渗透测试某大型集团企业内网

admin

, X6 @9 X) Z" B

1、弱口令扫描提权进服务器

* O1 O* |5 }! F5 s/ \6 Z

" B1 v9 I+ I0 Q D 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: 8 Z) b4 R. q8 }( I& L* S( W/ W' z8 H

---

, S1 c5 x/ F) t6 |; s& z$ x# ?" u, V ( E3 ~6 @* F1 ~" N% k

9 c* f% a3 r; U f

, P$ a/ }6 j6 P 7 g8 J/ S! c# V$ J2 V+ [1 }

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 ! S( a- y0 z, J1 a

执行一下命令看看

---

. y: d# O" k0 r1 i

; b' g, Q$ P& p3 R% K 开了3389 ，直接加账号进去

---

# L5 Z# i7 ]+ r$ ?4 ^% p; I/ x2 l

# e3 O! I8 H# i, q' p4 _

, D% O% y! y3 C7 N; p; O

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 6 P) d2 L- w( \5 ~5 d, _; \

$ N" K2 M C: b) J

7 b3 ?4 b/ o: Y( o* A$ z+ @) F6 q

---

/ f" D8 }! x& M) z2 z

! F+ U( a: R) z! [& Y' T 1 y/ V6 i. r, z1 d% f& [3 D

: G3 g5 D2 `7 q

+ B' j( H2 g% W# v 直接加个后门，

$ G2 M n5 j6 a6 _. V

---

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 ! F+ \4 a6 G/ y4 o

) [* z: Q- S6 w

2 、域环境下渗透搞定域内全部机器

& R% [' U# C: S 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 0 e/ ^2 s7 b- p; \1 G

8 C# x" ^" O6 C R' P# |

' ~' z3 _. J# H3 B' ]1 N! m + j) T# J1 o' ^: b. h. r7 ]" {4 m% T3 z. m

---

/ {' m; y7 ~9 v: g2 }

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 ' N3 l1 H' `0 @% l7 C

# g) m6 w1 v! { x

" r1 N$ M- m8 s, N, m. ]5 f

---

! e$ ~0 l1 f2 n( q& j) E) A( Q5 Q. Z0 f

+ q% C& G& _9 O3 h

7 G) G0 J, l5 `. ~2 _

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

. N' s2 A# x0 O$ V5 r$ ]' w 2 E7 H+ I& ~9 [( k. |0 `

---

% \' B. x* @( t5 F- R' y% t p 1 j5 U* C Y* y, _9 a

8 F6 d. A; Z( c/ d9 t" p- f, e

利用cluster 这个用户我们远程登录一下域服务器如图： * w9 T/ i _' }/ T% _

: _% F, k* E' ?5 ^0 n& O3 S

/ h0 e4 v9 A1 F) p7 a2 e

---

+ Z7 Y% l3 k# N1 R% w

! D3 p4 L- e3 H- ?3 n* e0 t

+ }+ t7 h6 A- M6 R4 p+ E) S% {+ ]

% x% r* K4 M1 n# ^# x 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

v; c7 }- X9 q5 h6 r) m% e# |

2 t* e0 b7 Z8 D8 ~% \0 V% y; E, E

---

( Q" Y$ `. w/ L1 j$ E( s/ C

0 c* t5 ]) B4 b0 X X; d7 I

8 A+ R1 i( V. A 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

5 h* w/ o2 o; j1 G0 c) y6 N

/ W' M0 H( p+ o8 A& n/ [

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping ; n5 k/ x/ T) [7 x

0 {0 y# N* |9 Y

3 _1 g+ t: K# P* c, m" y1 ^) Q9 s blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

- l0 P7 A3 e" ]+ H

---

4 ^* s. u& h% [0 [6 W

& }- y; T: N3 p5 N7 f

5 s8 b0 R6 j* t2 o2 x; z O" Q( ?+ X, t H+ I0 X

/ m. ?+ x W6 N6 [

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 3 J C; y; T; l" B) t# w+ r9 \" b

+ l0 j1 |0 L7 X8 C/ d1 f 0 V7 w% _( e. ^+ _$ X _

---

$ M6 K/ o% g1 V- M2 S 8 V' A6 f7 m: e" M) G# g7 y& ?

