渗透测试某大型集团企业内网

admin

3 M* a; c. X' t6 u7 L; ?* g

x; x6 @/ }" B" C% X

) n1 k: q+ Y0 W' N3 B. n 1、弱口令扫描提权进服务器 + y3 b7 k: ^/ D9 W0 S" V

4 x1 g! ~1 F4 A0 k

! g4 |+ e4 B' C) S 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

D% K1 K1 |7 M* y & P. ]) X( J$ E0 R" w# @$ x

---

, n; a0 h. V6 _, H

2 q9 X. E* g0 |# D

* F# P& f, y$ c# d, Z

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

执行一下命令看看 5 Z! G" L) b; ^% N! C# P

0 w8 c5 ~8 u9 K7 F: R4 ]

---

9 u) b& `' J2 O+ U8 Q8 [

开了3389 ，直接加账号进去 1 L) w4 b: E; Y. L: s& W8 q1 D

5 h- m7 K7 g! v7 T

---

; Y4 [1 P# Z2 a( C8 T- v

. o# ?& \! ?6 k: s" m- U( S + P- C" I& g. [3 F# N% |/ j" o; {

( n9 _! Z* m3 J5 {6 f

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

9 ^4 i+ A" b+ i

$ F8 N* C) b% m , P% N6 _ q, g

---

$ e# r8 P' [- F

1 @0 b. U3 y1 @- s$ b# `/ a

2 g$ x9 \' b+ L

+ W4 q- `! i1 f% O 直接加个后门，

* V8 a7 @2 [( }4 E# ]% O

* F# h7 v, n: g- l' S

---

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 , H* [, i& _2 o' m! N

# p( g2 S: t! M8 Y) A0 I6 H8 z' d

/ G# ]& e* u5 P& ? 2 、域环境下渗透搞定域内全部机器 ) {5 M- V8 `2 c2 n7 V

0 y+ I J: z' L+ L: n) @ 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

' B/ J) p$ O3 O0 i4 t6 Q* ~

---

( Q1 W/ i8 Y7 J1 m, [4 [1 r

6 w6 S- A2 X5 y- x$ m* b9 @5 ~

; U) ~% ?- [9 h' {, G/ t' k 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 ! ~ q! T7 \% M' p7 w5 O

" T# l/ P: s9 i9 B

6 V( \- m* P7 b- h' | 6 l' }6 g( v/ d' ]4 x

---

, P6 I" a& v* [- h( I- E

: r4 O9 `- X0 F6 K1 { a

7 J$ s# }; |& C! J5 N0 G* ?$ [3 E 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

% X/ Z# a$ x6 r# G# j# y8 K6 O) G 3 V4 L- e0 b4 W, e4 b6 f: G

---

4 X9 H) H$ Y1 {) t5 I6 d - B# Y% H9 d Z/ l6 I! O

: H: a! T5 h$ S

利用cluster 这个用户我们远程登录一下域服务器如图：

# U+ x! F4 |/ J! j

---

) g$ C+ N5 r2 w9 C ! y; `- h: c$ A% ^5 f0 c' Z- y

* k) ]6 F: Q6 ~$ c7 w 3 Y: c7 U5 ]) C4 }, O

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

" J( r: y1 D7 m; u0 t

---

* m9 _- H0 S7 R4 Z1 w

/ L# u) ~- ] {- e( m: z! H8 n

, z& M+ b* ]- V+ v) c

* a& h2 Z- S4 o. Z0 D1 q3 D, O3 ~ 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

" n, R& d1 {; b. j

2 J% A/ m- a" U8 H

1 w# h* a$ {- N+ | 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

2 p9 O6 N3 Y$ B6 X' n; q; [% J

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： . q2 v1 Y. |% n" ?6 J

! h. I. A1 F+ ^$ g " w$ D+ M# ?5 ^& K

---

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

* X h5 W' c5 p$ A! P. n6 f7 J* M % q& t; E* K" \9 Y, ~

---

; J; Y/ {- \; l' k3 v% i

, @/ {8 P0 D- z5 W5 }

$ M% J2 |& T) Z- B( _' o

利用ms08067 成功溢出服务器，成功登录服务器 * ^% B; K. N5 n/ l( C

; j) f; o. M# q/ S. z

; L8 |; I0 A | }

---

]* S8 s! g) u1 k0 m& V L7 P' V

0 c% [7 q Y+ [( ^. d! I$ ]

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen - z: Z& M/ O0 B( u

, c. `! e. m/ I' x; ^

) [: Z( m! N+ V S) e/ U9 Z% J 这样两个域我们就全部拿下了。 # {: y) v+ c4 Y0 L

5 R4 S7 K, s. `; C- t7 ^* ?1 F* v 3 、通过oa 系统入侵进服务器 6 b( J1 L7 n* F* W; p0 a& B

- t4 A8 V- } @

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

8 s3 Z. B9 j2 x

" K! ]# }% {# u! t: o # \4 i) g0 @: _0 w( J5 k

---

( ~( Y1 t" B2 c1 z4 {% l. Y" I \& S1 |! U' N# l' S2 j

( n2 C* m# r# D8 ]3 A

6 C- }/ ~5 o3 s7 S# k* I* Q" G" k

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 # j, |. U6 s/ e) e, _ V# \

2 Y9 X' \ e% @0 G$ J; F# ~

( K& X7 y' T* q/ w; E3 @ ; D) }* }, d( H# }( \8 @( u0 e

---

9 _+ |" g" s4 |& c7 C; u

6 r2 q# P; K4 z2 @3 c( ?

