渗透测试某大型集团企业内网

admin

% g8 Z& x4 n- ^+ v

. A/ p" t+ g: h3 F5 @3 v/ h1 N- [! W2 N6 Y

" w( V1 G. d0 t3 \% q* @ 1、弱口令扫描提权进服务器 2 s; `/ {1 g0 N9 C

h) N$ u6 A9 B- n

" M% w ~! e- R9 d* l2 [7 o, t 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: f c, P" V" Q6 z+ D' R4 c! ^

6 p* l& Z' k9 r( U7 z1 k

---

+ [; D% }( u1 G) ^5 k

9 \, K7 J$ V1 q7 T' U$ }; u/ b" d

0 X/ v' |/ k6 r& ?. ^3 p# Z

4 K7 W; d8 {3 N8 u6 d0 m, {, s9 g

) O$ U* A! t, k& \5 D7 L9 }, {6 i6 n ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

8 [8 O: `8 X5 I# N# T

执行一下命令看看

, I4 P5 z4 v, g0 ~0 a

8 ]. o; s7 |3 c7 x3 W" V

---

; F2 @" C! d" k. e, i

n6 m2 w* ^% A6 @ 开了3389 ，直接加账号进去 , g8 ?6 C4 K$ v

' R+ x9 W. @5 A0 r2 c N% Z

---

+ N8 C4 V$ i4 o! t5 c: k: q8 m4 K

6 P! L" P6 M8 F# b; M3 v

0 Z5 Y/ u8 r& n- T5 U \

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 ! s* [: t2 T* T/ k

+ b+ ]6 X1 |; e0 |+ Y# g K * b/ ]& r9 S6 F4 f+ I5 |# K8 ?

---

* Q" o3 O. }9 _9 E# D1 n * ]5 m0 ^3 _+ Y; U- L: s

2 B/ O2 f9 ]* U6 r7 [8 `0 a

2 y6 c" ]/ n5 C0 s8 ^6 E 直接加个后门， / F/ O1 U' x" y" e& _) b

+ P n; O5 I, C- w$ V# {, O

: D" k- d5 F# j9 E4 { " a6 ]0 T" x$ y

0 E8 B( @) L- |3 \

, A( F$ W% {5 y( ^; s

---

6 m& [) ~! z3 C

4 Q/ ~' I# l' Q+ a# @9 ?& D

$ r% F/ ?8 @5 E+ j" ] 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

! j8 ^' ?9 Y l; r9 h* i7 v% r/ @& o

2 、域环境下渗透搞定域内全部机器 % k% r6 @( \8 V! G, i# z7 ?* F

+ b" E+ i) o6 h/ ]! d) J0 h

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 2 a3 w, C0 t0 v2 J. c+ |

---

, C$ y9 V: h& U7 ^0 k3 X

" m5 L5 j" D" S* s1 _, X5 k

+ s# O# X6 P5 g9 Y# ?2 V0 U

. @4 j% [* s" p2 P1 R% R 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 / D! I* R' z) a+ |

* a( p% v' S1 m1 Y2 r

---

( [2 O& A3 y9 }) u

, }& ~9 d9 \% ]' H* i8 L& i$ |

2 g0 A8 T5 G# ?6 L9 r) ?

: X S- i% k" p4 p+ X7 o

2 W, Q. x2 \3 K: p! K7 C 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

% `; D( y4 C, X8 i

---

0 J" L- o T, t- n8 i1 D. [1 h

1 L8 y- Z; w( }/ C/ U5 z6 Y5 x 4 x q2 K' ~" ?

利用cluster 这个用户我们远程登录一下域服务器如图：

4 {4 Y' A) C( h; ]% u+ ?

