记一次某医院渗透（近源）

admin

/ `2 v" }/ S& _, T 声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。 ) f3 k3 Q. L2 q2 ]2 @

' F8 n& ~9 ?' a ] 众亦信安，中意你啊！

. D2 h& q3 @0 X" ]ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> 3 k9 C- ~/ R5 X: p; p0 g2 }

ingFang SC,serif;">

: f L4 R: J9 Y, f# n- o

* `1 Q9 J$ Y' @- w. X+ Y9 e 众亦信安

% p* @/ K) q' S- L& _ 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;">

. C6 ]: H j" t- a ingFang SC,serif;">26篇原创内容ingFang SC,serif;">

公众号ingFang SC,serif;">

% Y! j3 e; x/ r# b! E9 x3 f+ A

0 ^8 i0 o; K) v3 d9 e- C
) K# t a% d: o, E

0 F$ R- J* a! y

点不了吃亏，点不了上当，设置星标，方能无恙！ + R/ D( r' X. l, r) k1 n

ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">  y- f* Z% J* h$ O |7 |

6 J6 J8 F" |" ]% c9 z8 ~

背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 7 {) T/ t4 p. V/ s& U

1 R7 O- m7 [1 {& @" ^   1 ]4 l/ c8 A( l. N( j; E

* o, R( C/ M/ f. e% b

9 a; ~1 f% ^" j" f |; T( Q' T5 @

无线or有线 0 k/ L1 K, Y, E8 S

" i4 B% p4 x3 J8 y9 s

大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。

一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。

* ?) S! i3 B2 h% F1 i$ C

6 C6 l+ I F! b* p W1 D# T 8 i- M& y( u% H

+ t8 o8 p( m: R, c1 V% \6 c

0 r, J( Q) R& v0 F, y% ^3 r

这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。

/ X7 j6 ^1 a; c6 h* G2 W

+ L2 w! @! F6 o, R7 L. t7 {

7 k9 f( A/ a; m! W; h: y5 Q. x$ b 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21）

* K/ k- V" R6 V/ w/ g) }, H

- _: m* ?( Q3 V: h3 I9 z

$ ~) J- O7 S1 G3 w+ x

: _/ k1 R3 p4 @) E, z' _5 ]/ B% `1 a! j 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 ! s, P) P% f$ M! T4 O

这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。

/ @1 I* W9 V# h, }' t* h9 F

一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。

7 @8 C% _ \) t1 V" p5 x2 L ; N( T- ]" M! }. V

$ x7 f% M4 h( n( W+ ]( m- N. Q 内网渗透

; R2 `+ X1 y3 l7 v. l , Y( w1 U: i+ z" S) i

1 w. w% M2 |4 U$ g

win下搭建cs和linux类似。 7 y! k$ Q/ l" Y" _' U; @

i7 c9 J4 c" J( O, {6 z3 I

teamserver.bat + ip + 密码

4 T7 e3 j9 B* o$ B

fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的）

! b7 J5 K/ c& q; F$ Z+ A+ q( z1 T

+ m6 @. A* T& i2 d; ]( Q# u4 B& E

通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。

2 d' e; x& P( _9 ? d

0 } K1 {9 k5 r# B. E

9 y( e2 y; F$ R/ f& o" L* Y fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 ( {. d6 W: j. W6 q" K3 v3 \9 E

: e' j: [# L$ ]0 L. }

PACS系统 # \+ _' y5 P& T& ^6 b

v+ D# p1 T b& B7 ~5 P

5 y! z' \ Q! @( `( E4 x

% r, E9 o* f$ ]: |% _

" w! U0 x6 T% d1 `
; u* c6 K; t% I2 H9 {% F
+ g6 Q7 m7 ~8 X7 M) |0 W- }4 d

HIS系统 5 S4 Q4 g) A, m* p+ f1 G

4 @) B4 {# \2 h" M) Q( F

 

8 [# x" E3 {6 y2 i6 U

# z) r, Z6 P% x3 K' P. B( H1 a" P

8 |$ E5 o2 H8 o; @$ H) \, D2 \

) ~. |( d5 L2 z5 j 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。

! E% u& z9 L( X+ e( t

1 o+ z* n" E$ I+ _, Q

后话

算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。

4 h' L) w" Z( N

/ k8 v d0 M$ `% y + \! V$ j& Q0 H1 e; R# H0 x8 U

---

9 m8 V; }, K' J, E$ x$ c6 }7 B* ~

点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。

  0 t: M2 p" t" `5 w; W0 s