渗透测试某大型集团企业内网

admin

6 x3 R; P& L1 _6 }

1、弱口令扫描提权进服务器

5 w( r/ D4 r/ D6 `; h

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

, \2 |" t$ r1 r9 y

) q$ [9 |3 W t1 _) s7 r) t

---

9 {- f8 n' g- T, p

. H' z& k' {4 f/ Q: v

: v, G* }1 Q$ d! o( B' U

2 l/ ?. O ^; p2 N( L4 h5 w$ a ' a5 u& O$ m& u' b1 w

' \, g, [/ i7 Q ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 4 V( O6 [/ Y5 K# i! s6 V8 p

8 s" \* d# Q8 n- Z: ?' X

5 @' l! g- x+ |; s: g/ U4 ^ D 执行一下命令看看 : A$ k% Z7 G' t* w

1 B1 g5 p2 S7 E9 l& ^$ n9 B1 Q! _

4 x6 Q7 u e( {; r ' _ H" J1 f* @7 m6 W+ g/ s

6 S' K& m1 t [& H

---

/ T% Q# j3 w2 l# R

开了3389 ，直接加账号进去 ' j' r# j6 O( k: n$ o

---

0 ~4 N' a, x# @2 X, `7 e $ I x$ K9 X5 P3 [0 e+ Y3 [

0 i; f0 w# X5 L- D$ ]

/ f8 G/ v1 ?" B, }6 y$ } ; E; c- X( {7 A) N7 X0 p

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 4 f1 o7 E& E* |$ O z

+ n; C/ W/ N# Q" k2 B2 y/ U9 @9 ~

---

7 p. Q7 i& x7 _* m2 d! f& T6 C/ Y

+ g$ }: ]1 L2 F

直接加个后门， # C6 U0 L, R+ ^% a6 l

2 A: G4 ?* B& C3 `; Y

---

" U6 J f! q& C# s

- H* `, n1 p: f" e

7 T% |: v3 U1 `+ H 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 . B4 i8 F+ _7 o: r4 U5 J

3 y' f9 ]1 ^; S; l) C, y- a

) O& S, |) ^" t8 n5 T. O 2 、域环境下渗透搞定域内全部机器

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

% `% F/ C- S3 [6 O" N

: M6 m- M$ Q7 `4 P5 t % U: i. U& Y( k: |5 [4 r

---

1 W3 f5 Q/ w+ x* S* ~. `

" r5 w1 G0 P; B7 Y' Z

4 h& x5 E! _+ C& D. o

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 5 r& w% J, s1 j: S* ^$ I

6 N& i }: K8 N2 e' h! n4 d

---

. Q; a! U3 K# J9 l1 f+ c8 m

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

! d& ^ j* d! \4 I1 f6 G. R+ X

) i7 h: J+ { s* [3 S4 Z1 U

---

2 S' d3 }4 q' J+ ]/ T% T

1 T3 I; Q1 B% W [. [- B 利用cluster 这个用户我们远程登录一下域服务器如图：

2 r. p% ^- G3 @/ o6 g

- t9 d4 C8 B0 w% p9 N1 s5 m" E% x

---

! i! e4 P$ u4 F+ i) m3 m 6 A* H k: Z# ~& V3 m( `

& u0 H$ {1 @" b* d( ] $ i, _3 z2 W, v8 H0 g, I

8 B5 l# D8 s! S+ K; { 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

/ E+ s3 ?- i* I# D4 q

2 ^! D7 Z* e' r9 q/ R; j# ?- }

---

1 z' f/ b* ^9 N; Z2 }. i1 p8 p& h& A

& \/ x# ]/ v! U R

6 L6 T ^2 n7 q7 I% h9 x 2 [/ @, G) g8 y, T

+ l, p; I4 {2 q$ n$ `8 g

" y- W- a$ o. z5 x. p 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： , F0 t3 C$ x0 W* t

w- B L# X9 y, q5 d

5 e8 U7 }+ X) u/ n6 ?) \+ Q/ v" C

1 [) R8 J* X7 |& q9 J" y( n 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

