记一次某医院渗透（近源）

admin

! U9 [3 X1 a4 U% y( x$ j 声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。 2 N X% A1 c/ c/ N* g1 J0 R

8 P: u. d+ C( y2 q& G1 u 众亦信安，中意你啊！

6 S1 u W5 ?* L4 A2 L3 HingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

$ f8 {9 p1 q" q( I' q4 @( h. ` ingFang SC,serif;">

1 \% ^/ L0 C- C( s; o1 q$ o 众亦信安

红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;">

ingFang SC,serif;">26篇原创内容ingFang SC,serif;">

- m3 G9 W6 s7 H- N 公众号ingFang SC,serif;"> : X3 g$ o; f5 X3 }6 C+ ^% k

9 o/ l P$ U# N: }4 i" Y' l
. n9 R5 Z4 L" R* o! [4 B
: J' | Y( C: n m' z- n7 Z% c* t

* _! u, U7 W% P, R ]5 _) W4 F

点不了吃亏，点不了上当，设置星标，方能无恙！ 1 v. J; [/ L) s% b3 N8 c

9 l/ J9 N3 j" l; M$ B$ D$ E ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> 

背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。

 

) h* a! e# W p! \

* Z1 W6 X. Q) n# a5 @ { / f9 Y$ e# V+ ^. J

无线or有线 3 W5 e. D5 _% \/ N

大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 # t6 R6 _. x* W- Q

% b9 a2 N; n% S4 o- P& m 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 ( R% C! W. j S0 G; J: U

4 R$ ~8 V& s$ S0 B

# ?; g1 N! m# v: L: J# i/ h. |

这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。

! I3 }' \5 H0 h: r7 J. i/ V/ ?

/ k- r% Y, K7 q6 r( V6 Z

很快啊，美团下个单，没得网线啥也不能干啊。（血亏21）

. b7 u3 @/ ~% H

: U" o' n' L% i

插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。

6 u' C- u! a0 g4 v% |7 _

这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 " h5 q: P: a- y3 |6 v. ~/ K

# I: ]8 [$ t: a' V! S$ p4 U2 J 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 \1 Q1 i( _' Y4 r u. M

0 h$ q6 z: T Y" J

内网渗透 6 ^( _# X% ]1 F3 q* J

; s, n8 P( @; r, e$ {( d2 m4 Y

win下搭建cs和linux类似。 ! p0 u* z2 j; \8 o. {7 I6 |

. S; g" s: S" t c7 G

teamserver.bat + ip + 密码

% ^0 x/ K7 w1 k1 n

) E6 K1 e% T" H6 d* q( ^/ r 1 d) ?1 `! W9 B* x* g S

* R' d K8 _" W3 j9 H- J2 ` fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） # y! s" d7 F8 X- ?2 A _# x3 h, Q

9 U3 X& P4 C8 C& g ; J' ^$ c; F/ d4 R6 b& \

, Q8 n) E+ {5 A5 C

' M9 M: s1 e3 J; y% x9 z& e

通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
" Z! C, Z) l6 R
) E. ?$ C/ D1 y0 I, `: ^ 2 e9 b+ ~& C! a

6 j! b0 Y' v5 m: Y! [ 2 V5 a8 H! |/ f% ]+ i

4 e( e/ i. n: l+ j

& B! X9 u( w6 w9 w: p fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 $ t/ g V/ V4 ^2 f! B3 s3 ?

PACS系统 8 c; l2 B, E! n1 |! j

& A0 z' H P" I+ K

0 u- A6 \1 _) M2 N) y% Y 5 O" |! \1 |1 ~# ]& q

9 m/ H; z1 }( R& @1 z

. _+ E: G0 n5 ~8 W5 k6 S6 I , G, X- W8 t5 [7 |' M3 {

HIS系统

. Y. n3 L3 J3 g2 {/ S  

; i, S0 W! Y! h; N$ T

$ [- E, U1 W$ g3 b3 P

2 |! I, i4 C, Q# F" D

还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 ' `& U# L% H S6 u

: }1 Y$ {4 @# r1 |' L! Y9 }

4 a. c- y0 h3 x: u+ w* h
$ u: j1 L, H: V# G/ Y% ^
* D* z4 j3 J; y% p! C- I5 X* E + K! U: H( t# c! H5 W

9 [9 j1 z5 d- s' S& S: K0 w2 D

后话 . L G: L- |* u6 a# u2 U

3 {, [& I6 P$ | 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。

7 Q+ g" G" n! E. ?, r: u& X! e. C

---

6 G% K/ z% ?5 b; ]

' M7 i0 E3 b9 D% b; {! Q 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 % Q$ X( M! o6 J6 ]9 o