渗透测试某大型集团企业内网

admin

& V! e# K* J, t) e9 s" p: y

3 y i7 ~0 i& P( b# s/ a; l

. W8 P5 G$ E* D$ U 1、弱口令扫描提权进服务器

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: 0 T9 r# n7 R% }0 e5 X7 v3 i* \- r

3 W+ A" U5 d4 g6 \: B1 [ ~+ c

---

- N7 O; L+ k; y 7 m ?8 t1 W( y) M

! Q$ ]- P( T3 P$ y4 g0 n3 r1 V" U

# k/ N' K1 U1 S( K3 Q# E3 d) p ! i6 ~: X3 T! D9 y( g

7 d6 H$ T; R' T+ {' M G5 ?

) F- j3 ^. g: N& K5 b# s( O

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

9 U, B4 ]+ M; E% b* {

执行一下命令看看

+ p# S, O6 N! V

' j$ b6 }% Y3 E

' f' ]( k2 `* F: s3 l

---

0 f" z3 e* G2 z# V- t6 G) i

$ c4 m4 z- w/ O, i 开了3389 ，直接加账号进去

---

8 m* ], X5 P& H; U, j. O, P

. |( Y7 }( M: u# I7 N, Y

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

---

4 i4 d1 T4 [+ y- ~/ k

) y5 I; e# f! @

/ D0 q# h6 J7 Y: v( U, |+ o* I9 Y

( g' e5 [* V3 [- o6 r, d

直接加个后门， 5 P1 s: s8 Q* s

8 ]! ]$ N O H- I5 o% k8 K- _' [% ~

( H4 t) T3 Q( e5 A. F2 g7 m9 s Q; G% a8 G1 l4 t' U: F

5 q+ {$ [( L. }. C9 r

$ Q7 A6 r2 x0 s7 E1 D# g$ K; w5 X: C

---

: b+ S" j# y6 s2 [/ k- p/ l

! }. ^) n/ e8 K# a4 ~$ c+ Y7 n4 c

, N, W, b$ m& _4 I5 z E 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 : N" d9 X1 I( |2 [5 {) `; Z0 n+ ?( `

2 、域环境下渗透搞定域内全部机器

; q. t4 }+ Q+ V' M/ j% Y4 v

; ]- V# @/ e- e+ h 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

' j) T: l5 S& w: v

---

" q, B9 `% I- K R+ R% T J a2 S/ U1 J+ O; A X: d( m8 E

& S( \ _9 b3 B+ l

: W5 B: n! R% u5 t( ~3 B# N& Z

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 3 w6 V! P7 [2 c( ~4 D2 C

& \$ j# @( s/ _/ ]2 A: A/ \4 L3 @

---

4 W9 D1 [, |2 @3 h8 J% C8 H7 W. a

T* N3 L$ L5 a1 i 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

6 \. q" [. U! P

( S* Y' X1 K, H# T) n# h& u2 E

---

- r* h2 Q0 T& Z' b! m6 }

9 e& V: h0 C. |2 R& I: i( X

7 [! M( p0 m% {) i$ i3 E

: z, w! V/ C9 W. t3 z) e 利用cluster 这个用户我们远程登录一下域服务器如图： ' h) s* X' p/ v3 a; N

- n' c9 J: n5 Q0 ]8 R* S% s

---

; H' I3 {' z9 O3 V8 ~ 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： * h4 f$ a8 s3 @, f9 W

; G1 H! A, _4 o& e

---

* ~5 k: s3 B& j4 e) z) `

9 s% o9 q1 g. |, v) B, x : w0 ^8 F. e4 c$ v

( d+ G2 M0 y \8 J! c% B% y

% g Q6 R' x1 K5 V6 F) Q8 U 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

+ l& U [9 {- v+ S, }1 Y4 Z

2 y" }* v/ X' ~* J0 g) P

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

" j& A. c# B& L( t2 s$ H6 C1 Y

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

' P# N' R6 T/ L+ q3 t ~

---

" y' \6 k# t$ Y6 x0 a# v" z

4 K5 w' m6 z+ A3 `7 z2 @# J

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 & ]8 p' W4 _, _% V( ?' `# S) E- \% m

$ b9 x% r6 B% c& I2 Z3 d! ^

---

6 w+ J1 J# b5 W8 }7 Z/ p: q" J 3 J1 K0 O" L Y

0 M) n4 Z. r- E7 I! v3 L& u& [9 @

利用ms08067 成功溢出服务器，成功登录服务器 , a- c/ G# |) M

---

+ \" y7 Z# x( J# e0 {

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

这样两个域我们就全部拿下了。

. q% l1 c/ [/ E6 t, f V7 K& V1 |

0 l- }, W* `, f; Z 3 、通过oa 系统入侵进服务器 2 ~+ j& k; ?! J* \- v# L

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

# p8 n, k/ c4 k7 b0 [: j

---

" r8 k; t& A5 b/ T5 k6 H ( R6 l$ V% K: y) Z9 I+ Q7 p2 E- }

6 c! b, k9 h5 |* a! ?4 s

9 _, r1 B, }; H% V; @# d! Q; T% T

; E5 s" y% U/ N3 u8 ?" c 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 ' ` ^ X) R/ x4 F% |9 o/ a