填写错误标记开扫结果如下 , g: b# Q1 W- C* G

( D N1 y6 k* B/ p4 d3 R

6 w- G1 l0 b, m- ^: X9 s

---

5 L( _7 ]' h: _! |, X$ J

t3 H; y7 R2 \. d/ d

; i5 v$ N0 h' P7 G' D 下面我们进OA " U+ N Y% J5 u: ^0 `- A

) b+ G% L+ A0 K- A, [: |! f

---

3 ?2 w; Y3 q3 M 3 H3 K9 J! @% L, s( c6 ?1 G2 y

( f% K# b/ o+ _7 Q

$ s/ v' v) t8 ]0 J0 w

1 P3 E' I* a+ ?& [5 b1 \ 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 " v( u: u6 i9 h: u- x

' Q; I2 F% ^' U

---

3 ?% S2 p+ O) z) K7 |8 b; Z

, n% t. ?& @) p4 o$ [

7 l8 P! h' u ~# w* J

3 }' H. i: o+ p) `, ?

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 ) }; O+ h- S2 C

4 、利用tomcat 提权进服务器 ( v/ P! M) i& V) v

6 c6 }8 E' A# V$ @$ F! O8 I 用nessus 扫描目标ip 发现如图

7 O% l! O( }* v) T 0 [4 q0 V$ L; Z" [ m

---

: s! p( M2 V' \3 B; w1 S

$ S! B7 g. j/ h

' H0 u2 N- t: Y- r4 }" p% k

, [. g" ]9 Z- }- C 登录如图： : N o, ]& Y1 K0 D# V& R, _+ j

, T ^' P k4 g. j- X# W: I

+ j" ^6 b3 ~- {' [$ B

---

$ S( K! P/ y/ ?$ d1 f

# ]/ v5 I! b7 F) K# Z3 B

找个上传的地方上传如图： s$ {! I$ l0 _

- J4 H; x# \% D: ~6 c- F

---

! a/ W! m+ V- M

6 M: ?! S) k3 y4 ^% o% \

# [0 a, P0 [9 Y y 然后就是同样执行命令提权，过程不在写了

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

首先测试ARP 嗅探如图

---

; y. f4 S0 v+ i& A+ G 7 O+ E6 ^9 _9 h4 s( v( R5 i9 m

) d& c% j, b0 t$ C7 r$ u5 E5 Z . Z' E% ?+ d/ X2 u2 V/ B

* e% I4 a5 s9 }9 K+ i

测试结果如下图：

7 g0 y' b1 e# E. v( f

- F! v- C2 P$ v ! a5 K7 n" w2 o; z$ m) f# K; P: _

---

0 `/ ^* I0 ^% m1 t4 B2 [9 j

+ \2 x k+ x/ @

! Q' a' x6 `% W; }& `- u ! x. p# ]# ^2 i# @8 |, l8 i

哈哈嗅探到的东西少是因为这个域下才有几台机器

! w1 W; O+ R5 E 下面我们测试DNS欺骗，如图： & e+ s+ k" V! b

4 h# D8 _7 T, h/ _* z- ]2 W3 C0 `: G: `

---

' j0 a6 _: M6 g# v7 X9 o! ?

$ P8 {1 [/ q$ J

9 w4 C4 n5 m! Z

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 7 L: n, z% I1 [8 G7 C6 p3 S

7 i3 S: Q3 R& \# v8 d7 V- c

---

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

% [0 T( O/ L- _. G4 e

+ `0 w' Z: |" ~' Y% \' Q8 g 6 、成功入侵交换机

+ [ x3 L; a+ N/ k2 p

/ p! L! z: i j0 c 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

我们进服务器看看，插有福吧看着面熟吧

2 b6 ]$ l' V2 s! s

. C+ y( S& I3 I2 x

---

4 x8 o8 Q! o" l+ U4 U, J

8 O) P) F0 R& d / O2 I4 ^$ \; p3 c2 X

装了思科交换机管理系统，我们继续看，有两个 管理员

; f1 m7 D6 \. n+ I" q8 K/ ^5 L1 M# d

U5 t4 f% S- W; b. N: \. B. m& C

---

4 W/ }/ e6 ^/ m& Y2 b- ]

7 j0 m9 n0 v9 j

. F9 e3 ~5 ~: |# Q

/ n$ k1 I' ]/ c 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

; F( C! W2 w7 J" ]; A F" s

: _: ^: g8 ^) j3 j. G

---

* w% C, E0 t' }$ e" s. D' d, z

% O2 N6 M8 |5 l. u9 z: Y6 q" M

# y9 X; ?: P/ Q; X0 `

/ n9 \5 W0 o+ p# C9 n) C, {

( h# o: p# ]" ~6 R 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

# r2 ~2 @- m* d& O. z- B3 }. F

3 G% A% U% A$ ^- B4 h

---

( B: F0 ^; g7 d2 d8 T4 O, |

! e4 ^' n: E: z# L

$ j B- {4 J9 n" ~1 Y0 w5 |& K 点config ，必须写好对应的communuity string 值，如图： . D% C" Z0 a; M8 z

