渗透测试某大型集团企业内网

admin

1 G" ~- a' A5 t" R2 v" ?7 p

]7 ]1 Q% ^: t

. S- z. U: Z1 j4 y, S 1、弱口令扫描提权进服务器 4 J% n, e4 h1 W3 ]5 j

) K8 S# ~. a, a. C2 |/ a

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

: q2 S0 g. Z( m" c2 l" Z ' N( x2 _8 L2 k+ |& |) M- x

---

" n% d& h' o& ]4 W2 @

7 V x2 U7 G, a; t m) E( o

( |# y5 U. \$ U+ l5 {

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 ! W0 {7 f1 l) @, k6 A

/ _+ c2 i" X1 G0 t! k( O 执行一下命令看看 1 [2 G8 e. j9 l+ \" T

: ?- F) y4 E$ m: V9 ^2 R: n

5 d7 q: P7 x0 b! K' Y M8 O0 U' s: B2 W* D

- B* b8 [3 l; U( @

0 k$ v9 V. A( S

---

+ W: Y- `5 a! Z5 p/ q: T

开了3389 ，直接加账号进去 - ]& ^, r b+ _. r

( [6 |/ Y* h( ?+ J4 m/ y& m

---

2 n, r/ p2 a3 M0 O6 B+ ?, l

/ C3 h$ M- U2 i

6 E9 C9 }" X. o

% i5 L( q+ _8 H" i6 i# Y- u, z 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 # |* p% F: n% Z4 F. J5 g: P, {

- g6 D% M5 f0 v9 {+ q - \( C4 R1 ~0 k) U. ~* z7 `( {7 o& _

---

, m8 G$ H# v+ G L! x8 {; ?

9 W7 _$ L- j% s

$ @; d4 X, u! P+ q9 J7 d# G

: R# B3 z% V7 J0 m 直接加个后门， : p# l6 v4 b% D

0 Z" o/ T6 _! ]8 F : J9 H1 v# W! r0 E( S0 P& R' {

5 }. v! l* N! P / q0 \+ I% s- s& _9 k

---

/ X, I9 Z. _3 f! H- C; Y% c

1 l+ n. ~3 J0 Y6 S' c, ~8 n 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 4 ?- E3 ~, u$ z4 q% k+ ]7 [6 e

7 H1 Y/ b. d+ }8 D7 H d. y

2 、域环境下渗透搞定域内全部机器

7 @5 m& S& I$ F1 E7 u8 B

) C; z5 D. Y8 l! y5 k$ C- y 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 . g2 R1 G! I7 D& b" K

5 A B' k4 [) n/ A

1 b4 L8 B0 n& U& `% p

---

% Q, ?) J; [5 Q( [* C& @- f7 Q- V/ H . v- G' {' o' ]3 Q1 i" ^0 [$ e# V+ y

1 @$ o$ G* }7 k" f& |

0 x! s" s) f2 h1 K1 O* t

. j) k, A$ o; W- X) R

0 n8 ^1 U9 p/ c5 o; Y- C 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 3 O. V: ~! f9 u+ J5 V7 ?

0 X/ a! l0 w' j; l% K2 G% [$ l, F8 t

, j, d# Z& K6 m/ ] p ( C4 t* N, C J; U0 z5 Y/ T7 K! i

---

# Q% v$ l1 B3 a! j; e

9 K- p* ]- k' w6 B0 o: k! Z5 w4 A6 e 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： 2 O% O/ g/ f4 x5 W7 n; b

1 Y$ ]' t" n; W

---

' t, z6 @# ^7 L$ I$ R! G

% z/ q2 F( C; d. q

) F" z# M9 @6 P/ Q1 \5 } 利用cluster 这个用户我们远程登录一下域服务器如图： & z" K$ o6 ^' L$ w

8 O5 V; @3 [, t" M* I2 ?. S

. B: F. U" K9 y" O) |. b " K- R( j2 b- \/ V) f+ t; z- T

---

) D( Y4 r7 V. k3 l( p7 f7 I

' o1 D- a" f3 N# K' u% i; ]! _ 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

