渗透测试某大型集团企业内网

admin

) |- Y) N i* Q. k: O. L( a

& D# H1 b+ `: S8 D

1、弱口令扫描提权进服务器

( V: q* F. M+ W" u; \" J1 c

5 o) c9 U' I, K7 t9 |8 N( q) D 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: & Z4 g; f0 j& |) c% M/ s

. f7 q, H: P9 S- v- l$ ~

---

! i& F3 Y# K. o4 A) A& f

, w! X: `! M+ T

$ o3 }# a6 s' z# E/ m ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

. ~' x- P$ @% ]2 X7 Q 执行一下命令看看

6 f" v. D0 t$ t9 S2 `8 H

: _3 ` V# l( Y0 l# f* c* j

---

' L. c4 G, V0 G* c z

" }9 q. i1 l; W9 w: V0 h

7 W4 M0 B7 d2 z4 }" @7 h$ N3 ?) R 开了3389 ，直接加账号进去 0 ~, ~- H$ b7 ?# e+ A

% A4 u& o$ E8 q* C: z3 {

---

: @. ? E# P T- X" Y) A4 |

8 E# r8 @0 O/ M- E. Z

" g% k* e. {- k4 @3 ]4 X 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 " V3 U& w& q% t4 \, m' Q* L

% Y% J" @3 E( Z

# x4 S3 T: v9 i! `

---

d9 e* Z: \5 {6 U: w" [% z& b

# E% A& V! @4 i( s" H+ e) j2 K+ W $ |$ j1 z0 Y& w+ m9 v. |4 w+ l

' H G. u% I7 [- o) x4 M 直接加个后门，

, N9 p1 B) W* n0 B : z0 |3 T5 c, z5 \" o2 T4 ^

4 X" U$ c- H. v9 x2 v7 E# T # a& H0 F) V. m( ^) k/ ?; x

---

- D/ O! V+ C& p; b s

; h f* f3 C2 L6 Y$ M- v$ p

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 - C/ g4 _7 ^& n) S

2 、域环境下渗透搞定域内全部机器

6 S; V/ h2 a! `# n o& r' L

+ ]( h3 G3 s, U 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

---

; d2 K: M2 q8 v4 z9 j " k) `! P+ M( u/ k5 n

0 L! g t' ~' F& w- ]5 ]

5 Y% a& t" D9 C; S$ s

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 2 I" s8 v' W; U, I4 B+ B6 X

1 o3 N9 ]; L( L0 U9 G& N& R5 [

---

! a5 n$ _7 R: d3 ?$ i, k/ } " `( d! v2 ~6 V' `* m; i

: a1 ^5 s P. E7 a) H! I2 e

& V) {1 f4 }' w8 Y

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

8 r' s9 J1 E$ l- M: z

6 ~, Q( R2 U% X E& ]$ q9 Y; K4 \# A8 f1 X3 Q

---

0 w9 S+ r, m8 c , v: {; I' E" A+ P2 @$ a$ Z( R3 K

" k6 \ d4 C0 p% a& R8 p' b8 s 利用cluster 这个用户我们远程登录一下域服务器如图： 9 d7 M9 A, H$ R0 V+ R7 ?+ k

---

1 o0 Z6 A- d' ?3 H& d6 @

" A0 y/ `. W. l. M$ d1 r8 q

( M) f1 B) `6 ^8 b

+ m( K; d; d7 g# o! p# ^9 `% L" i 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

' y/ X2 I: V. X0 \ - G# | q; P" j) j5 z2 t" S4 p

---

$ t2 m2 y9 |+ _" {

* E" c; u; }/ T. o. q

5 U6 ~3 l# m" Z6 F r

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

4 q5 ]& B2 y$ [0 G- ~0 W

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

' Q3 g4 z; h. I5 I6 T% ]" F blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

