渗透测试某大型集团企业内网

admin

9 [ ^. X. s. O* y7 A# @9 y) O

7 v2 B2 |2 u4 Y; c# j3 a- L+ v

& ~, g5 V8 T8 D8 c 1、弱口令扫描提权进服务器 ( d4 {+ l M' z( J. }6 d

/ Q- C- T- P' j2 O* s 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

' g0 Z0 Y7 x; [# i4 ?

---

2 E! f0 }4 V0 F, v- B

6 B# f: T9 J4 p) M: c# L3 C6 h: r

9 F& z8 Z. J# ? : v% A$ J! J% I; l- G O

( J u. x1 y) o! M6 w6 s% t, u ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 5 v7 @% ?) ^ F0 [( l0 ?" o

! h; h% d1 \2 {: D' p4 o

5 e# }/ @, {) ]2 `; i 执行一下命令看看

! R; y7 w( ?& _ ]3 ? 2 r: M0 [# d% z! E1 e' r

---

0 c! u A2 r; z1 v& y

* J3 I& a+ B1 k4 D; t

. |) m8 p- q2 g 开了3389 ，直接加账号进去

& t9 [. Y! u6 h

9 W s, ]3 L( Y

---

% a2 t; t9 g$ W! r5 S/ G

# `, i8 d5 f/ N. c) q. N( t; L

& B$ K: o& T4 N( Z1 N4 L3 ^; i

; O$ q8 l6 y* U/ a$ [ V 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

; I5 E4 @8 M, T; M6 F1 x* A6 U 9 q8 o6 V, E3 { u+ m7 w

---

# X7 S* H: ]" Z' u; O+ V 0 A% z' q$ B2 b: Z& ]

# x$ b" I0 i$ {5 r% Q6 |0 [" S

; t3 P0 y7 v+ t! W4 r ' L1 Y* E" X+ D

+ D$ j, S/ ~* n8 F

- q% `# h1 U& c 直接加个后门，

) e* O1 Y: a# h

! p3 l9 o8 c* q; ^

---

! G- {5 |% @0 w% H* d1 R7 D

) m: V2 ?1 |8 K7 a j+ k

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 ; O) X# n8 I% H' v. R

- h$ P6 h* S1 o9 B2 n& { 2 、域环境下渗透搞定域内全部机器

2 l: g; R* P4 ~% O8 a: T 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

- \) l. Z7 p: v, i. C1 T

---

( o9 P9 }# `6 g) o. s3 X, r

; k! L4 ?- Q; t* B' c4 U

$ P* @' y3 ^( x5 x

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

- g7 n% M% G; x# i' D! }/ o

---

* N4 M' L+ g% U3 L$ B+ x / e+ F# a3 Y/ [/ ?1 d

. h. T4 W: l& E% j : L% Y- A; f* N7 X& h. n

% d% R, e! L5 B; Q9 v% z8 w

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

" T! ?$ B2 I3 i1 y

---

2 Q4 @+ |( n( ] `: Z# o

. S' Z0 v8 `! q) S$ B9 ~

" x t6 `( k- @; d0 y ( y: ^0 U, }/ `+ M0 ]1 [

' N2 S# J% G- Q, n+ V. b* ? 利用cluster 这个用户我们远程登录一下域服务器如图： 7 G6 G7 B# z% }/ f

/ _" S7 f/ H: Q% C. I

4 k6 p! b8 P5 r+ c0 {7 M* C. r

---

9 P" l& s/ ~, S5 L l5 G

' Z5 z$ N$ I; s$ c3 M

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

---

; a+ N/ j* {6 J2 i0 l; {: y7 Y' Z

' k7 D7 _) n z$ `# K/ U

6 f: S0 U* O* G. A Y# m8 Z7 p! j/ c

6 t4 o. K. x, {6 p1 w9 ^3 k/ J# K

7 f1 k: l4 f( A 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： # Z9 N1 J1 g8 A* C) t8 q