7 e0 f% K1 |& d7 k

" m& J5 \& x7 T6 J {* T

---

+ M. F0 r5 y7 i # G. e& _* d6 P

" e V: e9 q8 n; W1 o 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

0 d% }4 k9 T9 M: z : O. n( @1 o5 K1 h- V7 w

H) F1 D' y' j6 J; W N 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping , K0 J6 s+ S( M6 c8 r

1 m1 O! X+ f+ ~ blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

! @5 m- J( O/ a

I- }! e& {& w6 i/ j! I

---

; y m- E8 o5 N# j* S3 k

& K, S8 `, ?( _* ~# m: t& E4 Q9 H$ A

: A9 i) t$ H' P7 K" i " \, s) \2 [2 P- ?

0 J( f# h5 D, l' E& m 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

( c' ^- v& Q% t6 V4 `7 |4 i

* ]8 T5 c: D" i7 m% Z1 D0 v w& C2 ~% K9 V" ~" ?) m

---

F# q1 E3 i- O7 N

N5 j* G4 e3 Q" x

, Z2 d5 b0 U5 g+ K( S! L1 l 利用ms08067 成功溢出服务器，成功登录服务器

- a8 s3 e4 q$ ~7 k/ E H+ U

---

( g0 x. U* s! }! \+ g/ m8 i- M; x

* u u" K) H% ?. r/ a0 ]' V

/ G; `7 @ g- b% ?1 f% l# { 3 G5 J& ^; P: |: D

/ _# t- e4 r; q/ z9 ^: K 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

4 `- k7 E$ Z' f+ o! X

$ L# N- R! O* Q% n/ t) o4 j 这样两个域我们就全部拿下了。 6 ^& z3 ^/ A) C) I+ x4 B3 ~

/ o* B) z0 M& \) D' c7 l

$ |1 o6 Q; X1 H" V# I4 \! g- g5 R+ } 3 、通过oa 系统入侵进服务器

8 o- ^7 a) A- B$ x& K e

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

. D% N3 V/ N5 ?; E1 v

---

' p1 R, Y, Q2 J8 R7 \0 l

: z! q0 ~- f+ |5 r$ L4 o 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

! \1 O0 i/ x5 {4 R3 `/ z+ x( k

---

6 f: q- z D/ R& p % `' }: l1 h0 i. c! g

( b7 U; p7 d+ e0 i8 ? A9 A) ?

填写错误标记开扫结果如下

6 q ?& y2 Y; g+ |, q& F/ m

---

8 O. ~5 u! b$ e. Y8 \$ m% ]" ]' x v

1 c4 K; M: W5 U" h3 Y/ ]% s

' ?# l9 G& q e" `: b2 ` 下面我们进OA

9 p6 f$ ?; r6 O0 \

7 T3 b7 K. E$ j8 ~* M% ?$ B

---

% A# v$ q/ X7 g+ a' M

( M: F7 O0 b/ U Z8 |' G+ r$ U& A: i

) `+ f! W3 j+ Y Y * N4 `. W1 k6 E. T/ G" l+ [

" }9 O/ F; g; _2 b/ u 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

) H5 r5 B, b6 G" p5 E

---

7 i5 O: ] } h& A! p

% n+ f" Y6 I) \: \, a/ X

$ K' X8 U" X% l) f 7 J7 ?! X- _! L3 j

0 n" M, |( C( _( A, ~' W) M

7 C0 G: j' B5 ^- I* | q

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 ' n7 X8 S$ w( e$ |/ `

4 、利用tomcat 提权进服务器 : {8 ^+ D$ w4 A$ ]

