渗透测试某大型集团企业内网

admin

9 P/ m4 X. o* ]8 I! r

3 `% s( B5 g! I1 T( c% Z( x- r 1、弱口令扫描提权进服务器

4 O ]% K5 m, s0 G& V

5 Z& `& c9 `/ P* o& a4 l. R# o 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

---

1 B& K! ]7 m( c2 v/ t

9 v6 a; _$ h, g9 W/ R

; `+ ^) {+ e9 f6 X

/ T0 x# f% h& l& v7 h

- a1 H9 N6 I( ]% p r2 I* y ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

2 C4 k n" ~3 c, ?

. C1 M6 J) e* p: [ 执行一下命令看看

3 l' y& n! x$ F+ Q

. O4 z0 I) E. X+ Y8 U

---

8 F c+ [6 _! Y% o7 c1 l

, \8 c4 w. I3 V, a5 z 开了3389 ，直接加账号进去 , M$ x6 e5 F7 O, U9 w

' z( k5 M6 t: d# u f# E( Y . a4 x! x r8 o0 K; n3 Z

---

4 f g6 C |' k! {5 ? e4 z 8 i& c4 n6 y# }3 Q- v" W

) O1 J8 T7 m; K

6 W- A; y. X8 @. I* V% j: n$ p

. y1 k% }- D( X# | 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

4 n3 ~& o1 W( f0 l$ L% m ; z) f- J3 |) y

---

# `3 z5 L. ]( F$ J6 h- s1 }5 Y7 M

p( Q) G: F0 a2 ~% x* a/ J

: {+ y- s0 E3 W; ?. W

直接加个后门， 5 E" X& H4 t" _6 ~

' t: W- g6 ]! r5 l' q

---

; S6 x' e. W8 u7 A ( C7 Z/ O8 D: g, o( u# i

6 a4 Y3 [9 z8 p3 ~+ n8 Y

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

4 E- R) C# T) b' P& e/ f

( k1 [ Z, Z& s 2 、域环境下渗透搞定域内全部机器

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

( ?0 R# a* W8 j- z; q

---

7 I Q4 A7 O: k+ f; E & |5 G2 `# x/ Z/ p% Q$ |

* g$ I: i4 d y0 A$ S3 ^

5 o# a" o* \ } ]

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

( k6 O3 @1 G: N5 I% i! T

---

) J! c* h% F( M0 y2 { 7 @, B1 P/ `* T$ y& S) e

8 l/ c$ _( K: f$ Y

) f: O n w/ X3 a2 _& x

+ D+ e! L. b! a4 c3 L( V 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： 3 w7 s) k4 o3 m' k X! E

0 O& a" T5 Z8 x9 d6 u5 x

! u5 F7 I. `) J( F2 q4 X' @

---

! t9 ^& ~8 e0 \

# a4 j4 j( \, d* \% Z) r p7 ~ & O$ t2 R. Q4 |$ Y% a

7 M" i- | M/ c% @) s

3 A# Y* S8 l: e4 V 利用cluster 这个用户我们远程登录一下域服务器如图： ( T% ~; k- x8 u3 [. d. ` W6 P

% t) C4 Y" s, l3 |" F7 y7 ^ ( _- d m: P$ w- K: A# f& h" k

---

( l, [ `6 S) B+ n6 |7 e 6 K" ]# ^/ x( H- @, { B0 B# C9 H7 ?

4 N# Z5 H' t" t- t+ ?: U

& h2 o# A0 D& Q1 j9 @' u

) l/ q% `2 t( C$ B& X, b: h% p 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： - R+ \ y/ j' ^5 u) R

' v- s* ?3 S' O& h. n: J7 K# p; I

, w/ Z6 w5 X4 N3 C0 c, @

---

# I- m* F; ]: S; ^

3 m8 T7 A! B$ M/ w; S

2 f4 G) q! s" G `, P/ l4 u* c 7 Q# s" T, m6 i k/ D

0 o! @1 W& E+ c& ^' v7 B0 } 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

# I( K5 R! y) @

, G4 a6 M! S$ y! S0 p4 J0 g 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

