渗透测试某大型集团企业内网

admin

; ?$ t2 O i! ?. G0 j& P! Z) ^1 t' Y$ X
0 H& R0 I6 Y- U

1、弱口令扫描提权进服务器

V m4 q' G& @+ E; A0 U! f' B4 u: U

/ P/ b; f* i8 A( O7 E4 j: @ 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

4 C: k+ B; E3 |! y, ~, u) [( p

* @1 ]$ y8 h" q& F# S k* y7 g& e1 K G % U& W+ v4 w3 w: j' ?- Y9 }

---

, w. Q3 {: ?% M- D# Z

2 P1 j" p. X7 x- D& F3 w

% U: T, b) [' E( Z / g$ }9 Z' k0 {1 ?0 }! |: o2 G

5 C5 R) A: V8 U) \, c v1 y+ d

4 @2 Y5 l4 a3 _# j1 Q* B8 O

! P+ V( m- V5 h% L& E' g ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 , Q" J: K2 G4 o) C) A/ I9 L

: e# w, K% P* a/ U

L2 V5 ~: ?* T, t9 o 执行一下命令看看 # p" Q7 \+ Q3 z1 Z; i( o) C

+ T6 L. o8 z( s

6 R% a& ]8 g' x; L/ L/ n

---

1 C% k5 p! _& M

6 z1 x) U3 Q8 T5 s& m% @9 l' ?$ o 开了3389 ，直接加账号进去

: N4 _8 B( [. |! E3 i: x

/ c% ?. } ` p( u1 J % t# B% \( h$ G" ~# D; ?

---

3 L$ N0 S+ w3 ~" H9 o9 |. j $ ~9 N( _) @, y) Q! s3 `

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

4 `7 G/ H8 N/ u. W: N) Q

---

% C" V) c8 }5 F/ n0 c. g

* P0 x/ L" |. y

. a$ T G- G) K0 G, h3 x2 S 6 f( d0 v& H$ s, L- y

直接加个后门，

9 p% _2 u# j; Z+ J5 i' i; O+ [+ `

# H- C2 q4 y; f [2 c 1 G( E3 n* q7 _: s: [+ V+ A

) n4 G8 E* G. r- B

---

: h; E% o D) m! [

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

7 E' _8 P& o! ^; z3 x 2 、域环境下渗透搞定域内全部机器

2 @4 o: y2 N0 `# @! a( N k 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 J5 y8 m% o1 Z+ _

, q: r; O \# R

---

* u+ [1 T2 u% z2 t$ K; a. I9 d! g. _

" ]2 k- A8 q* `" [" h7 m2 N . P& x" l4 W# g

% q( ]" y$ s5 K7 a" K, t& u2 \

6 W9 K: S9 C0 L N0 x$ k 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

! e$ P/ `8 }, ~( |' B% F! ^

---

* u: j0 W0 t3 F, z& k+ F* `! b

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

! f9 Z! c+ z( i/ A8 W7 T* R

---

9 Q2 X/ J" m. C8 w 3 f1 b2 D/ e+ v! [" @1 ?

' j2 b/ O' L& x. A' O4 g

+ a# N. I$ ^" R: y3 w- A 利用cluster 这个用户我们远程登录一下域服务器如图：

1 \: n( l; y! [/ V- c, D K

---

% A* [/ R% ?! ]6 Q7 }8 g6 w

( C5 P% R8 w" G1 G! e

- S6 }2 S9 `0 W

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： * l' n$ a, e" c1 ]% z, M

, h0 @5 p- |/ B: e' c* n x/ W- O

9 ?6 v9 R* t8 V6 E) K- d- h : M2 @5 w* b) X

---

& f* P: i8 a, e1 d+ k

5 ^' j1 o, |/ i3 z( o; Y; T

# h0 S/ l, d$ z. Z/ A* U) G

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： & f0 c. t7 O; I+ ^. m

$ q- q: D0 o; i" ]* R& f4 o

* K5 q6 D, w& d* f S* Y! X! W- ], J, K

6 U. ^( }, A1 I% z& d 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

* B& b- X7 ~$ D blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： 8 }% L0 S, u0 j& B- } {; ~" S4 r" c

---

) k% E6 s+ R- p5 s% M$ f& h" u

/ T6 ]2 A& H3 U& |' F2 m9 z

/ S3 U/ U& ]' M9 T8 u- E

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 8 D/ E6 Z" ^+ V: n3 `2 z! }, ?