用nessus 扫描目标ip 发现如图 ; J5 Q. C6 q ?( K5 a4 ~

. e/ k# n8 @9 Q: X3 M + r% t0 e. j) l7 R: r* X3 i) ]5 t

---

& M: ~5 {/ _6 E8 z- p. T4 P

( U/ j+ f) f1 G+ N1 q ~

( k7 M% b9 d9 R

登录如图： 8 I$ ?. r* ~ I

; Y. ?; ?% g6 e0 \& F

---

0 L2 o: A. g1 v& Y

. Y# u$ M8 W/ M+ W, Y6 }

1 P% K8 j2 D8 n5 A& N

' W7 k. u# t, }0 j* B) X' k 找个上传的地方上传如图： / t( B2 r$ X7 X/ l( p

5 n# K) {$ c( h) r

8 e3 r% \1 J$ E$ s0 V' d ; b! y) a' V$ |0 {5 ?2 v9 d0 r

---

! \4 W! C" y |3 h

, v" S ]& X5 ~) g- K4 _ 然后就是同样执行命令提权，过程不在写了 . F$ x" n, o( }0 g

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

( l4 Q8 l, [- p3 l# F( U 首先测试ARP 嗅探如图

6 b' _4 o' F$ F' e i" ^

/ T0 M0 x$ |6 w% L& ?* l$ r- r ! y, a# X; a4 V

---

3 _) d+ T B1 c/ V) c! m' }) C& y

0 \; W5 ]) f/ h' \: | 0 T9 l! J) o* l! S+ o+ K

) k; n0 c& D) T! C 测试结果如下图：

4 k$ V$ Z7 T$ T. ?

5 y$ W5 j0 v6 w" i: c3 t ?

---

( X* @$ y1 d0 o

3 i$ x8 @: [1 O: _% |9 B+ k

哈哈嗅探到的东西少是因为这个域下才有几台机器

5 B1 T9 t( H) d( C5 `9 r4 z 下面我们测试DNS欺骗，如图： ( g0 M2 H6 c9 }" `0 ~

2 N: M) l z' ^/ W, i0 z

---

+ B' v0 I1 R/ Q* A$ i) z 7 X& N3 u/ @. w( _# r n8 c" j

5 I( B' s5 d0 c5 G5 h3 f

9 w! ^+ j8 ^% ]

10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

/ z1 K0 T/ H0 |% I

( t& t/ N/ V7 z/ s" K3 W: h) f

---

/ c Q* y0 M7 L) Z5 U F

0 ~. ^9 I* E! w5 e, V1 w* Y! }" X

% H: H; q9 Y7 }+ T& M + o( M/ ^# `; U6 b5 a

（注：欺骗这个过程由于我之前录制了教程，截图教程了） 1 N5 B8 L( B: X% ~

! x) ]$ j4 i- M. u

/ b* M4 k4 R1 S! H, p* q 6 、成功入侵交换机 7 j( p( _) i7 X4 A' ]4 [

4 P; l( [' p" @8 a

! B4 q5 t& s$ u: I7 k! q' d 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 3 l* |( q s- A

我们进服务器看看，插有福吧看着面熟吧 7 p7 a1 p* o/ |

! P* t3 F8 f4 C5 u c

0 p# H5 p ]2 a( w5 C i

---

8 q8 X, X7 ^4 e

. T6 q# l) |, h V 装了思科交换机管理系统，我们继续看，有两个 管理员 % Q! ^3 T7 N. y2 A+ W6 @/ V) G

' |) S' i' l+ s4 w4 j; s

2 }" A( S( D0 q

---

) z7 |, Q9 I, c" W; t

8 I! y0 U6 Q, V4 I' N: y; g: Z/ H# Z

/ }- R# E8 |% b3 @5 {5 w4 k; w, ^ 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

---

* k; D2 n, @4 [9 h/ k& A7 v0 _

! `* Z0 R% ?! O2 @+ F

6 p. a8 {* J- S6 L8 I

! @; i0 ^9 ?% q 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： & n1 O- }$ ~' d& T0 X0 D. p& U