5 t5 M# w0 B3 o$ m: A4 T4 o9 U( T, E

, X4 T. T [/ ~" O " u7 P3 ]6 _9 h" I' y. D

( d- g5 |8 o5 k

8 ?" ]7 K/ w; ?* [" ~ 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping / W9 E8 H' s3 a: G3 F

: j7 N3 g$ v+ c' Q Q blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： $ |1 a1 M m, B& D( P6 c. F

- m$ n2 T7 p/ g5 T

---

6 f4 k, b, N9 ^

/ K3 F7 z0 T$ Y3 N- D/ h

; v2 p6 Y% M; n. e3 y5 h7 ~

; A9 Y+ H/ Y8 J* ^: X 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

/ A" f+ ?8 \) s% d0 G l " T- j3 d4 I& U' u( h

---

& I% L; F# q. ] " B9 C5 j" G, x3 u3 v/ h

2 A. h1 u9 n8 V) b5 G

2 ^ G0 Y: k. {8 i; ?4 J7 O; h% F

9 j5 h/ |& s3 r7 Q3 l2 h

7 A# v z3 C3 S& W 利用ms08067 成功溢出服务器，成功登录服务器 0 u _6 m0 t* x& f# r# _- h! ^- M5 c

9 N# Q. \; J1 |* x% g; F

6 l# ^3 L- S8 n# }3 J, L' `

---

1 u% R0 Y; T( x% J- E }$ j1 D

7 g: l3 k' P; \3 U7 J: G( I% L) O

4 t$ ^7 i- p# \, q* M

6 _7 N+ t' T3 b 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

这样两个域我们就全部拿下了。 7 ^5 f) d, o, o9 }9 d. k9 r- q }

3 、通过oa 系统入侵进服务器 ; M& m$ l, T. k. d( I

7 P2 \. W$ W! `" Q* i ^3 e: T Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 $ z4 n5 N' Y9 y7 N2 U1 {

. r% S7 |& ?3 |8 y$ k, X 8 ?4 L1 `. z. c ^9 r

---

6 p+ p+ O! g6 J& S " t6 a4 U+ P# @ i

3 B+ d1 k, R4 U$ _ 2 a' z. T- `8 \6 j7 [* D

0 M1 p2 y% {' ^

b: j7 W) h. |- R0 S 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

, w; t2 w' G) w7 D8 _

---

5 z& P: b- D: Q/ u& Z& w

$ V! z& P3 {; n6 O6 G- |$ Z

) M# C, h) j) ]6 n 填写错误标记开扫结果如下 4 D, R8 h; ` S6 g

---

) U2 w6 F4 p) v* x5 E' r7 J

2 _6 @! T2 x4 m7 y. |& r0 r

- {* y6 M8 e7 d- k$ B+ T% q

下面我们进OA

* S0 E0 t& W( h6 z0 k0 r+ c

& E/ U4 ]5 A" c0 K D

---

( i& A- S; o5 [% j4 W" m

[- A. V9 [5 u+ |& u

+ C% F$ c4 J4 J" H; E( k# M9 [ " S5 O n, `" G8 o g* N

4 \5 Y/ z3 f- T" b$ R4 V! u

' {0 o& H; X; q6 }. v 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

---

/ { X U9 O1 U) C& l7 m+ U

% b0 `* k |4 A) S; v7 k : H N& d- }# _0 z( d

2 y* O$ \. v4 m7 G

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 - T/ o; H8 v% o

/ }" K5 ~4 M3 |! l9 k; Y

4 、利用tomcat 提权进服务器 / g( j& @- d4 ?1 h

9 n" D1 {- j: O" F2 j! K. E9 B

' ^8 n8 e: A" S1 l, q 用nessus 扫描目标ip 发现如图

---

1 J& Q& Z1 ~6 O, w8 P % o. f6 P: n6 l. V( _, l

2 I @7 b8 ]0 Z5 k/ i+ z

登录如图： 7 g6 p6 M% i5 L! e4 @% {8 M

