渗透测试某大型集团企业内网

admin

+ j2 {! A* E2 m 1、弱口令扫描提权进服务器

1 [: r. R' Q- ?3 Y; M; P$ j# G$ k 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: * ~- y4 ?( g9 r; @3 s

! C/ s+ Z- [1 b( i7 T+ F+ M

---

# ]/ y0 J; Q0 a" z4 a: l* x

2 B V5 G7 M$ ~; U9 J6 j3 s

' p& s/ T9 W, b/ C5 e

- D+ T- J! W3 u- U$ A# Y8 O7 r6 E

_9 X+ g6 H* P& C. Y2 p# s1 W

1 A# X5 w; J; t( J0 k- B/ O ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

执行一下命令看看

' y7 Y) Y" i' C S1 P* W8 f

3 I$ x0 t$ f8 V# `) m) ~* f 2 w0 `( ~4 s) g; F+ U8 K

---

- E$ Q% ]0 r G5 m8 _

q+ n! W4 k2 D" q* z0 V9 j

% J' e/ K! X4 }" M# u9 _1 T; m# \* K 开了3389 ，直接加账号进去 ( @! a+ [8 `& Q- K3 K

7 B+ q: Y! F* g1 |' m5 M

. K) k8 _1 b, O$ E( a* E6 D4 F

---

" N4 q% Y- t5 F y: n

! @. I2 V6 A5 [# N

2 y) \3 N# G {4 v# A: K 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 . T' K) p2 }9 r

0 ]* f8 g) N) z9 _+ p

$ N U+ N& o8 h) k3 H# C* P5 W

---

}' |; u5 q2 p7 G " B5 @9 N3 s/ i! r

* g( P4 \2 R3 X3 H: m

: r$ J; J& R$ G2 v; C8 f2 N

直接加个后门， 3 i5 `$ l1 H$ x: l

: i+ J; Y2 C& @2 E% R- `

---

) Y2 V) k7 m3 V. F# G8 @ , S5 w; \& o+ ^8 H0 R. h

# U/ t" c% x. L0 b. g5 E7 V V 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

& R6 v% u% T7 H1 q

2 、域环境下渗透搞定域内全部机器

) R. E6 y. W$ |- P ~) X

* u: N6 ], E( j" P 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 / E( j: [, \8 z0 A: S+ _

---

/ ]$ n# @$ y4 J, d- v' n

: V. e# F0 E& H8 n' X$ a% O( x3 T

2 ]" }% N$ m& d0 X1 P 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 5 ^, ]! y- T- N% p" }! }

/ g; d$ [6 l' ^6 u

---

g1 F4 W( j3 J7 E5 q

* n6 q9 T$ ?, i0 ]0 y7 [* f8 N: @

2 |/ ?0 A9 B2 t. @) U

# J5 Y6 T- V4 N0 U7 X9 z2 ]8 i

/ D3 f, n, S& u8 C, z 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： $ U: ~7 r" X8 ^1 k( A2 O

---

7 |; X w8 L$ O* q

( ?9 d: b2 D7 K0 M2 G. o5 y5 J / Y5 M. I7 s, U( k

利用cluster 这个用户我们远程登录一下域服务器如图： ( s _9 f- I) D

. ?4 N, g2 B5 T4 t/ r+ Y7 E 3 u2 @3 \- B4 a- X7 u9 O4 g* P

---

% S) B( c7 z3 L# d3 f

# g/ a" y' Q0 p$ c

4 N3 v+ m r% M7 f- }- d" t 3 l4 }: J8 n0 H$ V- Q2 N/ O

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： 5 ]$ ]* V1 d- i" L( P8 B

2 a. q+ u5 _; E8 o

---

: ~0 Q' `; m9 X ) |2 }" p0 V/ F7 A0 k

7 M ?. W7 x4 c+ q2 d, }

* |% x0 ^0 Y$ l0 B& T" q 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： 6 ~' y: J7 B: Y' D6 \

* E3 W: }! D% ?7 c : W9 x% x8 w3 f" U* B

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping & v2 m; h' p% B* Q+ \# U

