渗透测试某大型集团企业内网

admin

+ |$ t$ T8 e0 F8 f- o8 b) G/ e

7 D$ G J) z, O; X, |: n 1、弱口令扫描提权进服务器

9 O b8 v/ D% w X) O

& q+ z+ G% |( g# a9 n! ?+ J# | 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

: a9 \7 N6 Q2 m% ]

* X& m; f+ t9 x' g: L6 L# Y _

---

& c1 N7 d* b) S9 P- X

; W0 @* q. H) }- a( g4 a4 i

% { l+ ~5 m0 \

, _$ l; I/ K: l) x! T+ N5 p* q

$ W4 ]4 r/ }+ N- o$ o* i ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

执行一下命令看看 N7 L/ W2 X- E& i* P* @) ]

- F: c) c4 l* p- w

! [0 R# y- D, D" {8 Y9 y& r. p% ]* [

1 y% c! V' N; _6 X: E

---

8 ] D+ n, U9 i* H; m' q% [7 V

5 ^1 ]$ M6 C) Q9 E+ e9 d; R 开了3389 ，直接加账号进去 & E0 o8 ~/ g1 p: F" m/ w4 J

% K( ^$ M V D: K+ J5 ?

---

; y) X8 b: v- b2 R6 o& _

; d) P- k3 y- [. ~ ) j6 v# Q4 w9 `4 }2 v, K# Q6 n

9 Q. {+ \( l, S& o2 x+ c _1 d

) |( E1 ]* f! @5 o. ^ 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 1 D# k- _, ~2 A1 v7 G# L( y

( ]+ D! r! ]1 l8 N8 T% b ^

---

6 t, ]" Y2 Y7 d* Q

1 X! o$ u% H0 J* V/ M" U

1 ?; H8 f- W! b. V' N

0 T6 @$ O' q: t

9 `" r" X" ?! D/ }# Q 直接加个后门， ?1 s# @+ E+ U0 M) H

( g0 |! U2 s; w" m

) G J9 i) i! ^& P3 ?) j9 Q

: n5 N" S& p0 L, V- T# A) Y: ~

---

6 k, F4 V; Y( r: [ 1 S* I1 v9 E" ]

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 * ]/ o- R! j7 q

; y- T" E$ K1 `: D! i

2 、域环境下渗透搞定域内全部机器

3 c6 { ?' `8 u( r( {* e

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 3 j7 K; J" k- @% ^1 }7 E

, A: v+ G% M, x' _- z! Q

---

6 ~7 Q* _/ Q) P9 H: @

3 ~) ?+ t6 A4 R( K$ H- s+ s& f! C

5 S& P" ?" \4 E/ }1 T0 z

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 2 Z' j, c3 f- H" f8 y: E

c q- n6 b# t4 ?( o

* g5 ?3 T4 q% _/ j) J ' c' w; V: F# ` D9 ~

---

) n: U/ x( @) @9 Y

4 q6 { `& n8 o+ \6 o6 m8 A5 |/ T: [

0 w- @/ y% A5 V+ C5 y7 V4 K; ~ 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

( R/ X8 U- C$ D; e% W& J

+ B. k5 o, B/ \ V# V 5 W8 B, W2 R2 f A5 X

---

4 n( y# i! G7 l

) o+ E* S% x+ {. Z

利用cluster 这个用户我们远程登录一下域服务器如图：

6 W3 t- G0 l1 A

---

" f+ V9 {" m- `3 `# ]4 t; o. U2 p

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

+ g% Z8 U7 L. e9 I2 o7 o! x

% W9 i2 K+ ]+ M% z

---

! E! \0 T, h7 H

/ t/ D) E- _* p. v

; y' g! X7 U9 X- @: H, h& F

: Q+ Y" `5 n* _

' }6 P1 G3 U5 u 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： 6 F7 x+ e ^; K" T

, p) _- }) C% T4 Z$ g

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping # C, ~% E4 @2 o) U' d" G