---

) E: r, Y: Z: ]. a6 M

9 _2 E9 o# d) x8 x. W) R

% |7 K, |3 |5 r1 K8 K* G 远程登录看看，如图： 8 M2 i2 h0 f# w# L8 a( R+ N

---

" l& }+ D8 f+ B+ y * W8 A% j3 K I2 t$ B( a1 t

: T& } w9 [+ m$ O$ p

; |; x" |" R- N, H& l$ ? 直接进入特权模式，以此类推搞了将近70 台交换机如图：

3 t; h: Z/ x u6 \

: v2 F, i1 T$ w: I" a+ q ! k8 f7 [+ X: {5 D+ `

---

+ J- N: `5 {; |

. ]0 j) b/ `( b& U$ V. l+ I7 A

9 o- r- J; b7 a' E) O

; o8 K, a4 Z; }( |

) r6 s R9 R) K6 {. j 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 9 G/ X1 Z4 f/ o) V, K! ~ u

0 s: _. Y/ @' s% o" j9 R) \6 b

( z! d* \' ?" s+ i/ y$ [

---

. e5 `/ h6 ~" a, |2 a, g1 L! x

7 {( z6 Y0 M: H. }1 y; @ 确实可以读取配置文件的。

! v! w$ y x( H1 J+ `7 Y$ x; T

8 E) M* V* U, V, M3 I& F 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 4 _- G1 B. b4 d0 b' K

# D% h) ]8 A2 k! W; O' ?3 j

---

8 Y' m0 t9 A2 ?: }& O ( S- R* K8 h; k& }9 ?

! p: v1 {+ u$ }0 ]# n& O1 [8 L

. d% j2 Q& c" ]# [5 h( c3 s

3 g( v' ^" F1 h, f- e

7 _0 e" ?: ?0 Y5 [1 H- Q8 v ' X& C- c) X7 q: O

; i" W# V1 u" B" P

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

* Z+ b* h! F- I: ]4 [3 A( p0 t

---

1 D+ e+ G) l( R) s; O# I& H

; q( p. \3 T) K1 O6 g; M- A , v4 x7 x" S& b7 v

1 Q4 _4 u* K5 E' d" P

8 V6 p# ^& H( n( ?9 g 上图千兆交换机管理系统。

' @ X. e' i. `) y# C

7 、入侵山石网关防火墙

4 ^/ R& Y. m( Q1 l8 }: B

8 }$ i6 {! M- y0 S7 ~4 w 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

& X! w# n2 H0 q) {

9 \3 }: o( V. _3 G; X4 `. S6 G2 ?

---

+ m _ H9 ?% H

' b7 D3 H7 ^3 a& C( g0 U) z

" f1 u/ Z, v( |$ f3 L8 q, g " z4 Q2 B0 \# i# a# s/ s2 o ?8 E! a

6 j: V/ j/ W# B! x) L 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： ; ?9 k2 h/ \4 T. ~: B% [0 C: r* i

5 S$ `3 J( B& y$ Z8 s. x$ N

---

4 C0 s( ^, o+ Z / S, M. v7 @1 V$ y' H4 s

( T0 h/ s6 @. c d

; i5 H C, ~" [8 A2 I5 u; F

然后登陆网关如图：** + [, s7 _& R0 o0 e/ [! p/ b8 d5 g

9 w& r" k7 K% d ) W+ c* M0 |( {0 z" a! H" a' t

---

, f' a; x( m5 o, X+ |" f

5 A& M3 L& d2 [% a/ J% v; s

4 [0 b/ g4 f E4 L' n7 c1 T

---

4 b- `, N+ H# w. w% w& a+ _( Y& ]

9 P4 @, ^5 h' X8 N: r 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** , ]9 c6 B5 z6 y6 u, F! f4 F7 q0 t

' e1 b! E; ]6 _8 c. l

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

! X# Q a7 x6 U: c# T$ C: ]

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

4 P/ p/ w" G! a0 X6 [

---

% b/ h# h4 h) q, ^5 f $ E: E& V/ o$ |! z; M

' m0 g3 Q+ K& U: C) b

+ q" }, a! \1 N. F 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

# n! b" d3 c0 w) O

, L# _% x5 h: ]# o5 ?   * l7 z* b/ O; X) c& w

1 y. f- O; D! [3 x9 E

( r% y7 }: f$ o6 X# z

) @6 D/ a" N# d) C% T1 B5 `( l