! q B" Q1 ?9 d6 I! E7 h6 t6 ]( g( C

---

& R* S+ F, _. y( c# s

, x0 k! H/ B: U, M+ F/ p: s

) d/ X) F9 [- v7 V0 r! z! }8 W 8 I$ i. c# ~( V5 m

2 N$ Y5 e. }: ~% F, N1 G8 ^ 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

& _& s4 |0 o. V: Q& c

5 k: U) r v% X/ H

---

8 b! |' l& @7 `4 X: `- u% \ 1 l- k" J' R; u6 [

: V, _6 n9 X3 M: L2 Y/ N" |

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： " b' i# N6 _- M% q9 h

3 ~& N% ^1 S( O. M

! x, O" Y' ~9 b) u: u% w

- J. c) M" l' w* L" p 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： " J1 I. [- h$ ]* c) S

( L4 D- a9 t, ~9 N! f7 b# c4 @

---

; o* m3 F d6 U5 c/ Y* V$ X

z/ X/ C! m; `3 D

# S' O/ b3 D3 E4 b9 \7 s

& b# k. r; u/ Y 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 0 Z2 R( B3 n3 s9 j$ C: a

& R2 n! }: z; B" j, c. e8 w 5 ~9 z' U4 g: Q( k

---

1 Y" A2 F6 B( M. r( M: Z

9 \! z6 ?8 x4 O: }& V# ]( i

( w( Q+ i) d/ m* P2 a

" W5 d/ a, x" @ 利用ms08067 成功溢出服务器，成功登录服务器 # l5 \& V, S+ N! a; y

, |3 _) j7 d+ ?" \8 w; w6 B

2 D9 Q) ^; a) a0 l# c6 w 7 J2 C7 E. x9 b

---

3 U6 `. o, U' U' Y

5 ~7 F) D9 P- O 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

/ @4 Q6 F( {6 _6 W- n 这样两个域我们就全部拿下了。 9 q! t% ]8 q5 O

$ |1 j- B W- b- }! Q

3 、通过oa 系统入侵进服务器 ' g1 _5 {7 z" I) C- o# t3 d$ ?

/ f1 `$ u$ B9 x8 ~ Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 # G% i( C! F! f

8 l& J! w* D2 S2 M* [" c: u 0 m E6 n7 t: G$ b. H+ X5 C

---

0 i, ~; ]: W0 x

* ~0 b8 }; _/ T1 W$ ?0 p9 `

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

+ b& i ]) a4 l5 _6 `5 J# ]

3 v: E4 ]" W1 E/ Y- R6 q$ F7 Z A" F 1 y6 K! G, K0 l4 |2 H4 w

---

8 r. l2 m+ M9 _% C' R# B* c* E) X . _- H& ]) o2 o7 {6 s' S2 N% U

+ r5 g( ~! b; c. Y( f# [, w' v

填写错误标记开扫结果如下

8 ?8 y7 q, _) L5 n# [

---

4 G1 S" L, f8 g5 S5 c

, ]+ _$ \- S8 A" l& O6 v: {

下面我们进OA

1 j- ], ~, @$ r0 \" ^

% M/ _* V+ P! i! t& H. b. `

---

( h. j/ `* Y9 g9 B5 k1 d! y; ?2 e J# \/ }; m% v

- R, O6 C9 M4 w9 b5 j# g 7 Z( B/ q5 c' N% d! b2 m

7 z3 i' o% T3 y8 j$ P

( [7 c# i2 x# x( _3 B 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 : q/ q. Z8 n3 e

---

7 v; z( Q! A1 a- s+ _( S # r8 \% }% I$ ?: ?* e4 g

: a+ X! H* @8 P! q- ?

5 s5 U- b$ x! e3 ?

' I( d( i6 o# F9 J' {4 @ 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

9 m1 Y7 A. M3 k3 V9 f- h 4 、利用tomcat 提权进服务器 * [/ W, U! l/ s8 ~' K4 V

: H! D+ N: M. K+ ^; J

3 y5 f) N0 l5 ]8 I1 e& W 用nessus 扫描目标ip 发现如图

3 M- w# X; ~9 C- s. d4 n7 v$ p

4 y; k+ Q! d$ n0 x6 c- s

---

9 t3 [# v, a( {; ~+ L4 q

+ o y8 U% E' v6 i, u

登录如图： 0 v, b$ n: R0 c. w( u0 N5 n

8 O% n A) @7 U& G

---

9 L: `9 q- Z( G9 k% ]5 l6 S! z

2 C8 Q3 W. H# |( b! x

* B1 x1 z7 N+ X 找个上传的地方上传如图：

2 }% w# [' X- ^1 M# s' D/ h

1 p8 J/ W& \3 D! ~ . |/ a7 F2 w* G8 |& ?