---

) ^# e4 `, |. j0 J& p

3 f5 N2 J% h5 A9 Y 填写错误标记开扫结果如下 - c' o2 b y P# i0 [

1 |1 g2 i3 C+ F

$ _5 k1 L4 k: [3 } }

---

6 O# g. w' f9 ^3 C

, V0 t/ Q7 b" O5 X, w g ) }% q4 r/ e3 {

9 H- H: f4 L" E; M 下面我们进OA

' R( S# O4 V3 Y' A1 z! |( k8 a1 E0 Q

; Z+ U; @$ k* T! {

---

0 A, [: n, L4 h

6 z& [' t1 J0 R

& t$ e% o, i! D4 M6 Z5 {

( X( Z) J: o/ o 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 - i( x" p# N M& L; v# }

! t0 L- e% L3 |, r% I* Q6 @ & T8 h, Y& R2 A. g- l, j

---

) W$ `: o* o2 l' Y

/ b. a4 S5 m& Q: p

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 ; {" }8 {1 V9 [, U( i

/ {- ?+ ^2 p* N' D( L+ Z

4 、利用tomcat 提权进服务器

0 S }" a9 h: q6 b

用nessus 扫描目标ip 发现如图

---

& Q5 m+ K" }8 f: X

* h$ e+ Z. [9 Z2 }

1 J7 p2 D& e2 Z/ F" W

% B) G4 H2 W$ \, K, s% a% R# y 登录如图：

---

" c! I* _" o9 a- Q; ^ ]5 W! p. V& i, f1 h

) ?; C: w, I6 R+ V7 G. I/ x

M6 C0 [4 T. Y% l+ j2 O

找个上传的地方上传如图： 2 l& [' t8 N8 y( F; ~7 p

0 T1 o8 I/ t+ P' n

---

! J9 A* i: o2 S4 L9 Z/ R

& E- G A( p& w) s4 a" V

. N- d! J" b Y+ R: S+ G9 i

9 ?0 G# o. c) @# L6 \2 X( l9 K 然后就是同样执行命令提权，过程不在写了 3 ?. e, G( F4 _ g$ r8 y

! P* Q, Z% N5 P. S

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 3 U& Z! f5 D: U: w/ q1 _

首先测试ARP 嗅探如图

( f. \8 v5 |0 `) f z

" W* R T- d+ R6 m

---

& L3 M! X% ~( | " a J2 \# _# K, F' j

( e; d' f s6 s K$ a; Q

4 T! w/ |) U4 b/ Z/ [0 I8 w 测试结果如下图：

! e2 J, V; o: @3 q

, _! e0 G9 C L9 `- y& S % U; Q; Q% [2 \) O% Z

---

4 w) R1 a+ b, p5 [( ^ p# _ ( `9 b: X0 i3 r/ ?( Y$ [

) Z0 O7 q/ _+ \ d

1 W( d0 Q/ `# X7 F 0 Q: N4 G' [ K

3 Y8 Y( H0 F' B! ~5 O+ r

/ X6 r$ N8 H% r- V0 D 哈哈嗅探到的东西少是因为这个域下才有几台机器

6 y! B. N& t! m

下面我们测试DNS欺骗，如图：

1 l3 X7 |# j" R4 r& T0 u

# M( L- l! N5 O 1 k3 f- ]+ c, s

---

+ u2 m, @5 [ |+ q( @; z* k

' |' H$ Q9 P. P' `; r. t & a& L$ x: m9 O. }' q

10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

- _% g7 a f) M! _8 b

---

0 n. p* O: i2 x1 s7 a9 s" z+ x

& z6 T, g, `3 O' X5 w, a1 `6 f

" r7 J, q6 h" T! X8 j

（注：欺骗这个过程由于我之前录制了教程，截图教程了） % A; v9 g9 L* s4 Q% T$ N' p

6 、成功入侵交换机

* d \8 N7 O9 Z! K( V

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 A, Q" z5 p' F8 R0 c& b2 C1 `

# x* [4 V4 _; b4 y- u. n 我们进服务器看看，插有福吧看着面熟吧 ( b, Q8 t/ [6 v+ S

# |) X) w6 ~ j

/ [4 L* ?% k* A8 f4 ~% k1 [* n 7 {4 K0 M4 p( Z) W P3 S7 |

---

6 U5 v6 M) P* A5 ]5 p4 F

! ~3 Z: g& L+ d) u% l2 u & k" h' Y8 I, X8 C, o0 F" W$ D% t9 @# U

# L. u9 A5 {/ d1 j6 A 装了思科交换机管理系统，我们继续看，有两个 管理员

, ^# M9 y' O& C+ S- M [" w# C, n0 Y

---

6 C/ K# ^! V2 i

4 E1 p' r; T1 V7 ~6 ^; x

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

, b3 n, |/ Y. ^$ A: H) B" a- K+ R, ~ ! ?2 o2 h8 H8 r; `4 g# U0 z. G- O! K

---

2 J& U3 T) n# P; S) }: T

8 z) `. [* a/ c; d

- G( O7 R" q7 B: t5 E& \ 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： $ _/ O5 d, d$ o: l& E