/ F9 y5 H& Z, D3 w

---

; J# ]7 K" _- e4 d. p5 o" q

; E8 j! O6 i# L& U $ J5 a9 O5 Y% ]6 H- `

6 M# j# |9 O: _% t+ b9 h2 _3 E

) O% Y1 J1 U, l: { 找个上传的地方上传如图：

0 q6 \2 N1 ?5 p4 J3 O# N

---

9 q) Y) b c. T0 q3 s; C" l$ h % Y% Q/ O: p6 g% @8 Q o2 R1 h8 c" T

& f2 A& D1 v9 ~& G$ z) N X; V

然后就是同样执行命令提权，过程不在写了 % B/ {( R9 G$ C( h" m/ n- ~

3 k, R6 d2 D$ S. m 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

' }6 Q" s( p3 R/ u0 `, {9 N

首先测试ARP 嗅探如图 : n, ~1 Z4 C' I: o$ _; z, d

9 S7 Z8 i# M+ m

---

2 s" S8 g0 `, g3 { H3 p) ~8 H5 J8 z 5 D$ L* u8 ]& o- r) U4 o( ]1 B

; w* Y+ i# j; W ) } b) L- X. F, Q

测试结果如下图： " y3 |0 r5 y0 Z: ] Y4 s

U: {6 w# { ~) N7 ~% {$ q2 O* b

( {! J& K0 P# [/ D

---

- c, D( o% Q5 n) D1 D

5 w5 ?* b6 G$ i. e1 B& ~

1 j c9 A; G% K) ?* M

哈哈嗅探到的东西少是因为这个域下才有几台机器 4 G5 T& h# Y. G9 f

6 A8 G1 ?* E J' v( c6 H, m7 C

下面我们测试DNS欺骗，如图： + H; q/ |' v% R! w9 l6 k

! G2 i. `# c& N1 w, ~

, F( s/ _: ]* o- z9 {. n

---

% n9 M% r3 t' `& t

1 a5 j7 x8 V0 j* H' b & ?7 _) T9 r" ]1 c

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： ; p6 P3 \ r( y/ \% u( i

' I$ ~5 C( K0 S) g0 `

; k" O( u. ~3 u

---

3 `- q3 G' R1 B" X% `- X; Q

( o8 h, S( k' C1 o9 U （注：欺骗这个过程由于我之前录制了教程，截图教程了）

2 {& d- e( F6 q% L! F4 C% C

6 、成功入侵交换机

4 x0 h7 B) z7 b: e1 r

. M" t5 \7 _" B% ?0 |& | 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 7 I* [7 u8 o @: y, X% x# K, X

3 ~! K2 S; z+ ] i2 d

我们进服务器看看，插有福吧看着面熟吧

6 u d4 f8 v! X

2 R/ n# m3 ^# s7 ~2 X# h6 c

---

# L5 I# H3 M8 }# K i/ R6 d, l+ @' J

4 z+ W) D. Z6 C4 K- |

( h$ J( o2 ~# A

5 e. C$ W! }5 X, w 装了思科交换机管理系统，我们继续看，有两个 管理员 : `4 M: b( |/ X7 r

1 p, W! h% T. W: [8 c, Q

---

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

1 O/ q5 `# b7 W) [/ G

---

( @3 p5 j) l( @7 e1 E4 f - y# L- ?4 Z; Q$ Q" n

' O6 B" U2 O; V. S/ d

7 I+ m# r0 t0 G# r$ ~5 A

' h( Y) u4 U3 f+ D: Q- a. v 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

1 a1 Z i4 q2 r5 d- |: Y% A1 q0 a

---

' T( k0 O; h; ^5 ?6 ^, E! M& t

/ O R- c, ~* n( H; t 点config ，必须写好对应的communuity string 值，如图： 6 O# V7 f% C: F7 V& U! q! E# }

, b+ ^- ]2 A8 a" O N( @$ b 1 b) b1 U6 T: O: E

---

7 Z; @/ h: A4 i/ U3 @+ [/ C 7 R& Y% [1 a% R

) ~7 U7 d: p5 T3 S* j" @

! x' [8 N' p/ N" s/ O0 t" x

远程登录看看，如图：

1 w$ S/ N7 g) M7 A( c

% P0 M& T: I/ j- e5 ]

