记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。


如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。

* k% ]) v$ s) }9 o0 r; g, K( P
; a' }. Z1 C% w. Z% R2 k& G! m2 h+ z9 N因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
5 B$ C4 x; t6 Z" S( L0 i- _, A2 u
------------------------------------------------------------------------------------

/ _8 x1 Y4 Y2 I先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。
9 N8 X4 N9 }$ \1 ^( A5 h- Y# }7 O/ L
第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。


+ ?, _: E) z3 z2 u毫无疑问，IPAD又奖励到了。


于是我和社交网站的主管说：你要啥时候才给我部iPhone。
# s! H3 `4 ~% W" u9 Z' a+ W! z
& I0 \6 Z! ~3 x) D' ^4 s' I
; r' c. j* ?$ G9 S主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
: }2 M) Y/ |0 i; ~7 x# r8 _; N' p; }

4 ]4 ?& T. i! C4 _于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)

. Y, t$ u6 G4 N
主管回答:那就来把.打下来了给你iPhone5..

----------------------------------------------------------------------------------------------------------
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
- R( b# T. K( Z2 \- v
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
. F! P& }; v* j) Y* X( a

4 z9 Y9 S" Q; H  |好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.

5 {& ]9 x/ Y8 e/ |4 k% l* n
直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.

) X# g+ e7 W4 A, J8 l: A
对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
! I( Q) r: g1 o6 y  F
/ I  v4 N( P. N
. m  e4 \9 z4 R. j" {思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
$ f! p: i, L5 ], [3 k8 W
- M7 K9 H5 n* \* r4 B
于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
' E5 O' S* s- y# \/ k9 T

对方深信不疑。自然回去访问。


3 K" p2 Q8 @' b& r( R( h好把，大概等了几秒钟，WEB那边有session是记录了。


一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。


4 A$ z+ M$ a  {. J" v6 T4 {我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
6 O9 @$ |# R2 |7 y$ @* x
3 A- j) ]  {/ n( {
% w! M2 G) b, b- S. _) @  T5 vA管理员说是office2007 ，这样更加证明了我的探针是对的。


, `6 M4 p# C- L& z于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
2 p% H+ q* c/ N( J5 P6 ]- z! F

A管理自然就给了我，好把。 office 0day打之。

/ U( o3 |' a( C# b- Q! ~/ ]
打开远控，等着上线，可是就是没上。 出问题了。
* X& [5 i0 N( ^/ a: [

A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。

9 q6 f: ^9 X2 R( X  B1 R- O
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。

% Q8 q* a* ]; |( W- K1 n
同样的对方去访问了，系统应用很多被探测到了。
- c7 o9 O5 W8 ~
3 X  ?8 D) @# r; D" {- X; O# j0 I
好把，出口IP也是.14.
: i; i6 t/ \" \0 x1 y& H  t

7 u$ e! z. `2 F$ ^6 a" t6 Q没问题了。出口IP确定了。

/ s8 ^9 k+ P6 Y6 R2 }& e" E5 t. H6 J
于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
+ P5 u2 r6 F7 {1 c
) H) z4 e6 C+ O9 ?
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
3 @. i% y& @8 Z
; r$ W/ A% C5 Y
马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
8 i$ b/ {8 y  ?6 _2 v7 k5 Y

- R% D3 I1 e3 B& W8 g6 a. C; [net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
( E; c2 R& y7 F" t( v
7 s( [8 ]! }  R+ U7 @
; Q  E: I  T, q( ~2 P同时间通过密码记录，得到了内部Linux服务器的账户密码等。
/ ~: y) s' J( V% h) \7 D

向主管个人PC机进攻。
: N+ I& `, ?; i- |" ]+ e( [
简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。


于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。

2 W+ `- v7 a1 O0 t* w! x# F
* k0 |$ u; {; E& e9 J---------------------------------------------------------------------------------


晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
8 |" C' m3 \# L# y, C9 T6 ~
8 M3 s$ a3 A1 L9 N" G  z& M) Y
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone

- r# I/ t. W. D/ {" I7 v* r
: Q% Z$ @/ G$ r" B% K7 J我觉得人还是别太贪心了好。贪心会出事。


于是我坚决的把马给卸载了。

; ~: |% J: f* L) c* T" T' ?
! y7 K' _* p/ Q4 x7 B---------------------------------------------------------------------------------
7 }- `- l- x) u( p# T2 i对于后续攻击，我的思路如下了：

' Z5 F6 e0 }5 H3 n
+ o" ^# D& Q/ d3 w( g搜集内部员工的EMAIL，探针+office打之。
; K! w8 b) W* _+ u% F
7 L, Q( m8 U& A8 C; X, e, o
内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码


4 \! H, ]* J# z3 f通过登录A管理员公司邮箱发邮件下手。


; K, |' f0 w5 {. W内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
+ c: |, F6 \* n$ o* p
7 N% U3 T& Y' I; {厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
. y. l4 i& h+ P3 a8 I/ s8 N+ `-------------------------------------------------------------------------------
& m: v/ O  L/ i# X9 I3 s% y0 Q
最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
5 W0 I) j) O+ t! [4 @/ l* X9 w2 K