J $ S J6 \6 O2 t; O& Y5 A" p