) N! l6 X+ a7 s

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

0 M# V: M5 U1 L( l, b; z9 O

+ g1 t5 p1 k1 h2 B

---

3 ]! H5 l' z( { H+ D# v

" C" C$ ]+ H% L4 X! {4 u% a4 t" x

1 `; H* Z$ N$ @1 m 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

: a7 V! V1 Z- H T' I

---

9 V& C9 ~/ [" j; J- O2 z6 v

$ x i T; C/ F2 f J* [

- K& a2 o& U! R8 _# K 3 A! B" n$ Z$ n7 @' U h0 g

1 A. [* Y9 L% G* w7 }$ Q

# A) K7 u& i6 b6 Q4 A; ^ 利用ms08067 成功溢出服务器，成功登录服务器

8 n# N7 k V/ D

---

8 p: s* E; |' T" P + Q L. \' x/ G: r

3 a+ {3 V1 q4 [( q( P3 u o7 T

* k3 m6 C o9 v+ \" M' l

* p/ H- A A5 c2 u& y0 A. L 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

这样两个域我们就全部拿下了。

2 N/ ~/ s c, r% {7 {. u/ a$ j

) F* g w# ]; c" l ^2 h 3 、通过oa 系统入侵进服务器 ' w u' ^7 M- z9 r6 N( M

- W* V: a/ b |5 u! m, @

2 S, E! ^+ a' |: R4 B Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

! n2 R1 B- x0 i/ b% {9 C: Q# {

o8 C1 h$ R8 m; @, h6 I: i0 u0 `* m6 G, N

---

' N# w. i. }6 U- ^0 @$ I1 J7 d: B + a$ A0 G8 `2 k% ]5 Y: A

# e8 I0 c& b. @* F: E 5 ]8 @- O! l6 ]% M! X7 f1 ]

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

; h1 N) K/ p$ U/ L( w1 v$ Y B

---

/ \0 h( F3 ~. _: e" i

8 g/ m- g' K( q1 c5 l: d1 {# P' C

3 s5 x( W- M) H' h9 ~ 填写错误标记开扫结果如下

7 P D, _8 {$ j+ a w

2 j" X% @; f4 I2 s 7 @* G6 h. j: t4 }

---

' J* o2 {" l2 ^/ m* S ) k7 I8 F( M, r! ^/ X t' _

1 u0 S! e& Z+ z$ p" u

+ u! c) x3 Z5 y( v" [4 j" Z

下面我们进OA

7 W& N2 _1 C/ `

* f3 N3 R4 i4 Y: | $ ?6 _9 S7 X' Y' D. d& H' i

---

* E9 B8 U+ y6 J" X: x2 o ' ]7 M: u* v: N% ^! r8 I, B9 H

9 o" @) H; B. g0 o8 P8 W) \

# q! D; B' r( K* A 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

' u2 J/ W9 V7 o1 D* c7 `, R! _" i 9 F. ~6 K: c9 q

---

' t' O) t# V$ w; S Z, E( a . M$ j7 C! ]- S" ?0 w, Z

( R& j! a" p M* n

! O( X e# t; d3 k! }1 J) p

+ L2 o0 Y) ]2 o, X 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 7 k$ Q8 \( A. {8 e

5 V* i9 o) b, V- u

6 E+ Z- P8 j f1 R% Y 4 、利用tomcat 提权进服务器

) p1 g$ b! [4 ^# m! S' E3 y 用nessus 扫描目标ip 发现如图 . }- u* Y; X6 O0 `; n/ Y

( D8 {' A V; m

; X) i H# ]( h) B 5 S" x/ j I7 F$ P$ h

---

2 S( n% f5 h, ] Q8 E, U

5 m: Q2 \- z: `% }- L $ G9 ]+ L7 N6 Y

登录如图： - T6 h$ Q! f' B5 f5 D1 R

6 i; m" ? F: Z) c& j" j1 j) f

---

$ f. _% s8 k& S8 A/ p

" {1 A) U) q* u8 O, e

找个上传的地方上传如图： 2 H4 }) K5 N% |% u) U

: Y( S+ M/ _0 C2 M- L. d ; P% z3 O, v" b w

---

2 Y$ Z* g* ]* J+ Y ; \ J+ b, o' a5 Q

8 q5 p7 G R- |9 L2 \" a1 y9 R+ N8 ]5 t

$ J# ^5 l& S2 e* ]+ q! q5 j$ v6 B

: ?! Z. M( z! d1 a1 ?, ~3 m 然后就是同样执行命令提权，过程不在写了 0 H$ K, O1 ~% m) D, h! u* y( Z

4 w6 q1 x9 {( q. r, z! N$ P

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 ( ~. X- t0 D& l% B2 f: e( S4 A