" h/ p0 |, S# }$ b% v. s

8 l) E0 b* ]1 a8 n7 N+ i ) J3 Y5 O& D1 [' x

---

$ O( i# q5 }% J$ d. f, [" C

0 R Z5 z+ d# I# R$ o. O8 f1 `

点config ，必须写好对应的communuity string 值，如图： , K8 ~% [6 R* l1 H% |( f* z

---

8 h# x2 R& k0 X

! U6 z" d9 c, F$ h

1 f1 z2 |! O& w

远程登录看看，如图：

3 R, n& R G! v' V, P) U8 @

- ?# K/ r8 Y' N8 {1 T3 K2 {

---

+ y' {) z$ \5 T2 [. H

, v3 I, B X( P8 n7 C

# {5 j5 I6 r# V/ ~; e

9 \. `4 A; ~3 Z, m

直接进入特权模式，以此类推搞了将近70 台交换机如图：

# ~5 U. y3 _. s' D; A 8 `: p3 H& O3 T7 x

---

0 Q6 s- c& [. @% Q, J8 ?

; ]3 H1 N r% E" O3 f 1 g7 q4 r/ }9 W8 K0 [

7 J1 Y3 m. h% t

3 i* V0 v$ X: N/ s, R. J8 n2 U 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 6 N% T* ^" x) T0 z) p2 s

# l) R! w) v9 q# M( c' v

---

l, p& J5 u$ b) ~8 M1 t ) G# W7 b+ W. G! ?5 H

% @) ~* G6 T3 g7 d' [, h. @

4 [- f k( |( ~( j % _( S+ w/ E. t+ B# f. _

0 ^* H4 w6 O6 k% _2 n2 O7 J* o6 b 确实可以读取配置文件的。

+ x3 M, i6 B7 @3 @6 \. g

* E/ _1 j% n u3 d9 h# M 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 - u9 {6 M" q ~3 H2 Z, y

---

/ E2 I- ?. b5 V' c3 M) V

" d' F7 L4 b) X- q2 o. B

* ]' b* h3 F" u

- G( G* p4 m T6 L5 s5 r

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 % s) x. E' \4 P3 Q

/ F. A7 ^( w" y1 e+ x

---

- F1 Z5 r$ L+ X6 {! u/ h

8 R4 K2 X; K. ~+ y

, X' z( ~" R. Q) b

0 g1 v+ s9 I( C: c' i

上图千兆交换机管理系统。

) F- C% a3 R2 t* s4 @. g/ d! A9 f" V

7 、入侵山石网关防火墙 " H+ | W. h q

: X3 ?5 V: A+ |, w$ ~ f

1 X/ k x. b+ }8 F 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

" q% Z, j+ E5 a; N" V

---

, Z; T3 l2 D% Y/ I. V! S( p

7 B, d( r L% F+ k) c4 t' L

7 D- f$ Q' U* v6 X2 D6 ? 4 z) `( S6 J& c$ W6 J$ f

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： & v" y7 _* K8 I" z+ ~7 k5 U

; `% a* C4 l2 b3 u. Z: v

. L: r$ i# J5 r8 |# D 2 ^' m1 b$ n/ @. l& b9 r

---

% I- G( y' M } {5 R% S

5 D. Y2 J. X+ t; h3 F. B M/ ?9 w

然后登陆网关如图：**

---

0 U7 |( T2 s' Q- c# F- n: j: L

( e' _. I5 y) G! e$ \# @; [: Y

6 P5 M) F$ d8 C; M5 w" v$ S3 i4 V2 q

' K: w& S+ K7 i/ y5 u

---

7 Z7 \8 b8 u' A& Z$ Z, p! m

9 g5 e& [! K6 I9 i+ R

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 6 a3 R8 m, D& d; C2 x, T% W* A

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

) Q+ B4 w) Y! r$ B% |; Z4 R

$ w) D; N4 a, o

---

+ c: G! S3 S+ d- B; q) B

9 A/ Z# t6 V b. D5 O z1 n2 l ~" t7 e

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

% Y, m: z! m- s f: W! v: V

 

1 S5 _& s3 \! b

+ k5 Q) z) U- V! i# N
/ A- \; v5 u# z