7 X% w# E) q$ M, ?; C5 i/ u

---

5 Z7 Z4 H, E; t& d3 o S6 z

3 ~: b# D, K( j$ l

7 k ]3 E% [0 `; f/ _$ b

+ w5 j+ v9 I W6 y) K" P0 P+ n 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

0 q3 u7 v4 |; d( t L

9 o" g3 `4 P" n: @7 C( [

---

/ P3 {" y, T; v5 E$ e" l

1 V* z, o* F& d: T3 j& Z

" u- D* b: V, Z* y; _ q

[) {3 e* \8 D$ b3 E

4 Q2 j( K" V. s+ C' t2 w0 B5 v' O 利用ms08067 成功溢出服务器，成功登录服务器 0 [! @, g" @. f; }: `

- E& V% M& H8 H

) I7 r' {, t2 m; n

---

" ~( K& q5 ` q3 O9 I6 y

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

( K6 h7 K/ {8 l3 T; k$ R

2 F5 |' r/ z$ @% r 这样两个域我们就全部拿下了。 6 G- @. a+ O- s

! t9 }4 s A/ b7 u

% z- G/ r7 R0 A; A 3 、通过oa 系统入侵进服务器 : B+ |9 o& ]# M, L' o

2 m4 g8 w6 J7 I. K0 L+ C5 U+ j Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 0 w# [8 M! |. k) D9 G

---

5 ]& u& t+ c* d

) X% @" k* {# ?5 V' ~- B9 o2 {: X+ Q

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 - H6 \+ B! S0 N! k4 T# I; a8 I- i

7 `* S5 Z0 V) H+ Q7 O

---

; `( m* f" }. d, S* ~

0 y; d4 |4 g4 f

# N1 h: r# \& k' O! X$ ~

6 ]# t. |, |5 p9 I( h 填写错误标记开扫结果如下 1 Q5 H4 \; X" J6 k! A% [* O* `" u

7 g+ K2 B5 L, v: a2 K& h) E1 t

f0 V# `; n- `# c( v. V+ ^& U5 t3 V

---

) t- x1 K; O# H" d. W / Z+ N4 y- C+ f) {; f2 F- u

" D; Z* |. U2 F ~, `* a# \ 4 N1 k8 i5 K+ V* j, y# R+ C! L/ f9 n

下面我们进OA

9 _' \# Z% K; W! Q

---

5 c) I |* g% k! R+ \% J' R; x [ 4 W7 m& b& W+ \. q7 a& j3 c

- L1 F1 ]0 x: Z( K. L. l9 D ) P+ F! g4 C- ^$ j

) L. v, g- f f' Q j, r

我们想办法拿webshell ，在一处上传地方上传jsp 马如图 * y5 {, }5 r1 h& C9 j

---

6 h- d, b8 g8 E2 r% h

6 [ e: n* j: C1 X6 s$ P# j

0 {0 j; G2 g. v$ @' ~

$ B6 Z5 ]$ A- {: X" c 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 ! }4 V( b9 T) y; [& I

