渗透测试某大型集团企业内网

admin

1、弱口令扫描提权进服务器

] z2 q b3 h0 h; f: i

I/ `5 ]/ e% i! Z& J- ] 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

( O5 F8 I: P2 h$ d% |8 s! z1 e

---

9 @/ G% z2 D' `

( W+ G8 S. e6 f, t! p. j

# }7 K) m' O* b$ e2 t3 ?4 y5 n

+ n3 e7 O# F* p" j. l ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 ( }% E! p* `8 |* }. K/ t

" t* Y+ h$ y4 c! \- l

执行一下命令看看 d: c/ f8 B9 X

5 X9 o* K9 E2 p5 D, u% G: J* S* ~ + j( e& P3 ~+ s8 j$ a

3 G* Q1 I! G4 W$ q7 _2 m

---

" b$ s6 ?. k" s" O4 g 开了3389 ，直接加账号进去 \' [! Y$ i2 h, o8 ?+ x

F# ]' p! O/ L. q+ w- d

6 r9 Y* I+ p) j& K ! ~2 `7 s* }) u7 B# T; w

---

% q: N [, m2 n) t

8 f& S' H. W9 j! S ( F1 W( x0 Z2 F5 k! S

( j8 |" D# [. G: b0 ?* C+ E2 |& I 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

7 i% b: N5 M# D8 o1 T( C

---

& r- s& Y; b' i, V f

7 t1 z. z4 |+ c! F# q& r6 R& R; V

* b. T& M: x9 n/ P5 i 直接加个后门，

8 a/ w( B( w; z: y! T$ h9 n$ k

7 x+ }1 W5 O7 O2 f1 M

---

* U$ O/ N! i7 b K1 x# U! u" |

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

1 z* g5 D, M. d/ y# @$ |- _

2 F5 h0 ]- E* Z2 z 2 、域环境下渗透搞定域内全部机器

6 ]7 p0 z. o. O, O0 y* w

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

+ h0 ^' o( E7 v

" Q/ K( S1 w! i9 y) M/ J

---

- R8 ]3 f3 a" j* f3 D0 x) I' F) R : }2 m, L/ v, @) U8 E

( [7 w }# Y0 y( s

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

0 i' V# ` t) j" X$ i) d% A

---

% [& N. |2 N# e3 F % H* e" u- E4 U

3 j9 I# R$ e( `$ t% D/ \

4 W# Q7 Z7 i7 P, s 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

' I2 c8 [! e: {" i# T

---

4 X/ l8 C( ?; [; J0 w

- f9 T( T3 B! R/ G* m

8 k3 b% d6 N T: p1 W

利用cluster 这个用户我们远程登录一下域服务器如图： v. N/ E% I+ `0 s h T0 G. T8 d& i

, `- d+ \6 e* V! a- Z' W0 \ # ^- @) Q4 | u+ t& ?

---

( J/ a. X4 w" v& A8 p; k

0 g5 O3 U: D2 Z, o7 t7 _3 ]6 |1 E

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： $ C z% R& k: a! h

, `9 r4 z6 M/ h: H6 k) Q

---

3 U$ L: q C* h* K8 K( b/ f/ P' T7 U

7 B. _2 c: E3 G4 }* G

5 w: x8 R- } w, \5 T5 l; r6 @

" ^( S, g. S8 j* f4 k 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： $ _6 v }1 M/ o( ^( A

/ o# d3 _4 I+ m- {, H) l

* N9 p" |9 K5 ~* T9 h8 l # B$ J; j c- T, G

- T# z9 c9 ^! O& x. M 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

P! v3 R2 c& a; s4 O j% J

: W2 \7 Y4 Q8 r4 L blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： " v; `- a, Y* p$ W0 W- r2 m2 D. L

/ ~5 @ ?/ G6 {6 g" |

---

( P9 K) q8 ?$ H8 c 1 _. J$ K$ r+ s: h- l+ j" P* E; k! ~& y

4 G; H8 c" T/ x8 f% C9 J6 X6 s, N

3 S& ~, n! `. @5 q$ H

$ f5 y1 n! n2 F4 @# e# y2 G 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