3 a, w; o# {( ]* X3 l9 E9 N4 M

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

+ e9 \+ z, e# W" u. B

3 A7 D% k8 l$ {/ H9 b; K2 [ * U2 w8 S8 e, S

---

9 ^" Q/ Y6 T- ~ Y E7 s

# |+ n: Z% N5 r0 q. N& G1 b7 P

3 q% `( S( @# G6 Y, h 1 M! a+ A" [/ B

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

; u1 Z5 L) U+ u ) C$ z6 G' N, d5 I3 b0 O J

---

. a( p, ]: T5 N

& o( J) a0 R) |8 r6 C# L; {( B

6 o) ?* w; ^/ k5 O 利用ms08067 成功溢出服务器，成功登录服务器

& m) S6 j F- S( @( ] : p! ~. X5 ~ L9 b$ f

---

% {0 C: f; G. x: ]+ }

; F% x: k# {" E2 v `: a6 R

# C; |0 n5 K& I

3 [' n5 L# B+ k/ ]4 I+ J' `/ F

) \' [ s, M2 {, u+ [ 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen 8 h! z+ U9 O# X* l9 [! r( d

. `2 A2 Q6 _6 K, {6 I+ {- Z 这样两个域我们就全部拿下了。

* I' l; N, }" |1 ]1 s( u M 3 、通过oa 系统入侵进服务器

8 a* s4 `% R/ o1 V0 E

* z9 ~9 Q3 ]# b+ r) Z& q# w7 G$ l( S Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

---

( ^0 m. E. s }% l; e6 b

6 V# o' {9 n- n: e

) [# _' o' W( y3 Y5 H3 {# k

1 T/ ]# J0 \) e& I& J

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 4 w! ?3 }6 @$ W* }6 V! h! m) u7 k1 O. {- z

" V: N) d6 r; D" |& k0 r" p , y8 B F$ |; b

---

5 |# I( P* ? _" [ Z/ @ u. s8 A ! T- m* W! y: X! p2 s# p/ D! g

% d. D6 m9 x' i7 h/ Z i

5 v; g. f# H# W, \% u+ I

填写错误标记开扫结果如下

. _/ e m7 S( m% i3 g

---

) ^, i+ ]8 d4 K" ?