- l, [4 u( Y! L+ O blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

3 Y& B0 j" j% L1 [, o2 y/ C3 t 1 V* M/ ^) v. @1 p6 M) y

---

/ l& t; h: J+ }* o2 R

$ f5 w1 j1 S2 t6 R, Z- @1 b1 O

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 ! S' a, P/ q1 |2 [

- g& p: X5 b% t; n

* e) D) c/ U: @

---

& t( P5 e7 r9 i! e/ c

# Z1 T, L& [$ c: K7 K" d

8 E1 w$ n8 X7 O8 Q' ^: B* X 利用ms08067 成功溢出服务器，成功登录服务器 # T( A2 c8 c8 F8 w @5 m/ s/ s

4 H8 J# M9 [5 Y, |: b% E; n- t5 }3 T

$ Y( q# q% C* \$ }9 F4 H6 m" r: d5 h ( A! t# G$ i' s- S2 K

---

/ }+ ]6 G( l* B0 [2 }0 F T. g2 V

h) d8 E9 \( b( {8 y ' K/ M* E$ Y. k8 ?7 R. f2 D

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen + a2 U% q6 f3 _( s1 |

! d, ^; Z8 s$ M; j3 ~; F3 W

这样两个域我们就全部拿下了。

3 、通过oa 系统入侵进服务器

9 Z; t/ u# ]; M( E) ]) a# y, d

4 p# H4 D: Q5 P% H: y Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

1 W& R+ p$ U6 x. z/ f" |; [ / N* q6 A" m3 \0 u) u2 a5 R/ d8 u

---

% L) u( Q0 K: ?7 k# g0 d! s* ~ + y) [! C+ Q; _6 t' R" N9 N5 _5 _

2 j6 d) j* f; H7 _2 _+ A, _3 I

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

^/ @2 z' p0 v( L' h" b

. D! p3 v, N# l9 [& @' `

---

! V4 ^" A" W- V; N. X) M9 @ & q# p+ D6 u; z4 _& T: }0 D

0 n6 Y0 L9 h: H. a# | - C6 }7 A o6 Z5 S* Y& l$ ]

3 S& x( B+ ^, j T 填写错误标记开扫结果如下

! |: o1 w' R) S9 Z* k

---

8 w8 Y5 r1 ]- X3 M2 l: A( C

( W0 z9 J' R7 J% k4 ?7 H

# Q, }! p% i0 f, P1 {5 f2 Q 下面我们进OA

/ K) M/ {; s: B2 y, J; v |# _/ w/ h3 C& k

---

* S5 o2 |- S# h3 [+ {/ F& O$ Q

B8 U/ T- i, I. W& @' B: }

! [5 B' P! k: X$ H& z' c. A 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 5 r' V3 ]4 h; d

---

/ N! I" E& r/ h5 F

7 g5 @* i% D2 }( u% @' ]& Z $ x- v3 H# a+ M8 n8 r) x) ?

' u3 ?( G: p4 u0 c' B' J

/ L* o+ p& Y, F8 }% l 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 : o; Z6 W4 {+ C+ J' t

, |" R- H7 m) s- d( e; `4 |- h/ h

7 e3 z! Y2 W/ Q 4 、利用tomcat 提权进服务器

3 K8 [& z4 F$ O/ v7 K5 U

/ N, R9 h' Y! ^9 c! g! c* ?% u 用nessus 扫描目标ip 发现如图

' n5 U6 [& a2 L8 S

---

6 X6 R8 B3 y- M2 k, p+ k

" M/ z8 W+ y- m" F/ l

登录如图：

6 b) K" e9 S2 T1 }6 V. z5 G, h0 i. X8 _ 6 N5 M8 z9 }' ~! E! ?: `5 N$ h

---

3 A$ A% m' X0 i7 o # `% v( j# k0 J% ~4 }' J

! }# c8 h3 d% K( l) A

找个上传的地方上传如图： / M, o& z4 J$ O4 I* N. |. \

" F* U4 E/ W, G# W) R. a) T

---

: p! x* Z+ P0 c z& }; V8 }( m$ l% ^3 `2 h' Q/ G0 t

; C) R) X4 k7 H, \

" r h: A" [" ~6 F' j

/ }2 F' }$ R: ^2 x* K' z9 X* i& Q 然后就是同样执行命令提权，过程不在写了 & M! g+ ]5 D9 S0 `* O9 `: U# T

q$ `( S% a4 j0 \, s3 p( K% p 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

7 L' _' b+ u2 P% I2 `6 u6 b 首先测试ARP 嗅探如图 ) ?( X5 \" s$ X) g6 J( d/ d, B4 i

( D4 E3 J" F% e0 }& h

' v$ e( g$ h$ |( N, e# T. R ' [7 j1 b% V% a* s ?