# O8 i+ Z* L+ f. ^/ W

+ x& y, S2 _; s" |3 M- n blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

/ a7 G7 |+ j/ y$ p; F& l , D( q# `. j+ l' T+ R- H7 U

---

! P: ~% F) R0 G g( S( S

5 B0 D% Y/ p' y) g' H) K, D$ ^

2 a3 G O/ ^. L7 C

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 $ Z( ?3 s3 f8 U& o% R

---

* G: i+ g0 {: E* @. K" G6 H$ @/ b

7 Z7 _ t* w- A- }6 Y }

利用ms08067 成功溢出服务器，成功登录服务器

5 n: u! D5 t+ n5 r; N) i2 f# N

/ r, r7 V" y/ @ ; [( H) h0 C: k' I# S8 `/ s* J

---

- e7 G. Z$ x, i" W7 p

3 ^( g' u6 F2 W+ J3 n

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

这样两个域我们就全部拿下了。

5 `9 `9 X+ Y! M9 e, h

3 、通过oa 系统入侵进服务器

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

---

9 ^0 i) i% a% x( u

! E) g0 B* M" _$ U+ N+ O; P & b9 E. N K3 }# l6 k, ~

1 ?% ~2 Q3 ^) F( z( U, Q

' d8 c- y9 ?, K9 y, C4 J3 `! ^ 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