$ d3 b; t+ i9 I% h3 p 首先测试ARP 嗅探如图

3 U9 z8 Y. d6 z" O$ S0 E

1 Q* |7 _$ m. v& U6 _2 ` 6 W$ n* ~( W( [9 K+ \4 s( [/ L- w

---

- L* Z' Q+ g: B" X& S U 0 `* X, Y( j, A

0 i& w Z3 n( ? # G) I' [2 j& E) H# _

测试结果如下图：

4 n- |- L: J- n; q" p ' E6 D3 v# d% {' @

---

! j O# h) z. _1 w5 k+ y% S$ t

$ `, O ^. a* p3 O4 n6 T8 n

5 g/ c2 H) T! H# \. P+ }) I1 e+ l

j6 T$ r/ |4 |2 [: N 哈哈嗅探到的东西少是因为这个域下才有几台机器 ! e0 x2 z! @" z, w4 w4 R

# }) N& v7 o* K; V* @6 | G

; p1 s( s; x; D7 I 下面我们测试DNS欺骗，如图：

6 A0 @, g# r) ~; I2 i' O1 l

---

4 C: S# h8 P# L: t7 K# R t * r: l/ l* }) d. F

2 L2 _4 {& j% H1 y

) M$ L' {" B) U5 A 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

7 B7 Z# k/ J' ?- f o

# ^% T; i' X/ f: L5 K 1 k/ \) ^6 Z2 ^% ]3 f

---

0 B! e: L" |) E% u+ }! G

: h/ z2 W# L1 b" [1 P, G （注：欺骗这个过程由于我之前录制了教程，截图教程了）

" S- N( d& }7 i; P

6 、成功入侵交换机

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 3 x0 P. { X# {# N8 W

我们进服务器看看，插有福吧看着面熟吧 9 p+ C6 Y0 V0 t

) ^" F6 U2 O4 v" B: ^6 ~7 G7 n

2 h U' G J7 B K. m3 {' F

---

: I3 I, j" g/ k2 g. F f; V 7 }5 O/ O" ^4 u( U! v3 \

2 t. V e7 n+ }

装了思科交换机管理系统，我们继续看，有两个 管理员 ! U0 U- {* c/ @- V/ V. j0 ?

# I9 n2 }. c+ T2 O2 l4 G; r : O+ y; ]5 G# a% W

---

1 z, `4 X" E8 ~5 {

( J1 Q+ {6 I( E. [" n

, ~1 C& B8 \5 S6 l3 ^6 y# f2 G 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 . n' e! M F( K& o7 W; Z, X2 a- g9 J

/ D& f% e# N; ^" o/ e* u: O8 H - C) J% c, p" v! A

---

- [8 \, S9 _; D( X1 D

4 F4 P1 W |9 D, e& Y

1 k5 O$ e1 I# i1 e$ I7 Z* c! l& B 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： . a& H3 T4 @, E4 W( k( M

6 Z( c# r, e: k9 k. C) M

---

# Z$ R0 e8 }% n6 x! v* b; k8 X ! f& w3 S q0 ~- j4 U: [

4 Q( f2 |; t! \# K

( e: |1 V, q, o/ o3 v

8 E- M+ w! f5 o8 S5 } 点config ，必须写好对应的communuity string 值，如图：

1 g* W( R8 Z, i' ^; j. N I

---

I; C A! e+ W; n9 g6 a . C s9 l' I- E7 q

4 M4 `0 Z- k6 E) I. \

远程登录看看，如图： , i# ], c2 u* P8 G% |1 H k

) Q8 H+ K+ T, j- X* d / ?3 O8 a2 M1 E0 K% s T, j

---

/ Q; @* f0 q w9 Z. P' R# H & P/ Z d1 Z5 l

3 a: G+ ~5 u" F8 I 6 O6 A/ X# W1 @( {" n$ o

4 x0 R6 y3 ~, i6 C7 D& _

直接进入特权模式，以此类推搞了将近70 台交换机如图：

---

5 @+ x+ l: v( C; T: P

% A1 Y' `) g. P& z) v

7 x7 o, P; W0 j1 b! ~1 t6 n5 C

: i( {' Y, W+ |

' [3 [$ d" T2 K9 U! P: Y 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** : R7 y$ M, j1 _7 r% n