---

" N8 f8 B& x0 C3 w4 @ f 8 r! {; `% C; l* S" H& Y

6 n% a0 B, ~+ \6 N" y! {1 B+ f 3 }2 l8 p+ r% U! N* J1 ~& m. b; Z

; w3 [) A6 \' C* m! V 直接进入特权模式，以此类推搞了将近70 台交换机如图：

% Q8 f# M+ Y8 {: a! i- a% M3 C8 Y

---

/ Q9 U# v: F/ A5 n * O8 W' ?4 O* j1 F

; L1 _. m0 r* _- o9 D

6 J! H2 {( {" @0 v' s( l4 f9 V 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 7 s F9 l! m" t8 x' X# u0 T% |' X) T) o

" ?; G2 H/ K' r6 R

( R. P# k, ]: Q) r( W0 G' I% f2 D' |

---

1 P+ V5 [7 u8 {: ]5 q

* W/ b; `; N$ b' ^1 Y

/ F9 R3 | q% s; l* _: D v* F " `3 K/ V" R# Q( Z

确实可以读取配置文件的。 $ c' w @% T5 Q* @( w9 O

0 ]" T! B8 g7 f( [) a/ G* p2 A 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 3 a7 a" Y- j% T' @ l! H- }3 ^2 V

5 q! {+ X# ~) ^% z/ } : Q0 u% E4 l# [% o5 ]- I4 s: h

---

) I" D" J9 `6 W9 v) ?( C- P' b ' @1 ^, [/ c" N5 t7 @- U m0 F2 E

- I, q2 B( h; q1 G" h$ T

8 R5 b% {/ E9 f! @; Z% d+ j

3 I1 C$ j1 e+ M6 W! |* w: d1 F + E+ V" ^* R" k) c+ |8 B$ _' y

9 U. v0 _9 t0 b0 w# T1 d

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

/ X& n( Z1 V6 }$ z

---

5 D8 S/ L* f4 {

上图千兆交换机管理系统。 % v0 @6 K; B9 P1 ^

3 C! z5 h( R2 `; M! F. B) A) I

7 、入侵山石网关防火墙 8 k4 D5 R p% f8 |8 {: W

( H7 Y8 }" |5 E( @% a( p8 R8 K) h

; }8 O) e" h" K6 d2 t 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： / h0 |- E2 g) p& {% w

/ d! V r4 R; \: H: m# W0 l% S

6 [$ x o: _ N+ z2 ] . \4 P! I1 A ~* S4 V) m4 |

---

- T6 O) U- y0 p& }3 \

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

1 O m0 A9 L% U3 @

---

3 O1 z* o6 i( N! \1 r2 y/ I" K

9 H" n) Q9 ]+ |& L: n: r

' M8 X% Z5 t4 Q: e! c* k" n

然后登陆网关如图：**

4 Y0 l T: j8 ?0 L9 y( y e

---

+ }5 A/ q- u5 u, B

* e2 K$ i' c) q

* A: _" c# E! t2 E* w; N" {; l

---

" Q% t$ f; d. j8 q% ?! k7 Y / P; X/ p% L& k& F; ?8 ?; h* j) v: J

2 v. L/ i1 E$ P8 b% g

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

9 G" `3 t& K- _2 A; D) Y$ L 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 " ]0 |; ?# @. W' W, Y! U

' i+ a8 j( u6 W; Z 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

2 _1 t" S6 s8 \2 Y$ g+ N c

---

) u+ ^ B6 m2 H2 Q4 @* Y * c" _$ J4 ~8 p0 N; l! \) \- b

9 c/ q6 J, v6 N y# k : T& I/ s9 v. O; n& W# y+ c

# M. Y3 |$ P, R! i+ X' e 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 3 B' v3 U& ^- n

  . _! d- z& s) ^1 S, F o6 k

; v$ H6 `( h0 V8 _2 ^0 ]2 p& W

. g5 l5 i# J) d: T