记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。

2 [: p/ h5 D1 U5 V7 y$ F
如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。

- |8 Z) c( g& l" w9 f4 h; U
' y* p' p. w, \因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
; N# Z, y5 s) p: a2 [; y
, Z: z$ p' o  J2 z8 N$ s, W------------------------------------------------------------------------------------

先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。

$ B& k5 [3 g8 A8 l- @
毫无疑问，IPAD又奖励到了。


于是我和社交网站的主管说：你要啥时候才给我部iPhone。
$ Q* Z0 M% O6 j2 H

7 V6 w' v% d) f* h. }2 e+ [) |6 K* K主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
; T! r, S- ]9 L8 w  ]' K# \. @0 |. Q2 u
2 _/ F  {( b& N2 |
4 W. f  J7 h* W2 F于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
6 [' V+ I8 ^* R# i: Y  m  w

3 y# t# c  g$ ]. p& B2 S主管回答:那就来把.打下来了给你iPhone5..

----------------------------------------------------------------------------------------------------------
4 c2 g" B# }  r, `( J! ~A公司的外部保密做的还行，找不到几个员工的公司邮件地址。

之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.


, H% A8 I' r# S6 c) W好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.

( e9 l! a4 I. L" y1 q
# o0 C6 ]9 ^% b& R& N直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
5 \5 O, ?5 s0 m; B" O+ F

对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
6 [3 ~0 y- L+ F2 ^
# ~  S. T# B# {9 @
3 X8 n& m+ Q6 V1 ^1 Q$ F9 [思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。

6 |8 P7 Q# W' f8 ], P
4 G5 ?4 m' M* W# s) k4 J0 ]于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。


/ l+ l5 Y/ W9 |2 u+ U4 v对方深信不疑。自然回去访问。
# m0 s* d. k- S% y6 S5 D- ?
! K, g) Z8 C4 N  Y) `# s* e8 q% F
好把，大概等了几秒钟，WEB那边有session是记录了。


- A' a2 k3 a8 k+ N' S6 i一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。


9 l& [  S6 i4 [/ p6 B. J9 ~/ D我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。

% j; O) j: o7 J+ _# ~/ X' G0 O
A管理员说是office2007 ，这样更加证明了我的探针是对的。
5 D* t2 R! B! k% h

4 j$ H9 T5 y) m/ L于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
# F" k. r% L2 q3 u  y
7 k1 `4 B+ n& r: d4 Y
A管理自然就给了我，好把。 office 0day打之。


打开远控，等着上线，可是就是没上。 出问题了。
. T' y! w9 Q& \. B$ t& u

# a7 u) ~8 U' }4 G4 GA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。


8 ]" d1 b1 P" P为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。

. K! r% \; i& w. g2 F- g0 z5 I- V
同样的对方去访问了，系统应用很多被探测到了。
/ E, r# W# a6 L2 Y; i

1 ]' r! _8 K% N. b9 m好把，出口IP也是.14.

. g4 ^8 _9 Y* d8 P1 v) l
  M: D  ]2 s* J: M没问题了。出口IP确定了。

4 A- ?+ m2 j+ E/ I8 L* r  L
6 E  ~) S! ~4 J. f1 f于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。

( J$ O7 E: E6 g7 S
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。


( V  u; y# q+ N马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
5 F6 j  V7 A* e$ b+ T& L. K

net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
, `4 D/ n, C8 M; r% @  f

3 o' A+ _- D, T" {- K同时间通过密码记录，得到了内部Linux服务器的账户密码等。
- l# U5 f1 Y$ i9 w+ _2 W
; ]3 D, q3 e' k% ~- i0 P: x
' J: O% B9 I/ ]6 R& G向主管个人PC机进攻。
  G; B; T% Y3 K3 B$ ^+ |: V. g
# x$ F3 f) U5 t& F% m! B5 O& d简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。

# U# S+ a. K6 u" m2 p
于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
- z* G/ ?$ w% ]2 Y: ~' T
; o8 Z/ C- q5 \% K1 i8 j1 }
---------------------------------------------------------------------------------
% w3 \/ H% f& {0 H# x3 Z
% z5 s1 I2 n" d/ |9 s
- y  s; e9 }9 s/ b& V' v; {  R5 p4 K晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。

: y5 S5 ~* E5 t  ~& }
- |' V* w! v: C6 `! F% G晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone
2 p' L2 Z8 a) K( a: F& d# }4 k

7 {! H+ \, s* p我觉得人还是别太贪心了好。贪心会出事。


于是我坚决的把马给卸载了。
' A3 ?5 |. I$ m) U( z4 U

---------------------------------------------------------------------------------
0 a6 G$ d* _0 e7 R: N  X) D* x( }对于后续攻击，我的思路如下了：


搜集内部员工的EMAIL，探针+office打之。
: t/ s( T' A5 G

内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码


通过登录A管理员公司邮箱发邮件下手。


内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
4 N; h$ A; U: w5 H1 y. e- @
) o: v; U  i( S; N; D厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
-------------------------------------------------------------------------------

最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。