2 u+ K9 L4 l8 G: W

下面我们进OA 5 K3 @* I; S% u7 d' e7 @

/ ?# D. \3 w. f0 x' k

---

+ ? i( Y0 S+ E% s* G8 C

5 m# \. A. n$ F [ N7 w! _

9 F2 e4 u# h- I; m5 t. {

我们想办法拿webshell ，在一处上传地方上传jsp 马如图 " ~7 j: x. m. {, s/ W

& [6 I8 `, g" x7 N

/ I n3 c1 f5 c1 [8 c3 t

---

0 Z0 U: a+ v- s/ }/ X/ d: B* M# D5 F

8 L( F/ a0 f9 t& L- M' ~, J* ~

, L; K8 [1 V( n& u7 O

& e( }2 ^( Z$ W, @

5 A# R. a% j; c. m4 G; i 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 # i) d4 O) A- a5 Y6 Z5 o

4 、利用tomcat 提权进服务器 * O& {" A5 ]8 j0 H3 n# J6 [' _

用nessus 扫描目标ip 发现如图 # U7 @8 R) P3 I M7 Q5 P$ G

4 E" `+ k0 n, Z3 s

---

1 ]. N) _; [4 O2 u H 7 d% P7 g" T$ ]. s

4 q6 l2 c% [" {5 C# i/ G, `) |

% A. q3 R$ |$ c5 U' i+ p# Z 登录如图：

" @3 R- b4 @9 j( Q: c- O% Y

---

' Z4 Y) r( A/ c9 T2 l% k + E: ^2 g+ w g7 q

! I1 H2 g2 w5 J2 x' }* L+ m1 ]2 h: T5 ~

, ~ \" R- ?) a% E, l: K! Q

* Q: X( b6 R$ a/ Q% i3 j- C1 J

$ }' @5 Z# C: x" g 找个上传的地方上传如图： 9 q; o) d, e: h0 I2 H# }% M

---

5 W0 g6 A* d) T # f4 y# @8 ?7 ?6 S3 g' v

6 h; B4 S$ ?% o* c( v! D

然后就是同样执行命令提权，过程不在写了 & b4 [* \/ ~1 _) j( h: F1 g# Q

& s9 z+ I7 p9 n9 _+ G( A

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 0 a; C- s' v+ `5 @6 b# H

( [- x7 E9 s- k" i3 R9 x) X

首先测试ARP 嗅探如图

3 a$ a/ {0 J" @+ _$ M

! Q+ P6 r5 j/ j3 @8 c) V

---

9 H5 \# n+ ?8 F4 p; y# I4 _ 3 @# Q/ u3 W! }7 [

& W; j4 V. F* B0 V# E- {+ s

$ p3 G( P1 o4 e: ?

测试结果如下图：

4 { \" ?7 U+ x/ c+ j) P7 L

---

: R0 \8 C6 i$ o& g

8 ^2 R) Q8 B* U) f9 @/ L" |

. o* H# b/ C0 B7 t/ n 哈哈嗅探到的东西少是因为这个域下才有几台机器

) }6 B) ]5 ~8 m0 W: D+ b- Q: h 下面我们测试DNS欺骗，如图： - k0 y. o5 a( {8 D- u3 [$ x) J

$ m0 |4 O3 U+ F6 u3 r j3 _; r

---

: @+ }* [! f+ g k6 Z

6 x% |8 M3 s0 y. P+ j

5 _& x5 H/ q8 \8 R2 A6 t

. t1 i' Y2 ^7 f6 u% R( a ~4 \

9 V4 e/ Z3 H0 y+ N5 y 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： ! s) I& N( j9 q" s* i, K

, @0 S; T* z+ a7 d. U5 t+ E7 H

( U4 _) E: [& S) [) |9 S' v& q 9 C5 i4 l0 Q: N) }7 P7 ]8 g

---

# M: `" U' h5 c + x. A1 ~& p8 K+ S" G2 S& H3 X

2 M: _. J( H8 @& K

4 h. Y. @ A3 P- q2 G; F

: }: x) ]: r6 y4 ~6 l$ u （注：欺骗这个过程由于我之前录制了教程，截图教程了）

, x' V6 a% Q: f' C: e+ G 6 、成功入侵交换机 - V8 h- E: l: G9 o2 a2 t- w

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

?0 h- x3 _1 s/ Q# ^ 我们进服务器看看，插有福吧看着面熟吧

$ z8 d4 {+ H: |; e

' s0 `- R e& ~, |$ F: V

---

. a4 V9 b- T" W& z5 I* v

' h. ~4 M( y- o) F- L6 g

装了思科交换机管理系统，我们继续看，有两个 管理员

---

9 I5 z. B) x+ e" u) Z

2 s: G! o1 z6 a: y

9 E! x. p5 m& p

: w2 [/ ^# T8 Q) O& y

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

/ {; A d) x$ S" [7 s0 m6 j

6 m s7 b3 `1 s

---

1 e, w& y0 a2 \9 n4 d

- f, ^3 \' e/ w3 p1 Y

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

* h; s1 |+ u$ g0 ]% j3 m, e

8 E6 h; L5 i# `& B# x @4 l

---

, ~ Z, K9 G9 e' }" E

4 `- ~, w2 ^5 l# O

- m, g( b+ A! f

( g5 Y# {8 G5 [+ j 点config ，必须写好对应的communuity string 值，如图： . h5 ^8 v% {/ } @; n' o* y- O

---

2 n( J3 T; o0 s! _" l; B9 ] 2 P( @8 _% E+ V+ I/ x

8 l, W# ]& G T. e2 s" ]