---

, [) H' ^; ^' Y # L8 a/ y8 s3 Q0 _' q6 f4 M

& p7 d- z0 ~3 _6 F* p0 c" a' m

1 e+ G5 P: \9 B6 P$ s# j

2 W0 E" V& a8 G3 a! A

" v6 e* p& Y# k( v 测试结果如下图：

' u* U( w0 V$ }9 _

---

. t- v/ D2 G9 I4 ]2 p$ B 1 }0 U/ _% g3 p2 W8 j" `+ R% a2 V* v

( G$ s) D" Z5 G+ E

0 D. A5 ~- g. r& L5 S+ B

哈哈嗅探到的东西少是因为这个域下才有几台机器 $ [+ p4 i$ v p1 G( l: r% e# O

) A/ c l! L' P6 e2 O% z 下面我们测试DNS欺骗，如图： - o4 c- I) L2 o

+ i/ A% v; A# B" s; X+ \* p# O0 F 4 K. `. W& N9 A0 }1 ^

---

& A$ j- b6 |/ z0 [* M( Z/ T $ V5 j% e4 e5 O" k3 |. M

5 X2 t. b0 u3 c2 u 8 {# E- E3 E' r- ]6 Y$ M0 {# Q

7 |# q) S3 _8 O2 `, S! c1 n a

, P. {+ [, u* a! d$ g 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 6 H* Q0 m. Y3 x G$ T, |

5 b% `/ q: ^6 P9 e( d! t- u3 c ' s% h* `4 Q: N8 [9 n

---

7 y m" X: U6 T- F6 @4 b

7 m7 U! \' H, D2 R

& I v" O* \/ a# S6 F3 N

+ v+ e/ u& J( P( q9 @$ u （注：欺骗这个过程由于我之前录制了教程，截图教程了） 3 S2 v# j$ |+ Y( |

6 、成功入侵交换机 , w4 C: Y/ u/ a- A

* p0 C0 F# z; C% \) c8 ~9 `! e 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 5 O4 r6 h' {+ M i5 K R