' g7 |$ s1 |" n+ \8 W

' {" a3 K% c( p/ F" t/ R1 q2 q0 c

---

: e6 P, X4 p2 G5 }" {6 e# \; c

. ^/ T! ~8 x# g$ a: M! i, b% J

% O( H6 W5 B8 C* l9 p

利用ms08067 成功溢出服务器，成功登录服务器 % g7 q3 o+ S2 x/ E) {8 }" K* @+ p

$ X" A3 T v$ x

---

7 _% }! E8 n' Q5 |. X6 \ s $ A0 b6 W$ f/ L$ I" l7 U

7 K9 ` ~& J" C7 d

. C! z* T a2 j6 r+ X

, p9 u0 d% B& r: A: B

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

% @3 v) H' J2 ^ 这样两个域我们就全部拿下了。

+ \! @. C4 w) {& h1 e" G

" ]3 [3 h" u: R$ b j! G 3 、通过oa 系统入侵进服务器

$ a l, `& _: b: n" F' B

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 4 B/ O! R0 Y4 A2 e9 i& }/ r

4 F) [: O" j' L; ~, B! L+ P

& C8 _3 C2 f. |+ R9 o/ q @ 8 d$ V) G0 n. y1 o T3 G

---

+ R! A o6 c |

& A; G( Q+ v$ V

) l* A! R4 O; m- E: j0 h1 M1 d3 h4 e ( Q2 Y6 I/ o5 j* g. ]8 c" D: h7 N" R) D

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

" i6 t" w- J( V. J

---

F9 ]1 Z: @9 j$ n; @

4 y' U; S; E& j5 Y$ Z1 z ( a7 `% j' K% B8 D% g+ h

/ o, G( m8 J1 J( j/ i( C9 B

4 x- S4 H5 H8 j4 X( w8 D* }/ `& d 填写错误标记开扫结果如下

. s" l" V$ F: w+ ~5 b8 Y

; [8 ~) c: i5 l! U9 j6 X2 V# ?0 r

---

' U0 Q; {* s! q) }8 j2 X% Y; n ! z, [- M# L+ R4 X/ O

下面我们进OA

* r& i' X# A5 U( B! Z1 z* Q# E1 ]