! o, Z" W6 C) a- n. g& M) l7 e% |1 P

) Q7 M. W/ M7 p& G! n 4 、利用tomcat 提权进服务器 - |0 ~1 }& A: `6 F/ _

用nessus 扫描目标ip 发现如图

" A ~& h0 J# s, i! u. H

9 {- K2 T1 e) |5 t0 A/ Y& Z7 z# @

---

7 ?: @# ^( t" z% v' N

0 H7 s3 g8 p1 W# M* r4 z

- ]) v' g- n4 [8 }! c- L* b* K

7 y0 _/ D) y# c% m# t5 p 登录如图：

4 a0 J" `4 _! A) E, l

/ \$ p* d" F& E5 ?: }1 u

---

" K# S, v P# F0 x7 B7 L

( v, c0 @1 K5 m1 r4 Z

" k6 `3 W' u! Z# J' }

3 L% L) B) _; s- O9 A# D 找个上传的地方上传如图： , `3 U2 \5 a* K+ ]1 ~# J

* `, f2 N9 T8 R% F7 U & v# Q+ u5 l5 J' {1 W) k: E- O4 o

---

9 @+ _& O8 G3 ? o- u; m3 f1 u

1 r: y" N8 p: s+ }" ~1 j5 \ 0 i# P' x$ _4 M) H. e

7 C# E% a+ i& a

然后就是同样执行命令提权，过程不在写了

7 l) d5 V! k3 A3 ]; C6 A

( K7 ~% {* }6 |9 i6 E 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 8 O: ]- W' ]* C S2 B9 S, K; w$ l

首先测试ARP 嗅探如图

& A' r, q/ e3 u, F& `/ r' c& O% n

---

$ V2 H) E6 r: g h

& I3 j. g8 `6 `2 r3 |$ ` & T; S0 c7 x4 k* N4 |

) w H, X2 G# a j% n8 C1 s8 [$ |

测试结果如下图： 4 K7 W' o' i1 m% | u1 J: Z5 |0 T0 M

' v1 L) F# l4 ?' P8 \' ?

---

9 j* R( l; |9 q3 O7 ?, v9 [

5 C/ B- s) i) ]

哈哈嗅探到的东西少是因为这个域下才有几台机器

) ]: t! |8 H5 e# D% W: u! }9 u 下面我们测试DNS欺骗，如图：

, {1 D$ h6 D+ H( D' G/ ^9 H

---

( Y, B6 m% r: ~1 s3 H9 w

3 k7 u& j* ]! B$ D! {7 y 2 L( Y7 S' \# H; f( m/ o

10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

" J/ x/ C) J& S2 A/ W/ @. y6 @9 {- `

---

' X, l' |8 ^0 [! H6 Z ) m+ n6 f8 v+ P" t7 s! I

. T1 r" Q1 K6 F: R1 L z- F, ^

( l# }* t& T2 c( }9 d ( H! _0 s) q4 }# Z7 x% P

（注：欺骗这个过程由于我之前录制了教程，截图教程了） % Z3 W& }/ N u4 h+ U) r) X9 h0 ^

* P% @( F. c q

6 、成功入侵交换机 $ W5 {8 [3 p. b. Z9 S/ U

( o2 I8 D9 C" U$ q; B

# o; L, S6 N! C. d; U* k* f 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

4 e; d9 H" ^% G3 h' ]- i! L

! |: b; p$ Y. | 我们进服务器看看，插有福吧看着面熟吧 5 P" l$ E, k' u6 s

* e; S/ L/ `( L A

---

4 N: p( T( P: i- V

p& X3 X* M. y, @

$ S3 A' D2 Z9 I 3 l, N/ [# |' i0 T" k N

7 [/ J+ \7 \1 N- I' \ 装了思科交换机管理系统，我们继续看，有两个 管理员

% M6 h8 g9 [& f; e1 z6 k9 v1 F & z5 ~+ z7 ?0 _ ?6 g' p

---

" j0 A$ O8 _, |. z8 z* f# d7 D: ~

2 d# A, v1 q! M0 b5 |2 J

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 ( ]- v2 k0 S+ S& m# d5 p6 _2 d

