渗透测试某大型集团企业内网

admin

! ]3 o$ c, y5 b
) y9 y' b3 L" y. x. R+ r" J( R

, |; b0 Z6 R0 o# c 1、弱口令扫描提权进服务器

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: ( S; v; N8 a. t4 p* G

---

% z' S2 ?( e, K- Y5 R o* p' ] 2 p# N& B- o4 C5 S3 w6 L

, |" L, t6 Y3 u& M9 R, n9 H$ Y

, W% L: D x: ?: o: h; p3 [

[5 \& h3 R( l, l8 R1 \

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

执行一下命令看看 E8 B& D$ L+ | |. G, r. H

, G% f! {1 x$ T# d( Q

; V" E% j/ F. m' Y- s

6 v. m& ]; \) g" E2 p T6 l3 [! n" b8 G

---

5 l& }: Z: R* T7 P& J% j

" w! Y: T6 ~* r, H U5 R& w8 A 开了3389 ，直接加账号进去 v3 f) Y, u6 k

---

/ Q$ y; S- l8 o6 l. L

8 C# T" @- y1 z1 P- W% H 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 + y# R f @/ B! u6 V+ d4 k

0 d! O9 x3 y. \" L& Q

---

9 Q+ t% @' c& l

2 e3 s( B' Y. @5 L. W7 m

- G7 j* K/ M2 Q4 |0 x* }" B

, p! E* b/ b9 J( B- z 直接加个后门，

+ U1 O- Y4 _# N' @; o

+ s7 Q6 q7 [! K' [9 ]+ [

---

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

5 |5 r3 m8 c% z+ P) @

. ~8 l$ F. H' O2 c" ?9 u& \/ U 2 、域环境下渗透搞定域内全部机器

3 `- J- Q9 ~$ Y3 _

" m/ c# D- N3 `* Q& T 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 # W8 B, \) F5 B& A9 Y3 f4 o+ q: o

- h- K0 j. A# K$ L8 s

---

" b. U# S- E# p

' E, i @6 ?9 @: k/ a 0 M! N$ {) _3 `; L) |) t; _

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

0 Q/ G0 ?( ^% i

" y* Q3 a" b1 c5 P; z d0 E/ }4 D _2 f2 ^

---

; l/ l) c9 {' ^0 I1 }) @9 ~

# r6 t4 D$ f5 f% w" I, i" F

: K2 |. u. a4 I: R0 E H 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： 2 G( |& R2 ^6 K, O- p8 E

( d' J5 R# g$ G; ^ # k/ r: S- {, U: O2 C$ y: D+ i; Z

---

% A, K5 j8 U$ j, G) h, r9 U6 ~/ k

6 k2 Y+ X+ o0 M

, N: C! {" I$ I# B8 D0 l 利用cluster 这个用户我们远程登录一下域服务器如图：

( B2 b+ S2 T, g1 B' O

3 {+ ?5 }) i" j' n) x

---

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

$ B" n0 S% q5 i

---

0 D7 w( Y: c9 i1 A0 ]% J( N8 N , x6 b2 e3 r! B1 ^) d0 L

3 B1 I( j6 H2 O

6 Z2 c( H+ x+ M9 \ 7 G( Y% o" w# R& ^/ b) ]

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

$ ?4 n. O x2 S+ }/ u1 B* l

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

: V5 e+ d$ u$ O2 G3 k% V

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： " M' c8 N9 w7 T0 m

3 x g3 b4 Y3 v% v ) T3 D# G5 b& {' R: c4 I4 W

---

0 w! [% c- l5 T8 {9 K% v ) @6 r$ V! e; S1 j% l2 G* p

Q& ]) I5 i% k# K 6 L$ [% O+ c% j9 m: h: Z

- f0 e4 X4 ~' q6 o$ @" u

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 2 F9 p7 F7 y* y2 J/ b, b' u

8 C& A6 ?* N! I$ p l

---

: H- b! c4 O6 C: V6 n. M$ O& l + o0 `. ^' i, E8 J- W

h X8 ]: ^$ L4 ~% d! }

" W3 ~/ I* c* _+ H4 Z j" J- y' y' G

: y4 V# B8 H; n 利用ms08067 成功溢出服务器，成功登录服务器

2 _( j7 `: `7 C- L

---

4 u( T2 I, ?& Y- W# b. w5 r- I' x# `

- J# Q4 w4 N+ Q) |+ e

9 O+ Q$ a7 U; T1 u 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

L, O( F5 Q$ ~2 u! N 这样两个域我们就全部拿下了。

, |4 P2 s6 o _+ N& X 3 、通过oa 系统入侵进服务器 " q% U1 }7 q: {5 w; j1 |* U

9 F# y3 a5 m* X8 V; |# D Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

- Q2 K' O$ Y% X# Y6 K9 i* G- g ; s; r/ V/ \+ e) ~# z

---

' q4 [$ C% x L" Z/ f3 z2 s* Y

3 J: B5 t3 d E* X! S $ W# N( t4 k( \, z$ U

; N: \, T% J* A5 r) `5 f) r 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