1 A( m l3 `+ ]0 z$ ? - l" b3 R# B5 }' B" C( P! y2 O

---

; f C2 W5 ?3 Q- X9 r- f

7 F/ C2 p( w5 k7 u9 F6 F

1 Y& b0 I. t% j" Q: J8 C5 K$ V4 q% d

8 E2 ~7 I+ i$ s; p2 b9 S

! I+ ^1 o" a9 F. E5 f 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

* E, _4 I7 e8 z9 B

: d J2 C2 n i' s% \

---

. M* ? }. C* _ O: }

- C# t* ^: c2 ~& ]8 A

. q+ H7 b/ w2 Q# x

- f' B9 ]$ }0 k

6 K5 b- @2 z$ g: `8 ` 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 6 A5 p4 S6 w; O. N7 l, g

6 H1 g7 _( }4 m* z- H

2 ~& |7 R( z& G( n7 u+ i, D2 q. J 4 、利用tomcat 提权进服务器 6 k0 E* R( V6 O

4 N) S: O3 Y! H* I+ J- T% Z

用nessus 扫描目标ip 发现如图

; K- N- q# F' C/ k- \5 S

---

8 p% L9 F0 w) d5 A, l 0 q. n1 j( D! C

6 T m1 P* ?" Y0 F) D7 T

( ^6 g& U3 h7 r) ?( q. I% C: f' h& k, Y

. @' h- t$ s7 H5 b5 o 登录如图：

2 L- p. y$ h p

---

7 O! N- W- _4 n5 w4 R, W

$ U% J2 |( D- {$ x

8 Y7 p; Y$ m1 H' I/ f% R; ^

; D* u" U1 |5 x, I2 O0 T

找个上传的地方上传如图： 1 q, a9 p9 ~1 y( A6 ~. k

- {4 Q/ Z- L( D* Z2 Y! o

% ^1 m5 Y2 s6 n 8 X/ m1 M, s5 H# m

---

0 P: M/ e; B4 m& h. g

# E. L, M3 H! j1 N0 Q" Y! [! k

然后就是同样执行命令提权，过程不在写了

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

/ p5 `7 ^, j. ]2 }3 Q+ h5 f0 R

首先测试ARP 嗅探如图

3 H$ a6 c) s" o# r8 e; H

$ V: N& c# N- o- X) I& D c5 R

---

. ^* k1 T0 U! ?9 u% z* N: F6 n0 e

1 X* z' O& _5 \% m

6 Z; P# s; k! K 测试结果如下图： , B& O- e* S+ W" p8 Q

/ [1 `# k; Q- A; l( l- a2 ~; u9 W% @- ~ 7 g. p8 Q0 L G" d

---

! r; `$ i+ j/ e ) J7 T$ C; D. C, K( {. x9 g

哈哈嗅探到的东西少是因为这个域下才有几台机器 ; H0 p! l6 N4 @6 e

% L' Z3 k9 F7 U. I2 f5 Z% ^

2 z4 Z7 {; F2 R9 y& L% ]8 a( ^" G 下面我们测试DNS欺骗，如图：

# o9 h% ?) V9 K: n9 m" q( U: c

3 X3 t4 E' `6 O8 I

---

6 e5 @5 k/ F8 ^/ s3 w9 A

, i ^7 p- X, u4 ~; H z

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： : {, q8 P. e$ \1 ^# m) `9 H

! s9 x% u m$ D( k' l2 t$ x

---

0 c2 n% S, j: J* ?, d

: q) w) ]3 u; m, Q4 h4 k

2 D. Z5 x3 w( [" F

5 \& Q: {+ J& n- T9 R% [ （注：欺骗这个过程由于我之前录制了教程，截图教程了） ! i5 b, Z+ @# L% X, m+ s4 W

( k4 G" } m+ ?; X3 E

& J& T% u i- x$ \; b. R$ C 6 、成功入侵交换机

. q; p$ C" c; F: S2 R8 f

' D3 n( I# D6 p# r 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 1 X D$ C0 H8 C& `2 r+ c8 ~

) A1 V" H4 A3 G: ~/ t Q

我们进服务器看看，插有福吧看着面熟吧 ' m* m% }3 h2 u. {: ^8 d# \

---

. a3 S* a$ t( W, a9 _ ' y; X: y- R' ?0 |

- D: c' d) L+ H/ E2 W' s! U( U/ i 装了思科交换机管理系统，我们继续看，有两个 管理员

; k: p2 e3 _; U8 _+ ?8 `; W& V9 U1 n6 I 4 O( \7 `3 x7 U

---

; i0 t- v8 K% ~- W

4 {$ k8 R/ J+ }) o& h

3 M- L( j: g' P9 C) P % I$ D6 \/ F; b) l

) A5 Z2 v4 c: \

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

0 Y. G1 g8 Q9 S. } S/ s! C: Z

U! h* W. V/ R/ A5 e9 A 2 l" g ~, }; u

---

6 y: b/ e$ F y9 ]: _% |4 D

2 V0 D& A2 C8 T ]8 G$ Q6 [

( H7 p+ N( g. P7 y

% U$ x" X0 \ n. j; X6 X/ O" F

! A5 E# w% Q" h# S, W- S 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： . L: b* Z" ^, t