8 O) p' \" i, }6 ?# Z

! G/ F @; L8 \/ x. Q. f " B5 v# D7 j3 p" a& ~$ L

---

- P& M h& r% y$ O

0 q2 f$ A `/ E# _. u8 d# G2 l

& D+ K6 G# w& Z! ^1 z3 j % {7 h9 c8 O2 l- P7 t& _7 o0 @

; e ~9 a& {5 G; v6 z

6 V7 I1 D# O$ R& p- Y9 i 填写错误标记开扫结果如下

0 A% \* i% f- G

) o0 Z: X7 B$ F7 h3 `; Z % j+ N6 @/ v2 L2 z' D" y

---

; o H! M/ L5 E; n. P

, H: ?6 Y9 d* d) f* i3 S5 K% L

- U* J: B h$ {9 d/ p" {* g

9 e% S7 t, q. Y3 t% Z& Y6 J* L

下面我们进OA 6 K' C8 K2 |. x& J

( H# o& G) a$ q1 w9 r

; O- ~0 M# B# {2 p5 ?; |

---

9 j, |) H6 X' \6 H$ R, \

: m; J2 z0 w8 m# G8 j" |" L

3 _% J/ h9 v8 H, T

! x% P( p. Q, K5 Y

我们想办法拿webshell ，在一处上传地方上传jsp 马如图 $ y7 P% f) ^, [# k) e

, T9 F8 {2 c) h. Q6 o/ x; o% N

0 M# m' x3 Z, q; J

---

* V- T. r7 F5 u9 _4 U

: T6 }- H1 ~. S

n! D$ o4 Y$ i5 `2 v# I

9 f% K% k% L: s4 d: r3 e

( `3 _& Q8 `( P, O& I 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

+ c) r8 W9 u8 z; R2 f/ r

4 、利用tomcat 提权进服务器 - a# k% x1 ?. {) J9 x0 z8 c( }' H

7 s3 ?* A$ y$ S$ X1 |

用nessus 扫描目标ip 发现如图

# G1 h0 {+ A9 k3 _( K" I

3 U/ J; K; F/ t4 E. y7 ]; p# ` ; X1 m! Y" u. s& n0 f

---

R& S1 i% V" G' X, \* ]1 C3 |

8 Z. i; Z' E3 d" C7 S8 r" W

3 _* c( Q/ d2 N9 Z( u( j0 [ 登录如图： / Q! i" {# G7 B5 z# U+ I5 D

---

, y% B( H7 z; Y0 R' n % M! t+ T6 w0 ]/ h7 j' E

/ |' f! T# ]5 ^; k$ X0 s

# a) u! l/ K2 n' X3 `1 L6 ]5 n

, z. T% P; _) I2 a& T9 z* o1 H

找个上传的地方上传如图： ' t; G1 B6 T/ o+ N& g# E; I. P

6 G) t! Z& b* v( M. q

---

& j6 Z' O, N' T2 p+ J; U

+ b+ I; X! ]9 C& x* s4 _- ^

2 K3 k9 h* A+ P9 z7 Z

然后就是同样执行命令提权，过程不在写了 3 S# M5 c- Z* f/ _+ J

, P3 L! }' P. h E- q5 b- K

! H. v7 Q# ?/ W 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

8 N* x/ N4 S; u8 W9 V4 j9 c

首先测试ARP 嗅探如图 : f' E. F) B2 b

8 ^. O* C7 T! J7 z

---

& u C9 a% W, O6 o7 B- f - U3 o) E' b) W0 v0 P$ j

T4 ^6 I9 L# U& A+ r1 O M

) j; C2 ^+ y( b& \3 o: T

测试结果如下图：

% v5 t& e/ [9 E

---

# l% C3 @0 M1 m; D3 C# i: {, w

4 B" M4 o- z1 m: V% H. f

' @7 L* o8 C h5 M+ B) F' o9 K

* B' O' \9 q+ B+ w

哈哈嗅探到的东西少是因为这个域下才有几台机器 . s9 C- I* Y7 h

下面我们测试DNS欺骗，如图： `4 ]( d5 X) C! c* j

: _1 F y2 j# \) P- h+ S& N5 L

k, N- R0 n$ L( W t) a9 U/ w3 k + g0 F) \, z4 L* z- q

---

$ p, J R" D) r7 S( G

, v) F _% k. G- Z1 h3 G: L

( V2 ]3 y# [5 S7 r7 S' }) I- `8 S

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 7 h9 ?' c+ V4 Z$ ?5 b

' d0 [& M( b; m# d

1 U! z, o8 n/ _8 A, c8 ~% k( C8 Y# E

---

8 M* z+ x$ S3 W( H5 l1 w, x$ T6 M! W$ V

! i6 G4 ? I+ a. X1 w

9 d( \8 o6 ~# W' T7 h. g& L6 N

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

5 W0 b! J$ X1 M5 b

9 F$ f- x, Z+ b$ L9 J 6 、成功入侵交换机 & v) @+ R. k) g5 u O9 V& F

- D Y: |1 d5 F" a. }* H

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 / _5 h! m1 S) {( `, O, W( Q

我们进服务器看看，插有福吧看着面熟吧 8 a- i$ V9 S3 l, ], ] r

---

" R D& D& ^! M( F" r o; Y, M

) [) f4 m# e" S3 Z5 I

+ a& g* O+ L5 M* }8 p' ~ 装了思科交换机管理系统，我们继续看，有两个 管理员

: `1 I& }0 e$ H

---

. ?% K8 d6 Q8 }4 I: A; H8 ]

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

: @: _" P5 ~& B$ y4 D

) a& c1 H- \7 K5 y1 g - \, Z, {0 t) l9 ^0 R9 j q

---

4 \- m, K: N y2 A' V0 t/ q) o! D- O% [

5 S* ?; }( H& l- F" [1 V/ {

% q4 R0 a# w/ _" g- X7 {* N) ? # D* n- h3 M' G. L; p" R& c" s

( ]+ ~3 E+ }: I4 g- U m& g( {9 Y

( \# K! Z; ~# s& y& u% D% W: D 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： / {- ~- e+ [ p/ T' q- B

4 H& O& U. R6 }

---

8 h# _% H& e' | [- m& o$ V $ }5 ^" o- ?0 n3 a; N3 G+ w- C

( h/ ~$ G' @3 y1 r) i/ ]# B: \7 R" [

' F6 S7 n6 g* a+ K* ` 点config ，必须写好对应的communuity string 值，如图： w3 L. K# w" e' t1 |