( h& H- ~5 Y f' s

---

# z0 |+ Q7 A( F6 U9 s, ^ ( I. T: o" S0 c9 X B

$ [- X, Y( M1 c2 s* z

+ h* n& [6 _0 `

! M- p2 m7 Z6 Y- S/ h 填写错误标记开扫结果如下 % h7 g' u, v; N% ]# f3 |

% U8 }! g) H1 l3 {5 B2 ]; R

! ?8 n: P2 @3 p* ` 8 h" b/ n1 D; |$ |2 N/ a

---

5 O5 I- v. j0 _# S) f

6 A' D* D- h& y, V- P+ b/ i5 G$ T

7 `+ Y* e9 n0 m

, d2 F( j9 _3 D$ Q 下面我们进OA

---

7 t; {9 P( ~+ I; G$ X / i+ T& l+ a8 S: F# Z

v* x: H$ Q4 [ ; B* B* B' D/ a0 ]3 i G

, D, C& C# f2 b2 C7 p 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 ; S: U# a2 X7 Z

9 r; q. S$ i: n7 Q5 M# ]; y) U

1 I1 |6 p* X& H0 r. w' w , r( r: ?7 K7 H$ J

---

' ~' ^, X1 s) A3 h3 k' U' H" @, H

" m- N- k/ n: E0 o

1 p; @+ Y/ F- w/ H 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

4 、利用tomcat 提权进服务器 . c$ R: Y( t K( k" O

$ c$ g9 V0 _' u1 {/ a! v" H

用nessus 扫描目标ip 发现如图 1 w; ]8 f4 ~. `+ m( y+ u5 ?( o

6 H& l- j) ^: [ I* n

---

7 i- R$ X% L% C5 w* A# x

% b5 j. E0 e( B

; ?; A8 T0 r# J) ~& Q" j/ ` 登录如图： ! w3 I# S9 l2 d* m9 P ~

1 P* U. M! Z9 }* a) C) o

L A. @9 o/ q 9 I% O! e7 V0 Y- p2 n0 F' E

---

, g0 n% `/ G+ B) K' q3 E- l

# y7 G7 G) B5 D5 E' ?* ~& S 4 p: n% }3 Z! |9 c0 m

3 [4 U6 R7 X% [3 l: v. @ 找个上传的地方上传如图：

) c2 H+ C2 ]! ^5 |& L, H: a

---

- q- T2 p% X/ M& n2 U

$ ~( S1 g d/ q4 ]: J) p 2 O1 x; w: W0 z5 s0 t

2 }7 l9 D. F- N6 D 然后就是同样执行命令提权，过程不在写了

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

7 B6 Q* a; ~# w. b c! u# F

首先测试ARP 嗅探如图

6 a: O; u$ s# _9 E

; Y$ `% S0 N% E, V+ J( A, U; S 2 O& z/ @% b7 n0 F7 X q5 N/ F6 @

---

" c; q9 }( B8 v+ p8 \! ]

6 `( q7 p* t7 `9 r8 l

: G8 b: c3 }; P1 ~) {8 B 2 n6 r7 x; ]. R* y3 \2 W

0 j* c0 I' _. t

测试结果如下图：

2 _1 t/ f9 Z- n: S* j" ]4 g+ v

! Q% N j5 F( V4 Z+ N# s 6 h8 Q0 Q& ^. o3 o, G

---

; j7 [7 X& K+ Q) N) Z$ l/ t

2 x7 D2 q) x7 X8 n* j

哈哈嗅探到的东西少是因为这个域下才有几台机器 4 H* [" h+ E4 U& @

6 H c& q1 y4 y3 x& F# `

下面我们测试DNS欺骗，如图：

9 ~& b9 P- u6 n6 h

8 ?" a/ `/ e% i

---

; X9 U; ?# Q* p4 t6 e% Q# Y, y $ ?3 U, {. `. U7 w k0 ^

5 H9 {8 c% Y5 \

' L$ A. E- O$ V# C5 d

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 3 V2 U5 n: p) Q% j

) @+ K; N8 ?. h' V d% ~* H

---

5 |3 C0 p& X4 |, P: T , h# u: m0 J/ n4 Z0 M! K* V/ s! n

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

: @& Z; T7 X8 Y% t 6 、成功入侵交换机

# g$ t$ @& H# A# x1 a) s: [

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 ; H, Q" Q1 w' @5 f: H! C2 h# t