7 E2 p' Y2 t6 {, ~

4 z* F: [# C7 D2 L+ ^0 O1 `1 Q( g

---

3 D" \9 c) p0 X& W

2 b+ n# p) \) Y/ p 点config ，必须写好对应的communuity string 值，如图：

% Y1 Z8 a( V: a

8 [ o# z! Y3 k J3 z& V; Z

---

$ L6 b: h7 i4 ?( L$ l

2 N0 a7 y/ k; e" V9 [& X$ {% |

远程登录看看，如图： 3 B) J! [% h# o5 O- {8 S+ ~

2 |4 J7 ~0 ^! A2 \) ^& S

( a; h, }* q3 u2 k# V$ m# t1 @

---

2 i% \! o) p6 A! u" ]% \

8 z7 g; J8 Z! t+ t$ {" J

直接进入特权模式，以此类推搞了将近70 台交换机如图：

; ?" U3 r+ ^6 ^6 y1 O, w: R3 L : X1 u4 Y. R8 ]: V

---

- w3 _4 b; {2 v: d

' W# `) H O+ \& e

' z8 g" j& n5 L& C8 ^9 B+ l

. d7 T( T9 L, W6 }1 l7 I3 t

- `/ u* K9 ~) u$ T! L" i

. i' i9 @% z6 c9 ~! S 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** & Z* @8 {+ a" e

|" F5 E( k. U6 C8 k) b2 F

---

) Y1 F. C+ y4 Y- q3 K

" ~, n3 _0 W n3 {' Q+ `+ V

@/ v! T- S$ W5 n

确实可以读取配置文件的。

' ?6 X- R) A( _! _

Y8 R$ `- R5 ^1 `# A 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 $ ~8 Y7 z% k# ]% g- v4 u( \

% G8 ^) p+ S. N$ W! D

$ s2 R1 J6 V& {" C+ r, ?+ w, Y# }

---

" u5 x: w' A" w3 w 9 r9 L& _$ M* C9 k1 R6 s$ J

* B; ~: _, p- S& {7 t- j

3 O! q6 Z' }1 ^2 e5 m

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

9 X9 G H; ^: k

1 ~: v& K- U6 { 6 C' \! J/ B. v, d0 H& t

---

7 n; M$ H/ y# `

5 j/ v) N: O2 R" u3 _4 ?9 v9 D

7 q! W4 z: N" p. G* k

. A+ s$ S- a7 t8 |' D" m0 x' z 上图千兆交换机管理系统。 - L% U( i5 c6 z |3 a- o. C

; i+ {( ?% L6 t8 t

7 、入侵山石网关防火墙

@+ D1 ~& y I) p

1 r+ O: k+ P d3 T. L$ V! ~7 u8 h; `* l 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： : W+ d8 B: m# U, E4 C* L8 V/ V

$ |. d- L! }1 z6 r + g7 A& X! n& e8 r

---

`+ Z" r+ a; N5 C * T, I) z, V+ [3 |, g4 p

( Z* ]/ w/ s2 ^2 h: ^ . M2 a; C3 T7 B$ q$ p

& Y! r$ j4 I: ~* f) R- Z% E 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

- U3 T, U" O, u& U. q5 T

---

+ }- E* P% u7 r$ R, R! U% v$ N9 U5 n

" o8 @/ F: Z3 y$ v, L9 f6 V) W

' p$ x: _- B$ y6 ` u& s3 q

5 E0 }* T; Y4 d- @+ S5 ] 然后登陆网关如图：** ) L0 w- e$ x" r t7 J# e, F6 w7 T5 J

- J3 U9 K- ?' [ 4 Z# A+ U0 w2 e2 Z$ a

---

8 o1 M7 |4 y$ e0 x1 [1 E7 P! C6 N

% k2 n( \# U4 {# E8 [! V+ H

. D* L$ W2 V/ j, j: I# t

" R( I! G p/ h

---

0 ~1 \3 T- q* N S

( \$ `/ o: M$ h* b, J 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 7 l: ` |- N9 b0 y) ]

4 `- I4 D9 g. f

. _( v- e" b) `) Y8 H" ~ 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 : d( N# d0 @0 N2 T/ ]

^3 V6 d% ]: E' x2 G7 T1 Y

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

' M8 R6 r# I# V' _) t0 [

---

b! f" L1 X- s( c9 M$ `

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

  , S) \3 P% n$ Q/ m0 j6 w" ~

" U; M. I( K, p3 G- o: c4 _4 M; G