# b0 K: Y& ]' L9 r

8 V7 I' m3 ?$ M8 F3 V9 ]

利用ms08067 成功溢出服务器，成功登录服务器

4 T! |0 u O5 J8 k8 {

# X2 {9 N/ n; F9 B8 o% r, K) X

---

5 h L8 y: P6 y+ N% T- Q

" G. h" F8 v* f

: f9 i! r, A" b ~ 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

5 q" G+ V$ c8 S1 r

+ x! j7 A' S# `) Z. r% p" j# G3 I 这样两个域我们就全部拿下了。

6 u) F& \4 W0 n0 v/ m 3 、通过oa 系统入侵进服务器

* M5 N0 f; h8 X

6 K& }3 a5 U% Q* t Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

; Q0 O! ?- ~' I9 m

% M, u# f6 a F2 U

---

+ Q# R* v" q& W" Y0 F

/ T" `. j% e/ e i $ r% c+ e' ?2 |

+ |- E& y6 d9 i% C. O 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

( T' b' b U) l. ?) Z+ ~7 X! {

---

% u8 J/ ?) T- F1 u3 e: W% [" K9 [

) j$ Q& V6 R& E+ x! u) Z

% j3 w! p" C; h% i4 a. ^& o* j 填写错误标记开扫结果如下 6 y4 Z$ R! W: @0 B+ z

" t F- v1 R( a: p" x9 s+ l. ~

---

* p" H3 X& {; |0 D# o " w. N V; E# i/ x; X

* Z& [- |. n0 Y5 l+ n5 B

3 K8 w B( ]; z! G9 { 下面我们进OA - `: p5 W" Y1 b' h6 G& A+ S. A

; O/ R0 ]* A, r% V6 H0 f/ T

---

- e" p( Y% c/ L1 `

$ n; k& Q( |3 q

% P( n# _, D1 {5 Y v7 j$ W

我们想办法拿webshell ，在一处上传地方上传jsp 马如图 ; o' T2 x/ O. N8 ~) F. Y

# t# p" h" |. g( O

3 w( h0 G; y( a $ i" r% u; }$ N: \

---

1 L' y" A) |6 X5 W! p

$ I R7 F) J, R6 Z

) r O: U/ f+ T: Z; W' ?

, ~7 |1 p3 p' |% b5 W 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 4 n/ U2 R; k2 j$ |6 @: h

" Q- K) d! S8 }' d1 `9 u 4 、利用tomcat 提权进服务器

$ M$ W6 N: U. I 用nessus 扫描目标ip 发现如图

, J; ]6 G, r; k# T+ |0 y4 U5 z

---

: e8 t' O: ~7 v- H$ H3 |4 b

& ~+ w$ c- [2 X& o" z- W

登录如图： - i+ O$ A1 \: R; N! n D/ k

---

% _3 R# W6 U, F8 s

# t& c+ a8 y) t7 `

; P4 w; y9 S p+ ^

找个上传的地方上传如图： " \1 t) w( |- I2 q' M. d g- T4 u. f

3 f. B7 i: M; z4 V5 Y! u, q( F$ n

---

8 N# o( h! D! ~; | }0 M

1 Z6 O! K' p* H4 o) D 6 P& f, {( M, ^2 S4 x

6 b0 `5 k0 w" Z& ]( }1 w 然后就是同样执行命令提权，过程不在写了 $ o$ d/ f# x0 @/ n& k) i

+ X# O3 t `# j" g& I4 u1 M. _ 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