( D- P$ E0 s: I( u/ a( l1 U

: N! s. D9 R2 Y/ W

---

, g" H1 M8 N/ _2 ]8 `* B % E3 p) @& q* \* B

5 W7 i T ]! h

( M3 L& ?0 t: b" n) }8 N. t0 \

; N% ~! `0 X6 n! _% E

* s3 x# b' t$ }2 \4 J 利用ms08067 成功溢出服务器，成功登录服务器

/ F5 x0 }/ f% I. ]/ }6 P

" l/ f1 w8 ?0 i" [/ T/ i ]7 y

---

1 |0 t7 C+ K7 n

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen 6 C. g1 u" K. n' d$ ?, M

4 K9 l/ j; x) D

这样两个域我们就全部拿下了。 " h$ u4 Q- c2 k8 |

" K: Y% ?8 P' S2 r

. y4 P+ T) J9 |+ C, J- J( n3 t' n' j& A 3 、通过oa 系统入侵进服务器

" i! u/ W. O8 Z

" e. S* X) V: C) d Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

! ]1 x0 B( E! v0 i! }

7 ^/ m7 |, Y/ ^; j1 p* Z2 \; d9 ]

---

2 e- X- w! P) n3 F" u h

, F R. A- D, p$ d0 v. C3 { # }; o; C; |7 N& p% O

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 0 Z( R9 Z2 ~6 J

, z* Q: }+ w; |" S

7 K8 U2 T7 Y* S* h" E. w ! [+ w4 @8 Z/ j/ X+ ~+ `

---

7 N: R) p' _) }" D1 O( G

: [5 @$ Q, A: B7 C6 D/ r

3 D' E3 k( Q- |3 ` W, ^

填写错误标记开扫结果如下

---

: j4 E. R3 S7 M

0 X1 y& E- l' d5 f+ ^1 a

" _! U7 b" K: N8 r 下面我们进OA ! G6 Y- ]. U8 o

. C& j+ |5 f9 ^1 |+ L2 G

---

& ~* _; h# x: @% u2 N, }2 s

; G3 {6 R& F5 l' `5 p3 R: z# { x

# Y; n( }- d4 D" J

我们想办法拿webshell ，在一处上传地方上传jsp 马如图 . P7 s/ {$ L* I, L& H9 }. {0 i9 L7 r

6 o2 g4 x+ O, X! W) R9 h$ h/ D

---

3 F6 o) l3 R7 L$ Y9 U

! s0 C. V+ |( I/ ^6 W2 s6 { 0 s/ q% m1 ~8 O3 Z8 ?" F( }

, G+ L7 ^" [$ d. A. p

8 e) r: u' ^4 X4 D$ l" o+ \ 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

5 |) L$ }: i: Y( [) n

4 、利用tomcat 提权进服务器 5 E- h- S5 l& ` X2 Z- a+ ?; h

6 I8 _: S4 O) s, f# H: y 用nessus 扫描目标ip 发现如图

, {2 i$ n8 C! q" O# ?6 F; d

0 v; b+ A$ L5 | 1 ]8 X8 c( N/ E7 X& w% z* X

---

+ ?9 I1 J; j) M; _4 n$ Q( a * f g) p% z" ^ T

- q3 W) n9 f- t8 ~2 X

' @. t8 j% H- F9 j: J8 F, L 0 _. B! F, p& X/ g9 K

) f3 {7 u" b; o) T5 k( @) P" ]

8 ^5 L+ [: S. u Q; ^ 登录如图：

/ T4 [- G7 A( X( S7 E ; I. r$ p! Z2 j

---

- M% a0 \5 p s* i2 d

& A" T- ~& t- S

) F; H( h }! w 找个上传的地方上传如图： 0 M, U/ w. ^' j$ H( e; g4 j/ ^1 f

8 E9 e: j+ K2 t+ v F; k v% D0 E' p2 R3 b9 c" j

---

Y3 d6 E3 X& {, T7 b* ~: j

7 f6 `$ I1 y9 z6 b- t/ u

然后就是同样执行命令提权，过程不在写了 3 C1 }5 \! o5 P; ]8 M

" H( @% q3 L3 B1 S6 v: c+ L 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 / ?* J, |6 o, T; t6 S

* t! K W: c1 d, \9 m S

首先测试ARP 嗅探如图

2 k1 g2 _, m2 }/ p; H

---

2 S9 a' m, w7 s

# n. `0 \) k3 `6 h5 |, ~* O2 S

: c2 j5 }" X; d7 @

. c# L! n2 S5 V

测试结果如下图：

5 ?0 _1 e+ l4 _. F3 a' T g P6 u

---

, y' A T3 v6 ^ ( N; |2 b! L+ u4 R$ c. O

哈哈嗅探到的东西少是因为这个域下才有几台机器

7 h) N( T- D* M/ J 下面我们测试DNS欺骗，如图： 8 w# U: J4 d* O& v4 ~

/ i" P# u& ?( c- \; E

7 C) R! |' x" q! b% M

---

5 h- c8 `$ G8 {/ P& g7 X ; @# I! R4 U2 d+ G% h0 Q0 Y

0 O- A5 }) Z: O. e' j5 h" e; W% G

7 e/ [. K4 o1 o1 ]& Y 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

/ Z* j2 M, Q7 \! Y

---

* [' L+ y% A) x, B3 V

* `" K% K2 C1 W% Y/ ^

6 E+ c/ t8 v1 A9 x& F( @; f

) T8 w: ~8 `: G+ Q# Y' g4 C: z% [ （注：欺骗这个过程由于我之前录制了教程，截图教程了） + X6 C% I: z+ U+ C: p% G+ H