7 W) L0 p3 x/ x

---

+ p5 L/ \. D' H5 O/ A, _

- r. l, w6 v3 U: t

) ^! K- E6 l, d. d ) C. ?6 C0 [& x& g

, e; j# W& d$ L: G7 M 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

- B2 J5 u/ j% Z, C- V; p* s $ s @. Z- P: w9 M' i/ g

---

; C+ X, H i, o" L- v

点config ，必须写好对应的communuity string 值，如图： , m- L( t$ \1 P7 d

---

, z* W: s4 z: s* r+ p- |* }* C

远程登录看看，如图： $ s' C8 u3 @, B0 B

7 b- V, A, z7 Z7 c$ }

---

" l" ^4 W1 x+ s

, V. a c. c4 k

直接进入特权模式，以此类推搞了将近70 台交换机如图： 4 N; Y0 T; _, X6 l4 Z' d; E

+ S1 E w- F4 v4 B8 _4 @7 I

# s8 X8 v; U; m9 n: w; I ) A4 Q1 D4 D% V8 t9 @* A

---

( f* W9 w+ h5 I/ h

2 u* @" V* s- ^8 ^ & Z$ | S& W1 p2 h5 |

. u0 o* O5 ]5 \" f. Q

$ P$ X ^ \* t9 a3 H. @5 l

! _1 [2 k& D6 ?

$ j9 n% T+ o8 }( z# W* j; [ 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

---

- u& P3 ^3 }2 ^3 d 7 T# i Y' [& W9 M9 y

/ r5 h4 p0 n3 a( O) `) F7 C

- t: I a% F0 B. u$ Z 确实可以读取配置文件的。

4 ~: D( | X5 \

8 l) Y* H. j w; i 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

. K2 x) X( _. {* o7 _' p

---

" h5 u, M ]6 O: N( N0 E7 o

( K1 x! P9 s5 t; J0 S h; [6 ~1 M8 M

; U% s( R: y) Q

# O$ [) I) X, S$ y% R6 D5 Q1 ?

* G j- E5 r' e8 |, V' E

- P) u8 L% p; ?1 h1 W 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

8 v# P: X3 |- R

---

) {# n7 r2 _) C/ g- F0 T) M, g ( Q" ?! W" D5 y, c( C5 ?( ?

) r8 S/ j8 o2 [6 D2 S% |" G

1 P- N7 p# N; w4 u5 t ! d+ T: C6 ?7 M7 Y' w+ Y! m6 v4 ?: _. K

+ \" P, m, {9 [" R

# e9 I7 I7 l! Q: B2 t 上图千兆交换机管理系统。

7 、入侵山石网关防火墙 : k* l9 `* P+ T2 C7 O% D

5 A0 K- O" b/ j

" k+ L$ Z3 q: }. ~( t; N 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 3 k$ a& K3 ~" s

/ d! E T$ h2 T

---

# S3 w4 ~3 q0 x" b# l ) G5 S# {, X( J0 E9 T! a' `, [

1 |) T5 P* W5 F1 V; `$ `8 h0 @: K

7 a/ T8 K6 L2 R# S7 G' N! Z

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： , p( {3 y" ?4 S/ m# b

0 |/ s) K1 q' r- S( i) q

) f; U7 k8 S- T. u/ }, m% k& w/ Y , m% k4 ~( f$ @: s3 }3 e0 M

---

0 F& N4 C+ G4 Z

" k% y' Z9 H& N/ D2 q

% x9 e7 Q. q, T E$ R @. [( c0 ~8 e ' |# O; i6 ~, J% ^. x. e9 b

4 j1 G2 g9 X1 \' i" j0 O

, c; t$ k* n5 D 然后登陆网关如图：**

5 O% ^" q- i$ d; ~. j) q

0 {6 o$ `( n$ S( `1 c! J$ u9 Z

---

6 P j% u$ X V( [( H" f! A

* ?& a# x! y: ]1 C9 _

---

0 H5 w$ L2 D, s- d- z' e6 \. M

6 ?& b3 K3 d' i 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 5 s& R( U) Q" @# `/ R3 v

6 L3 h) @/ d- x5 d }2 w

4 J* z6 x( M) i Z# j* F" X 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

# ?2 Z }* j7 ?. N5 r- r 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

---

u6 ]7 S, D2 E/ ] V' F/ k, a9 `

8 `, [6 C1 t2 ?" H! J+ l

0 U$ D$ r: G! U1 y

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

3 k0 `+ R' j6 [' N8 _   7 o' o7 e* G! X* Z/ R9 A

( O' Y' h1 {3 p( ~: P

$ g j9 n% D* i' y8 {: w