---

, Z9 m8 z# ]) A( N ]. g

4 r5 J% o( h" T9 L' ^

然后就是同样执行命令提权，过程不在写了

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

% ^. a7 ]" T7 o: V7 I; h, ? 首先测试ARP 嗅探如图 - H, g' l2 y; X

% B2 _% w [# z# U% g- y$ N & A9 s8 P2 Q9 O2 G

---

. A/ ?7 x4 a6 }2 l% c ( n& K: s( p" l+ Z; _0 n/ A. \

$ `" z1 L6 e0 J; _

7 o0 g( l9 H- u/ Y) t 测试结果如下图： 3 j! K. ?' o/ V7 q. c& _* n

$ U' I. I1 @) I

, r( {, I; [, g( d0 q7 Z

---

& P% ~ v2 j# V7 B

+ `7 }6 ]% h4 T% Z2 A' B5 g4 I4 _

+ T9 Z! q+ Z" s0 J

哈哈嗅探到的东西少是因为这个域下才有几台机器

. x# H1 Q( X0 B0 P5 m

( I" D6 |) E; |- U4 V0 D3 d" H1 f 下面我们测试DNS欺骗，如图：

/ _1 i* X/ _6 c1 t7 F

---

; G' V2 ~( t- M' ?+ s

$ `4 G5 T) h# i+ e3 S

: ^" z5 A* Q, C8 I$ ^+ [ 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： , ~6 B, h- y. v. ^6 ]

' @6 a& |1 g% X3 |

' L. X9 f: d. X6 @

---

7 r+ c9 k) ]! O3 F# S2 M

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

6 、成功入侵交换机 - N+ T1 r; O) z1 Z

7 H3 _; n& [+ p" g" F4 T. h

" d$ l6 o; S+ z 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

我们进服务器看看，插有福吧看着面熟吧 ' O( Z! I/ B, d5 y

* e/ ]2 p0 g% V& z( L: {* z

---

. F& |7 P2 `2 O9 s# `' x& W1 H 8 `+ Q [% Z% v8 f, Q

: g9 P, ]2 e3 E: | 装了思科交换机管理系统，我们继续看，有两个 管理员

---

4 V* U0 h: Z1 i* @/ S

/ k7 K' {8 l; X) k

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 1 y6 |9 d) ]: S" O3 @. U

---

2 l1 l1 g) M( D- G1 i% x, L/ [3 r

' b1 Y, _% A$ q8 |. a( D/ i

6 \( |* Z: L1 x 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： * @2 s- D9 ]7 q/ q8 m2 i

---

' Y" W, c6 @3 F! d1 T9 W" |

( P8 P5 B! m' `% T8 G: M" j % y. q$ j* o: M4 ]

点config ，必须写好对应的communuity string 值，如图： + e( Q3 U% n6 `; M+ _% S

* E% q5 f q. }) s

% G# }( [) d0 ~3 {7 T; Q: v: Y

---

+ }* A: Z, K% d3 K P. I/ n) ^

7 _: A- P6 ?% @1 j

2 P5 O) \: I: m! s$ H & l0 n9 V) U$ P. ]1 M' S

; M2 ?" { [9 g% k

远程登录看看，如图：

. D" m7 f! [* e/ L$ f0 L

5 @2 z1 [) p# Y. h4 v) P/ h7 d- i( } , L- S+ Q2 F3 s; M- e+ }' j

---

7 T1 q8 h" m2 E2 E4 f! Q# T

* E6 s3 y6 X. M$ X1 J* t/ R, x ! @( y1 N7 o5 t8 I" |! u, ~( l8 u% U" \

直接进入特权模式，以此类推搞了将近70 台交换机如图：

( c8 [: N& O9 {; O% n( U

# p; \, d! X. D& Q

---

3 i6 A8 `: |3 ^: B

3 |! l" C) {; K7 V) k

6 m6 M+ D, r: g; m8 {. H 5 [9 f! N% d; Y% M% z3 Z0 `

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 7 `- S- W# `9 ~ R4 a1 p$ o1 N