首先测试ARP 嗅探如图

- @9 n% u7 H5 c& B" x. W

---

5 |1 n }& ]' F2 G, }0 @" x- b6 Y$ P

测试结果如下图： ) r" W6 h9 x3 |) O3 q6 y

---

' i) Y- |9 z3 O

, B# H& \0 p2 m# Z- m

哈哈嗅探到的东西少是因为这个域下才有几台机器

下面我们测试DNS欺骗，如图：

( L$ p B& Y% w$ ?/ v' L

7 Z, S( a# ?) F6 u- J

---

L# {& f/ N7 n ]% n9 S ( f1 E u6 Z8 y( T' G4 j

: h: S1 W$ L5 ?

: L4 ^0 R: K) G+ c. F

+ C/ `1 F; `- c* ?% t* {" T 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： ' k! p! g6 N7 [6 |$ I" b

- B' r9 c: y) A3 M

---

8 D; A* n9 E6 \+ Q

) {/ c. v- r/ R8 N

$ e8 o1 V0 s; h) _/ G1 k" G

（注：欺骗这个过程由于我之前录制了教程，截图教程了） + f# g$ \7 m2 O. ]6 l

! m$ ]$ p6 }! d8 \5 x# S3 U9 S, o

9 l; {9 Q" F5 v, G# E# [3 g) x$ R 6 、成功入侵交换机 " u' c5 j% ?5 z, H

# x% z* b0 V& k 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 8 G" m; r+ V* P! ]8 i( g* T+ L

. G8 H) G, @, @ 我们进服务器看看，插有福吧看着面熟吧 % A+ X) {0 z% p8 @4 d) R6 w- ?2 K3 F

/ I7 y3 d: W7 o9 |, E! x/ v

---

* M' k) N% c; O F- z9 ]9 V# f

. X; `, x- e# a' y! ~ 装了思科交换机管理系统，我们继续看，有两个 管理员

9 j$ D. B, j& E" r) J+ [! g

# r& k% o" j3 |) }: X

---

2 Z7 Y! O+ Z8 k0 _! o : b" M( r' i* Y1 `6 B ]

" S' [$ @- H1 J3 L: `

4 i$ _% D7 }; `3 }% W1 C

2 h9 V; ?6 n4 r: b* a; n 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

0 G1 g X; u3 `+ Z" z

---

( |0 O2 @" ?) [4 n+ X5 `6 b" }5 w1 M ; S) J% j- B9 P6 K

/ C0 r; U( m4 c1 K

9 F, j, v, h6 J4 t7 @3 r

3 d1 e7 ?' `0 c

, u |) V) j4 P/ f1 q 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

@7 }9 d% y6 \# c5 B# Y# l$ L

0 f! f* j, m8 L$ @ ' O) [% ?5 N( a J

---

( U! w+ m5 i0 f$ n n

( N* _! F+ w& C% E3 y

/ ^. i: o) M& q# g) M1 b

W: @+ ^4 P4 @) S+ A6 ]3 `

0 z# {+ G' m% I* t 点config ，必须写好对应的communuity string 值，如图： 2 y! w9 J/ b5 R$ U7 X7 w' X [

8 N* ~) R7 u: v

7 N1 U3 r: E, s5 ~8 w v7 v

---

8 v2 N8 k2 n9 i2 r; f* B( ^ - ?, u4 X2 P) i3 L$ H

c6 T* r: W9 w8 S- ~

' j# h, b; h7 X9 k3 ]: G9 J( i

8 O3 {0 H" ~$ V! ?2 e

, ^2 O- \* o$ q4 Z) d4 V 远程登录看看，如图： & o6 L. q# V- U/ g" p

& D/ z- s* R% P4 Z/ h; ?5 W; f' }4 `

j" q3 P8 V. g5 Q# N

---

% R9 I6 Y! o4 }+ p, n! r b8 R/ I, i7 F0 I9 S N! l

' u. a8 y- U t- k; X- I! k x

5 @1 E: y8 E/ E4 Z" M: Q; @

U/ @3 C( U7 S- E3 H j0 S 直接进入特权模式，以此类推搞了将近70 台交换机如图：

3 n! G5 Z( l3 q; F" y" w( Z& ]