" X J7 D1 ~3 J- E 我们进服务器看看，插有福吧看着面熟吧 ] T7 l6 Z2 d- o' L+ f

5 {3 h1 j, v' V

---

# \' E5 Y) w; A/ ?6 U

7 f, \6 D+ E4 @2 q4 o9 f- d

0 O4 E# j8 L+ J$ A

* b& l4 L6 P; s" t9 f# L 装了思科交换机管理系统，我们继续看，有两个 管理员 % C, N. i3 [/ |# c* m. B

2 m# x! P/ F+ N. i* B ) W" y3 `' T1 Z* w/ P" ~

---

2 @6 _2 p/ M( d! i- H

2 ?6 F( ^* B2 g% z / S0 c8 U! f/ |" h

+ q! e6 N N5 C# O6 {* _$ u

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

---

0 }% X, @$ v8 @ t7 H

! U( I" e& y- b* I) c

4 T$ |) @* Q3 U0 Z: [0 ~ ]9 i+ N 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

, _) B4 P0 @6 |# j% i, L

; [* L5 d& R4 n1 v1 V5 w' t

---

, p* w4 `2 j& s* ?- E$ M

. C! F) e2 j) B/ N2 z" r - s' p2 t3 n7 v' l; M

/ X0 E0 k9 G6 `* ]! Y

$ Z% f% g1 `* e9 G 点config ，必须写好对应的communuity string 值，如图：

9 m% c. Y ?6 f, r, g5 X

8 y) a4 _4 r+ Q/ x

---

$ v5 Y. X9 m6 g2 d

3 A7 u% c+ e0 {' {1 D F' g

, Y! i- `, U+ u2 J+ C 远程登录看看，如图：

0 [' B3 \; T+ S6 h7 \7 P- L

---

8 k2 |4 ^% ] g" Z' D

+ C3 R% }( v- H" m6 c- ?

* i' b7 s' d+ R4 \% a0 x% g 直接进入特权模式，以此类推搞了将近70 台交换机如图： $ {7 B# W* [0 f9 E

+ z) N$ K! |0 A4 s) d. v5 c

. A) U# s7 l/ \; U; ~; l: j* m R$ m- V" y" U2 y2 S- m& v

---

: X$ m5 a5 H( y7 I E! L8 v% | 9 J u1 r# o& m) G6 |) P

8 |8 F* x0 a- f z# p3 h" s: F7 C

5 b. I; p8 u {

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** # W4 z: _, O7 Y) Q1 h; l

W+ o! I% `; M4 T# G* j) d( D

---

7 ]$ F4 Z/ `8 P* P. q

确实可以读取配置文件的。

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 7 A2 t) n: m! O; p

---

: {0 Y& E0 g# q& k% G & h5 I& L+ }' w1 J+ Y$ e; b

9 x* g: d% F5 }6 K e. I 6 z$ G n3 G; d7 v r

% n8 Q( k- e2 {: e6 d8 p& q

6 L6 V4 A( t; P5 B( m 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 : H* b& ?" @- K

S+ O6 ~* W: e% T3 w {) Y4 }0 d' W

) s# C" c G1 R1 E# _

---

$ a4 C5 G1 t; V* M' Y# C8 u + G |& p3 i! H' c

% h( r, x+ X* P$ k

0 d0 z6 I |2 {7 C6 f& O( @- s% u( ]" U . x& d! d7 O) _. D+ I! R' b

. D# |0 c" E" H# t

, m% a& m5 H4 A: q 上图千兆交换机管理系统。

7 、入侵山石网关防火墙

7 J4 H7 U A, D! ^; e2 \/ L0 s

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

3 w0 `/ s& O0 t- N0 c) G9 W1 H: w

---

3 X+ V3 r" }5 e4 u

" `; M& M d; n3 b

( X g- E8 X- w$ c7 i8 `( S( [ 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 7 ^0 O5 W# B$ \' U

! F' B7 z( ~! s" V' m& l, n% e

---

" M" ~. c/ Y/ k) X& `4 x; x

3 P7 W% y+ G( \+ i/ F9 j

w4 p1 f, {" Z; e' p1 | 3 Y9 I9 O' Z7 C F; h+ T+ U

) H8 `' q/ `% G- e 然后登陆网关如图：**

+ d$ F2 `) `" B2 J5 L% o* M, X: ^. t

---

( Y9 k" P% y0 i; l) `0 }- a 9 y- Q$ e* H* {/ y! [

( b8 ?3 X# D* `( H# ~" u* S7 j7 n 3 S) K' P3 d2 h

# y7 p7 Z" ~* O/ k9 [4 Z

4 `/ V x, E9 O2 h; ~- Z 9 a* }, Q2 z) {2 H$ @ m- |

---

6 _/ m+ {7 ~5 w3 C: b7 D 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 7 j- U& b! q' H1 p& [

: R' P" s" V5 W( R. {9 g- V

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 1 D0 n- _4 A" `4 [

2 }. q, _8 F. U6 `2 K

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** & L4 `6 i$ W9 N$ p- F

4 }5 x* T6 q& ^* X5 m

---

" {- s' E7 q( p1 l) Q

- c6 m; d; D, U$ {3 c8 |

; ^& @* A# `4 w- p4 I

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 / K0 @' H1 u9 s$ A. d0 l

 

0 r& d" X: G: R( a