1 T- d5 F( ]1 e* X- f% k5 e$ Y& _

2 o3 p* w9 G( Y1 i2 F( w

---

+ ?) f. l, H, x5 h9 i( C& w

4 d9 ]0 `8 x! o4 T# C

: r% v! `% m- W. g Q4 @. X

9 L9 e3 c+ X0 h$ y; M 确实可以读取配置文件的。

: Y3 U$ O8 K$ h2 N6 U8 T

r5 z3 t6 L0 P, {$ L+ B" q, C% z 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 - R6 G" D- g6 H6 G3 L6 N, |

---

) i/ f6 O5 N/ ] 8 s n5 ] {3 k# P

. ?3 k$ [% B! w! D$ P" U5 ~! e! R

[ ^1 m/ R7 Y3 W

+ P0 I) n" g# R

5 j6 S& i. q+ |8 Y

4 z" g$ X0 ]$ N1 X% e; f 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 . i# n! {# M n C0 m0 l7 y( @

/ {% Z' h' P6 W( \2 L& g ! Z X/ f& F; s* ~+ E

---

; V$ ^) K& [5 t! i) ]2 u

6 R' c$ t: ?9 M( \* Y* ~ 5 P7 x& Q% `2 I$ y/ I- C/ I4 t

上图千兆交换机管理系统。 & Z8 {9 b' v! E5 C" W! z

# _3 M8 c, J2 C( r

# N5 Q2 D6 }. m6 W 7 、入侵山石网关防火墙 1 x+ j9 T, U" W2 b, _2 ^; s

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

% u% i7 M# X$ o. v# ^. Q

2 G4 C# c. W8 _2 L, `

---

4 i2 @) q$ H9 `4 V# r% u$ m 5 m4 ~4 M6 U m& b) `

8 n5 J2 N, |- s" c' H6 F2 M0 N+ l+ i

- U6 B/ X6 |, F2 E# j

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

3 d5 a1 b. B3 J, V / s5 h; D2 j* \ A/ S

---

: e' B$ n3 Q' V( @% ]7 F ) J' i- |3 G3 q6 c! [. [6 c

# {& L/ n3 B0 r# ?( v; h

然后登陆网关如图：**

' ~' A" X8 Q; D5 i

- `+ i! w4 a& {8 |7 ~6 L" i

---

2 p- G5 \& | A5 e+ Q

7 X9 Y4 H: i; k

, j, s0 q/ Q5 b5 I: I, N

4 v) |( l$ w; r8 F1 o4 D' H6 M9 ^! z6 D

4 y- Y' g) ` a+ m/ j

---

4 \1 e3 n5 f0 U. }) C

; z9 h- r, @4 ~! V, ]* I& n2 n

/ {/ b0 e5 H5 A* L/ g 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 4 j5 \/ `% \) L2 ]

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

) l0 V( z9 I) l' T 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** % j# i& D+ j! r( V

7 v. l) w/ s* T* _5 D8 p ' B* G; w4 z, K+ t3 h; ?. z

---

: s: ~) v- l, E/ O* O

; j8 t0 d2 P; K- N' E

( S% o" v3 f) R; x9 A7 V

" G7 ^" D! m8 j5 h. ^ 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 ! q7 k% ]3 p6 Z+ s5 G5 h

 

, R6 W; Y* Z$ v; ?' U% o0 y

3 p( K6 t7 S1 ^) C