# Q0 N# L o1 k- H% B

---

& V) Y" T- `5 R. d$ k, V; l% q

& C/ r @+ Z. T7 P- C! ^* d+ h6 \

! C* o7 i$ \+ q6 H5 T6 `' L, d0 b

) G2 p- z0 K; y

% L- w9 v7 f, H2 h9 E2 b( E: f* o

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** $ v# z" I' `6 x! J6 G

2 T* o% {# m, t. _( c2 ~7 y3 h4 m" {

! t1 ~# P9 X1 T8 x/ z3 x1 o

---

& W9 s# a+ y6 C8 _5 y: j" J1 Y + {/ p% l, E, X, ~* m$ ~

$ I6 i# { ?' M! V2 S( f {

! F' L/ F8 V* v2 z8 u, v

) ~& h( h0 T' C7 a4 f. I# ]- }# b

& ^& [3 V" Y8 a 确实可以读取配置文件的。

6 e3 v8 V7 o( ?5 h7 J, a

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 # X( o$ C+ C7 k- g& N ]0 T

6 r$ F+ I# n+ H $ s' Y8 {+ B! B& T" T

---

6 }; ?$ E+ }7 U4 o

" c3 U- c F9 @& x/ b g! Q

9 n( M# ^/ L! J6 m) y9 s

7 V$ o- w; S6 M" x# B+ u 6 V. g; i6 z5 d

: K8 R, _3 r; b5 v

6 B0 j t0 V$ p2 h9 m, \. V. h 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 p7 f8 Z& }" g/ f: M0 e

9 P+ Z6 H4 R5 `- q/ K3 N' ?

/ k$ v; p! s( h( P' s8 N + g* M) E/ k; I+ C9 y3 q- E

---

- ~( p3 X7 W4 M , d; J; v! z y' I9 Z l& G

2 G/ M& P' F4 O" ~& e9 g

) k) I) W7 @# a: n2 g7 I3 P

上图千兆交换机管理系统。

# \. ^7 e0 X: G4 [$ s& t. p* b

q$ W2 \( R' J' s4 z+ y8 Q+ s 7 、入侵山石网关防火墙 1 ~0 `( r; j: b: \+ n

; S7 B. ^0 o; F2 C- |: W' c8 d

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 6 Y; {1 }# l$ x/ e" g9 z4 R

" J0 K6 M: N* v4 _. v6 I

---

2 T8 ]/ M0 w+ q" N9 n" m i

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

---

5 G8 m% S) Y5 ?0 K. M9 s2 s

. V+ s3 L' O' ] ?

9 i* q; Z8 T' {) _

2 y- q( |' F) {) Z/ A 然后登陆网关如图：** # N& L( f8 [ M8 S" g4 k

1 d. x! a e; N

" X; i# t, q9 w0 Y1 {

---

7 \9 C+ Q4 |( j& p( b

6 c# f( t- E% @+ h2 @9 w; E

& H2 q7 Z8 F* F+ V- Z

6 f4 ~3 R- ~ L5 [# N6 v

---

9 M' F( l$ B4 C% c" S

6 o+ Z6 m. |3 y/ ^& a

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

9 h/ M7 j9 m! y3 w% B' M* v, w

' e6 Q! L" N. g5 n0 h

---

" ?; r2 c; i- A' Z* e

" @1 W: n0 A. Y& Y: z3 p4 P- W2 y' p

" x* w: h8 M' Y" A6 D 2 l1 Z4 g, A! U+ x9 ]4 g' u

* j! [9 H8 N! Z5 M

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

 

& `6 v- R* ?, H$ J7 Y9 Y- l% L; E9 m

& w2 ?# d1 S* \% |