6 _ k( L/ p b3 o" f3 _% Y

8 h) l- z+ }( g 我们进服务器看看，插有福吧看着面熟吧

---

: E) y3 V& Q3 Z6 q2 `$ j7 ~ 9 o: _, \ z! f& ?9 e% y! O

, a7 ~% }( W3 f" M' |/ t

2 T5 u6 @/ s' `& a4 m o# m : \$ f5 ^- k. {

装了思科交换机管理系统，我们继续看，有两个 管理员

4 a% b7 B. p* v" z. z2 i

8 u! ? |7 e* y `' D ~

---

6 u; c: o4 e5 x( N% o& m% l

. E) ?$ W+ s f7 S4 r ( Y, m \' I% Q0 P# |: u& H) x

5 @( U6 V8 _- j% K

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

---

3 I7 a! t4 L9 H8 V0 i ! Y/ n4 V" ]% H3 f) t7 F% Y6 m

1 _1 u* ^4 ^# M+ D: ~2 U

, f Y7 G+ l6 s+ z

' Z- y9 o2 t! k$ r9 Y/ s

( Z" ]# w8 I0 M/ u 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

1 n' C7 I3 s4 g6 |$ {! M

9 N R; y6 S( ~. m' X$ R- W( o

---

* |, q& p, Z3 [8 s8 C & T+ t& M/ w3 l/ p4 T% s' B# c g

) _* y( Y2 T0 s; S! c1 a; F

# z- ~0 ]& S# l7 w

# m( Q$ p9 z: f4 w- c/ O 点config ，必须写好对应的communuity string 值，如图：

---

* `% @" D0 r. f+ p& k1 n - G8 t/ V$ q5 Z5 ?1 v" \' R

+ T: W- D- D: U- h& |+ v9 J

; n" W7 N) C! A% y1 U' Y

1 R `* ?* S/ O6 n4 l x

+ y1 W% u' G; [5 P( }3 w5 \ 远程登录看看，如图： 9 M, n1 a( I& @

5 d8 S3 v' ^/ q# c4 K- X4 N; T. A

. s8 f" B. _4 K- W/ H' q$ r ! [+ D: {" {! F+ k4 c/ q8 t$ W6 H

---

# T: J }/ `* S0 R2 v9 Y

直接进入特权模式，以此类推搞了将近70 台交换机如图： 4 ^. X# `6 Y; }" S$ d

x! h. I( U( F# q- b# Z2 B U" L6 w9 d4 K" o# _# E, v' V

---

) A+ e0 M* @7 n/ f& b7 d

/ n; Q' t: d8 d% d. h ! d. Q- `1 V: y( ^

9 r9 ^$ ^$ ]/ Z. U5 T9 G, e, ^ : a5 Y# x- ?& ^

7 k5 U8 z3 Y2 R @

5 ~/ e: O% A* q; N% F' n' D 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

: k% c; P s6 P2 W% _* Y4 T

---

1 x8 r# x' Z8 i) B

: x. J# p$ I& J0 a, _. C2 ?; H

+ u# c" E3 O4 J' r2 ]# B5 D

确实可以读取配置文件的。

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

* G2 B, [6 ?' L

" ~7 U) z: Q$ x8 o ) D j% E( u N4 k( O" @

---

& E) }; `- V5 {1 U5 f # C. x$ l! t% h6 P; }1 y' W5 n/ A8 F; B: P

) t' @' v5 m; p- o$ d ' w4 a9 O' Z3 o4 D/ Q6 p

# {% ?1 n6 t0 g

% W9 T7 j$ v7 Z2 C: @+ f6 ~$ G 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 5 e: [1 z" l$ {0 \0 m& B' b: d

! D" L y9 g4 \8 j , {- d; f. [: l/ P

---

@' }) t/ h0 C

& v6 P2 E6 Y( f. i# }

+ I: L' _3 H8 e' S& _6 D ! ?1 T# R% R, R6 e! Z; w8 I

6 s# z8 F0 z i- _

上图千兆交换机管理系统。

1 o& {5 Z# o# V* ^4 N 7 、入侵山石网关防火墙

) }; a5 E9 P: v: d4 j! N$ _" P1 { 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 3 Z. i. L) e' g0 H

( {- T% r% }3 ~5 m 3 Y, {/ T4 B0 ]6 U

---

l% W7 a; i( u/ F$ t& g# j: B: g

4 D4 a% m' w! Y4 D" P3 E! O( Y

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： : i n! z* a" \- u3 A! O2 e

4 u& P d A) t! E6 Z) A+ m/ } & ]) a2 \) S7 [$ l

---

" c5 x7 \! U: Q: s; Q

% c5 B5 T1 ]- i& z

0 V' ~: L( n( W2 P 然后登陆网关如图：**

) `9 S# t+ t3 ^! R2 ?

---

4 E$ [ a& v8 e9 M

6 W7 q( R4 [! n) h) @

/ G0 O: O$ ]) V5 B) z

2 \1 N( w) D$ o5 r2 |. ^6 ^

---

: ]7 s1 a* a! A% D0 I/ y 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

" F- [) L7 n5 h& C* j 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

5 _# ~* z1 U% [0 h) _6 \2 y

' n8 E$ M/ ?. \+ C/ U& x% x! i

---

' p" E& U4 m% p3 f. j/ E: ] 8 U2 H3 `8 c: [+ P/ z

2 S! k( E6 L5 t6 y

5 U9 I( k) Y( k0 N

: E+ K; \3 @8 q, A0 q 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 5 M$ k" N# W$ J! R" h. ^9 k

$ L: E& m6 H' e' Q( r. t3 ]$ f' R4 \  

6 k- L7 J! [$ ^9 [1 v

) F9 X/ b2 Y8 t