( P" f6 x5 L4 n% F' t

) U. {/ p& R7 K! U/ I 远程登录看看，如图： - F, c) @7 S; T: N9 `; G+ G. @' P

7 ^- \$ l2 f, y' ~/ j5 I- o

---

( q. O9 ~4 d \- ^+ R z" P

" R! n) N) \+ ^7 g5 A+ N" n7 m

$ z# ]: t2 h# Y; m

( K5 @ i2 f5 v/ l 直接进入特权模式，以此类推搞了将近70 台交换机如图： 7 q5 J+ U0 ~8 g. J* N8 T

5 T3 e) m" Z! a$ h% A. X4 L) `& ?5 v

---

( Z( h4 l( u8 c: F' Z

$ |& Z, G) q% e/ @. t" x- ^: B) _

& i1 c( k2 r/ o0 M+ F, q8 g2 q! A* r

( d2 e# E9 d3 L* z

6 P0 ^# V+ U& r7 H m: C0 X+ }# X; \ 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** * o9 V3 @/ J% O. X: [& x; m7 q0 x

5 z2 _1 C, ?- l

---

2 F7 H1 L/ y+ ^0 C, h

3 L z8 K1 u, L' j& i 9 {. Z( T& q: ?4 z& [- w; ~7 ]

$ ?: |! q/ K9 X) o. J/ ^- N

* u5 M7 U7 x+ ^. R- k/ \) H 确实可以读取配置文件的。 " a9 q6 K" R* i/ R! X

S2 G+ X" I! L4 R+ k1 E) l 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 ' a9 P W6 G1 r: k1 X+ K3 k

---

& X$ j3 S' h+ x& H7 Z! n, B& _ + _! R1 q, S+ q- D* X% y- e7 Z! i' n

. f0 ~2 X2 ? k

& I' q7 y! k. u" N0 o: o

$ ^ s, X7 j- X, {, f. A* n 3 ~8 f* |1 O; y2 [6 W: Y1 ?4 `2 p# b

! _0 |" Y' F2 W9 ?! B% r( ^

0 R7 x7 ^: V2 E 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

---

# B8 H1 \7 [0 S; V J% r& s

/ a `8 e5 |9 o& d7 S( E( P

8 @/ ^0 x: i3 J# u

, G: a" _0 m+ F8 _8 R7 G& Q/ V 上图千兆交换机管理系统。

7 、入侵山石网关防火墙 1 |9 U# V" X* H

" W1 Z9 n, _3 c9 A- ^ k/ C- B* z' P

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 9 Z# ^; y3 ~, G* c0 B

6 w; R: l7 k: S' @

---

! ?0 t4 `0 X2 K + L" B# N# F) i3 f2 P

6 u3 d: U: U0 m8 U$ P- L" v" U/ L

" K/ q6 f5 {$ W4 R

7 f% K/ o( ?- N

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

" P1 g' D+ y+ I9 o

---

1 C2 U; P. q4 n/ `+ C1 K/ s

& o& t7 a/ p, `4 [" l, I p3 c

' t0 D; C% h0 r' T0 a* Z4 m

; r/ b; x" n2 f2 L 然后登陆网关如图：** . O. n5 X7 ~4 K; k2 J/ D

( u" `9 k1 D) K U, y

+ F- o, r: J6 B; L6 E! i" ^1 S 5 T- J, a& y& X! P2 R) l

---

* F8 ]: I" G. l, h4 `

, r4 L! R% k) w1 `1 R. j . l3 J6 u# m: o7 ^6 Z- y

---

) i7 V- b( j& w; w' K) G

( E9 K4 S! E4 L4 B9 a 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** , z8 U) r G% H2 X9 m: }

" e1 G( f3 B) n4 @6 [" i) U/ M2 r 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

Q$ q' ~, N8 v( p# m J; ]0 v3 `% g 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

& \' t9 D7 F/ n6 m1 K

# j- w( q1 h' p9 X6 C- `3 f% e

---

8 k- e. ] ?8 g4 f

! c- p F' H: c) A* r

. W+ S0 J) y' x/ y8 p

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 + z# w6 A: t i2 D* s

0 V+ p* U* }0 H$ z   % X" @, I/ y: C# Y

, o& X6 C# i9 I. p& s ]" e5 Q1 X

7 ~" Q7 Q/ i; D- T. R

2 m! ~4 Q8 o. b$ K$ b# [3 T$ X. i* t1 H