---

/ w2 g' n4 W6 H% u9 o7 M

+ c4 m. ?: _6 [+ |2 U, ^7 C2 D4 j

! T. f; A" a2 Q6 n3 K7 s) q# ~ 3 ^, ?' f) ^4 F1 [( N) \$ v

b |3 ]3 k, y. V! ]

a- x; N! A$ |' w ?. ^* z5 S 远程登录看看，如图：

( C5 B2 k# X$ _; A* p9 C

" P2 e( v+ m2 B4 t o( r 2 E: K: u% p# N: W8 E% u

---

* q* ]0 A7 Q- P# g. @1 m" }7 A

% J+ U4 |6 T. G

直接进入特权模式，以此类推搞了将近70 台交换机如图：

3 @/ V c% S# X6 _( |3 C" R& l; E

---

; k' ]) k' i8 Z% X& P" ~- C

( Z. ?: n& a# [: {! \

& }/ Z* E$ w$ C2 h . y R$ S( U" j! K

5 C/ H4 b9 ~+ P9 t9 A) z7 _

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

---

0 e7 t* u: V3 v0 e/ W( h

/ \* I/ t- B2 F4 |* @( t: H 6 O( {& C& A* D# K5 e" E) @

确实可以读取配置文件的。 / P. b3 }$ G5 _1 ^) W3 }7 | R

- @3 K0 s7 v& U% P; J, X [

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 / E6 Y9 e! C8 L) F

---

( R# U3 U# Y+ s d8 u# D

6 j- O' |* {* Y% s8 S" G

7 E- [. W& D+ D$ g1 @/ Y8 v : m+ K. k9 F5 [. L) D

* p7 r8 z% m& ^' K3 K# K

. l) q1 O( |3 ], ]+ Y 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 ! P: H! h9 q- i0 Z1 ^1 X) e

---

; d$ F7 Z R, h; @) {0 v

( @" Y3 K; b9 ~$ X* v

5 S1 Q+ S5 D, Y" h

; o/ K" \; o) s% e% f* ?

. a! T- N+ _/ V- A+ E 上图千兆交换机管理系统。

- s- W: Q# k8 u7 U- l 7 、入侵山石网关防火墙

4 B* U! a- p3 g( w0 e

' S2 [" H* q( G& ^/ G! K 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

---

$ o) {* W2 L* v. ~7 [6 f ' v7 ]2 _" |6 L% S, r

5 H: j& Z% A/ V5 z& l! s* b+ ?9 Q$ ]1 t

" B* _( V) l$ Q 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

( ]/ }! S* g4 O. ~' X

( s; E- O! U- z6 K$ q, ]0 s 6 e# B4 o- l0 w- m4 c# H

---

1 k$ d) k$ w0 S& i, u) a1 H

. e, J" Q: E1 a) W" y4 Y

; p- P0 n8 F# c: ?* G0 {

然后登陆网关如图：**

; I) V7 Z: q% Q* s1 a6 m

; r6 }5 Q% y0 j4 u" B$ Z ' L9 I* D1 Q9 C1 A

---

) n+ h% q7 B: T4 b ?1 m

j: b" i; r6 b, y D# y) X A

, \+ P/ y, Z6 Z) M . Z y p9 x, u, k E

---

" x1 E/ x" S+ a

0 L( h9 G3 [, U9 H5 Z T* q# P

, X" @9 `1 Q2 {- [/ x, ?# L7 ~ 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** " d) y7 k% X1 q; r- m; h2 S

' E+ C3 ^* s; F3 e- ` 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 3 R7 x2 q8 v5 k

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** , b: Y+ v( h# H$ U3 A0 h1 ~

4 ~4 ?3 o: F6 ?2 K% q5 ?0 X 0 k* R' Y/ Y1 h7 e9 J" Z

---

/ S9 E/ v6 A+ h* q$ a0 ? # Q4 |- D! w) |* t

6 ~9 `5 m5 K# @4 C2 Y! I

+ n3 c) b# V+ l- A/ v/ j& b" O1 F) j

) b' E1 {! I3 ]+ L- ?, m 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 . u$ G& m8 w2 O" J8 O5 o

, v# C; \ h' z" w/ w# s0 l( B

  8 d+ p& t" n- N0 p S

2 C! V6 m' r; K" Q' a4 N1 K# o