记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
  X' x/ w* D) w: h1 e2 h

如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。

4 \  G- H# Z! l9 w: u" o  Q6 L
$ N5 ^' s7 V( q. u, y. n' ]/ y: x4 b因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
1 R3 C* N# Q: ^$ W
------------------------------------------------------------------------------------

* Z* b5 L4 ]1 C6 I先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

1 C( o& S  W7 @- G! m: T第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
7 {% l9 o0 J! q' D. p, [% M7 E) n

毫无疑问，IPAD又奖励到了。
1 f8 J, I# r' h5 r8 d2 w3 c2 ~' c
: ^8 a  N6 ?  E
于是我和社交网站的主管说：你要啥时候才给我部iPhone。

! W6 E, r( G, |+ R
0 K" r/ A1 a. }; S主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
! }( O4 v# i" Y' A
& K3 [% b, `9 v5 E
) \5 b" o* v0 S: R# Y, x于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)

; f' N0 u$ N- l* e1 [8 h7 J) v
3 l/ G  l, |. g/ r3 Z  R主管回答:那就来把.打下来了给你iPhone5..
* B0 Z5 v  p# r  o% a, u
----------------------------------------------------------------------------------------------------------
. i* ?: b2 W% X/ j0 a( W, R, mA公司的外部保密做的还行，找不到几个员工的公司邮件地址。

之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.

$ V7 o, Z3 p7 c7 _$ ]5 S2 `9 f
好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
* `4 O, R- B; z
( s0 `/ W' y" k/ t1 c( ^. ]0 ?
直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.


5 R8 T+ z# J& E3 L& M对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把


思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。


3 T8 s5 K5 p  B3 ]- e于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
4 U( J6 p1 H! H4 P
8 i4 `7 {. Q5 t' {( T
对方深信不疑。自然回去访问。
1 _3 \/ G; x0 V1 n( `3 x; q
6 s# F7 ~- [4 S4 g) }" Q
好把，大概等了几秒钟，WEB那边有session是记录了。
6 I+ d5 r% D8 Z; S" T
4 i' ~, ?: o5 N. A# A  o; p
一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。
) O* a2 r! s2 X$ f
1 ^8 P. |! P# b
0 S; K# F! z/ _& ]6 z4 i我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
: j. x9 ^7 g$ l/ j! d; K# C% Z
/ h: G. a6 l4 m* B  N" Q, L
A管理员说是office2007 ，这样更加证明了我的探针是对的。


$ Q$ q. u/ Z! \3 B% G于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
, \; E+ k9 ?$ O! I. q4 j/ G
1 t; S2 o5 R/ F; x
( t2 `+ I: o% x/ r& t- BA管理自然就给了我，好把。 office 0day打之。
2 f& w- i! ~' a- m
+ C" e4 n3 z! I& Y. T2 C- Q9 U
打开远控，等着上线，可是就是没上。 出问题了。
4 v( a" i5 F& H
+ e, E$ m- Y6 {) K2 R
" B* Q) o$ `( uA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
) b  `3 B" o2 Y6 a' B& j
! p2 s" m/ X4 m
6 U# ]  |! m" k& g, _9 W为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。


同样的对方去访问了，系统应用很多被探测到了。

- [# m+ A9 |; k# i. T
3 D$ [* B! p* E' n, B好把，出口IP也是.14.


5 l; ]9 o4 a/ R) q8 g) G5 b没问题了。出口IP确定了。
" W; t* {. k9 Y. y# O
1 \; h0 l0 h% }2 @
于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
' r7 u- F  H5 V# N9 U/ Y

/ R: t4 k7 h: y1 o马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。


马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
4 q7 e9 ?$ |" u( ~

- E6 |; m/ L- e7 `9 @. U) Xnet view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。


同时间通过密码记录，得到了内部Linux服务器的账户密码等。


向主管个人PC机进攻。

简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。

6 U% G( ?0 Z( S: Q1 Z
于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。


---------------------------------------------------------------------------------

8 V5 s5 T% ~' t5 v. D) ]! K- v
晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
# r$ D! U% c1 g3 U/ B

8 M# U' }$ [0 J+ a4 k晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone

" m% Y5 b( B. N! U3 h- \+ k, r* B  i
我觉得人还是别太贪心了好。贪心会出事。
" t; q; Y8 C0 f- Y. O6 U4 B+ v
% [. J/ Q/ ^( L8 Y6 D
0 ^' @+ X! q* p. Z8 {5 I2 |) S5 P于是我坚决的把马给卸载了。


---------------------------------------------------------------------------------
对于后续攻击，我的思路如下了：
; J  h" p& R# A- g4 f  ?
* |! t7 P) E& W) Y6 ^0 E0 Y
搜集内部员工的EMAIL，探针+office打之。


& d8 e4 g& c1 Y0 N9 C: g% i内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
5 W9 H' Y  S' q2 h" a, `( P

通过登录A管理员公司邮箱发邮件下手。
0 Z7 m& ]( X* w9 y$ T) B( K9 V

内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
- v' P! U5 s1 @: E* A& y: a. x4 Y- r7 I
2 f" P) ]! Q" ~4 p( i厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
-------------------------------------------------------------------------------

& ]' `) v+ f4 e6 A5 E$ w$ a, F最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
. l0 j( w5 s8 q* e* H6 v* q( L