* Q% ?# ^# p" S3 ]

( z: e2 W* L, M* V- ^ ' _8 k+ b. a1 q: B# U

---

7 p0 `# g% T2 D; b2 M& I9 R: l

: R4 h- `: T) f# L* W( [3 l

2 T' z& @1 Y8 D1 j 点config ，必须写好对应的communuity string 值，如图：

! U* r1 t, n5 x2 {+ r+ _" w

---

' Y" x$ _5 H6 i: I0 d4 u# a$ _ 6 R, p$ o% B2 M7 C: }2 ]

K: t" \( R3 h8 l

) Z7 E2 ^; ~$ W, N k+ x( H; E 远程登录看看，如图：

9 C v& H6 x; f4 ]( V# z! j, S

! y9 ]. Z+ X% n) y) W 2 G4 b0 ]1 W) v# r/ \/ N$ ]

---

! q- k: {, j8 F0 \

' T7 j7 h( j9 U% r& \) N' H$ ^- f+ K

直接进入特权模式，以此类推搞了将近70 台交换机如图：

9 w- [, N! r* [8 \9 \5 N

---

- W. i& e( u% ~- o. j" x. b ! P2 F& t% C4 M% B' @( u

7 D# v( Y/ e! G d% c m. N) {3 D

$ N3 X$ |3 g2 x# m: E

6 j4 U$ I& F- C8 f) {( [

# b/ q1 k- Q& x' u2 u m+ x. u

! e$ g1 R$ Z3 c

: K; G( V, u" o0 Y 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 8 j% D J" H1 n c

8 D+ }, |$ |1 o+ C# ~, |

---

) E6 N7 j' ?3 L" q f* |3 }5 f9 E3 A

& s7 e8 ?! M! ^' h% @4 ^* d, y

7 S9 ?+ N3 s7 F3 s% K6 A' d

确实可以读取配置文件的。

6 a0 l) E: _, v' |8 c& ]) q

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

% q8 E/ P/ a$ p2 W, \3 b! _0 K! o5 E

---

! v. A4 r) e1 |

8 P0 y" w( t* U

4 b% V5 K+ F) N/ G( ~5 v8 ]! a

# {! x- X m; Y 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 ( j& _: V5 d* g

, I, { Z' \7 f- z% l2 s$ J6 D; G

---

, r6 q1 U7 r7 i' V6 ^

# K7 B* A4 U& q

( | c: u( e4 i) W- m 上图千兆交换机管理系统。

7 、入侵山石网关防火墙 9 ]8 R! u( m$ L8 _

- z j& A& E/ }

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

9 A$ ~- G* p3 @

---

9 u& e& d8 w9 l- V& Z/ Z2 F " [; ]# h( m. J

8 _% G" q8 W" S" g/ b6 C

0 u4 a% P+ R( P* R' i! } 2 R3 }& I6 e4 v6 u9 L

& }1 S* M. r% g7 E1 @

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

' _0 T: I; P( B+ P4 \1 t& C, T

7 x2 ?3 n% k! t5 u- W0 S, W " \9 b2 _2 W: _# A! E

---

. n+ T% Y" U# p. R6 c/ g, g. e% H

, q) h8 ~ S3 |4 b 9 G/ L- P- X( h. D6 w0 N- ]

9 H! _! K' [: m8 `" Q

然后登陆网关如图：**

/ u# L; x" x1 t" _/ K

3 }3 H0 p8 C6 _. e* r. v 0 x1 Q! P3 G4 ~

---

, I5 S% z% N( y: a) D! J

0 d/ ~% C# W1 @% f) e, d

; w6 \# P! c9 x/ i, p- T" F/ H

6 }7 L2 T+ a a% a2 Y9 h0 w

---

% E3 o" A: I: f7 c; P 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

- h7 m" ?( r$ Y& V; e; o5 ~

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

( q; F' p! y0 P$ M 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

! O( A n+ s# E5 ]1 w& l6 X2 L

---

; v6 \6 h l/ P, X+ [' E $ o' T2 o. m# _1 E3 H

! M9 E4 y/ u3 j( f& F5 [# o& e

; q* j q- }4 G. y- ` h9 F

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 7 h- m! \: ^* C$ m2 p% Y9 o

8 Y* K4 o0 I' |3 g

 

/ l4 a# q9 x- D* ~# l \2 v) N+ P5 `

- e- a }% u8 R