1 |. O) @9 h5 }+ }/ l

9 P, L& M3 Z8 J* P1 e2 a* I/ s

---

2 H; D3 X) G& e1 w : B, {7 i$ c: J" \4 R

u* j8 N$ [" y$ C9 g

确实可以读取配置文件的。

( ^9 Y' i1 _0 e* C- l

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 3 B6 J4 ] c: f/ y

' k" q' }. W" v; W, T( g 2 i3 v& }6 Q# f! X- q0 T' [

---

- L; n1 y N4 C

8 i4 `8 s1 j) j) s) m- d7 E

( T+ s( }# `! o) A: \0 { ! T4 ^0 w. E% I8 E& Y

5 ~. W% |; j; O3 _2 m, z+ N8 E

4 z& P O# u' Z7 `7 F

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 2 Y$ ~, q) \: q* ^

---

" I6 _; J. o7 D

% |) b. Q; Z0 r% S" \* k

2 |; o0 { _2 A& O: n# v( p* U

上图千兆交换机管理系统。 + }/ Q0 @3 {' u2 S% B0 \% r. T" e

, g3 \; s% O5 C [% P! F; w 7 、入侵山石网关防火墙

( `6 r. m( Y$ I+ g& ] 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

% n! Y9 S" l0 _8 ?

0 X6 r. B0 T1 k% q7 ^ $ [. I4 V- y+ X+ d' J

---

5 S9 b% K% [6 z- q6 ]3 C

4 a. ]; R8 s: V0 [

% l& X+ I4 `+ s- X+ G% T$ X& n

U2 I, f' _9 {( Q9 ]6 d 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： . V- N- E* q8 p% @& h. ?6 D- x# d: M1 m

# s* Q' k9 C1 F- u

% l( F s/ }$ M- ~0 q( e 2 r+ k+ T, y+ s) p& H

---

+ d: G) s3 }( L/ P9 Y; L- ~& r, O

% g' b9 L4 w# d2 H5 l7 K r. _ # ~4 Y8 o i# x

. n0 y8 D& D# t( j8 f: m" O1 P q. o

; \4 a5 j3 E( V( k% e# F6 y 然后登陆网关如图：** # G- D0 n: E) ?) s( w' h4 h

; b/ g9 R: J3 D6 j V7 o

6 n ~9 @3 n7 ~& g( o( ?4 J6 J

---

# d1 T9 F9 q; Q" O$ r5 K

1 _: g& ~! Y8 K. m5 G# @

- o0 ]# ]1 n0 P7 E

---

8 O! |; H2 y, u4 m- q9 s 8 p/ P/ g. N9 X; n

9 J! v& Z8 _ u4 I+ t

! k9 j! ]5 b# H; U. l 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** ( H+ x# k% H* M9 R4 V( _% M" }: }

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 5 _0 U2 ^! i; p" a/ J

, C: q* h- }0 }! K7 s1 b1 k

$ h7 }3 M2 Z a 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

---

: z0 ]0 j: K0 i. `8 w & `9 y. g7 P5 m$ B5 @

$ `: t2 M4 @9 G2 U7 c5 j3 a

& v \" L$ q/ X+ y7 K, e 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

' U( ~ ?, y5 G$ p9 v! R

1 B( J% L/ M2 U* y: e% N& P   , x& X3 ^1 j$ U+ y7 P) K9 X# Z) V, S4 d

2 W$ t# f9 b8 {6 E: ^9 r

# C/ y5 E: v& T0 a5 X3 A+ l( G1 ^
% ]: ~1 a+ \8 ^8 I

. y' }4 b6 C, t