3 Q4 @" b, J. l, R7 K

6 、成功入侵交换机 " c I2 d- k% _, a9 s; t

- H* o9 n: b0 }; R8 J 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

. N5 L2 J* s8 c; o" K# K, i 我们进服务器看看，插有福吧看着面熟吧

---

4 [' B1 V8 f8 q8 l 装了思科交换机管理系统，我们继续看，有两个 管理员 / F% d5 `8 d. a1 L

1 A3 c3 N: G+ ?

( z5 ~3 Z$ g3 r5 P7 t: N - A! Q: l& u8 n4 {3 z/ Q! K

---

7 m. U% M4 |9 z

) a4 @* S, j* y% a 1 N, g4 a Z9 K6 z5 C# A0 p

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 2 }- f) v+ Y) ]4 C c

! _6 A+ Y6 k' b$ ~4 N

---

! r; e* U/ x2 p9 }( C; E8 }5 R

' P" Y% ]" X; a) I' Z- s

, x$ @2 b3 ?% H. A X3 N& |9 e9 W7 ? 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： - a, C2 H2 a8 P. K4 C

- g3 ]' n' I( P" }6 S. F; O

---

2 [( Q4 ~0 d" a, u

! u4 k: d" X z+ q

. y8 K: y; K7 j& s* y) W g2 ?" v9 g7 D3 `& X

( I5 }. X) Z0 m# b) N

点config ，必须写好对应的communuity string 值，如图： $ x$ J0 h ~6 q7 P

! t" @! ^$ C% L/ A4 N+ v2 J8 N

$ ^8 k2 h5 S9 ~3 A9 J* i

---

8 ~3 u9 @8 S a. g+ c 0 b) b+ R S2 U3 g* p6 C. Z1 K8 @4 @

' \5 C+ [; n$ t

8 ]- ?* N* V9 K5 c

) L7 Q" l! w- ^& Y" q) `3 H 远程登录看看，如图： % X9 S, a% O# w' h. \

k* K# W t& Z- m6 M

+ D4 ?0 Y: z0 _( f8 s3 E+ ] : |: W* ~; x j) C, Z2 H

---

+ H/ \+ V) G# L9 R7 ^, {$ g 4 R2 ^! ]" J. `' }. _7 ^

4 a5 d! t1 i# [+ y

( Q3 a; g7 z+ m* \

直接进入特权模式，以此类推搞了将近70 台交换机如图：

. l w9 Q0 M: L% |, u. [& U: \1 y . ^* R+ ?1 S* k1 ?3 U. I0 C

---

6 j5 }5 o& k+ ?/ L. s9 b

# r6 d e1 S! ?; Y0 m

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** + l0 Z- E5 L) u! T' v% W

* ]% N* S1 f7 ~; q& J* O - c T+ z) \- m: w& ]1 I7 g

---

1 x" U6 x( I) ^ [ * x9 S. \# ^; ~3 z) ~1 P+ C

T5 a- r* p! w3 d" }$ m

* Z% y$ h5 x0 P% B

确实可以读取配置文件的。

! `$ u8 p, l* N$ B: }$ L1 F

, F; B$ f& }1 I0 ~. K 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 + @1 \& a' k6 M& t# q6 P8 s7 @

. y4 C. q: P+ V% M6 e/ t: i/ p e+ i1 _( G$ G4 T) R! U, k+ U2 q

---

1 j+ T# f, l. ?/ }, E6 F

7 F& v& A& s V* p7 V% T% |

, A* K1 I; a$ _9 }" J

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 " @+ ]" w# N" B- r

# l6 x; O/ E2 C4 g

---

8 ?' Y; E4 L& u 2 ?" Y5 t+ @: a, j, |

+ l/ A" b c* `$ [+ f- ~; r, j0 W5 N

上图千兆交换机管理系统。 ! `* k# B) x- Q: m3 x t" g& G! B

1 ~% {' X5 Q7 O0 P

_$ J- j% a$ r/ Y) o/ K 7 、入侵山石网关防火墙

- k, _% D7 b& t' q- c5 g 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 3 O9 R l" K+ f+ K% l) j

# Q% H- w1 L; w# ^+ E# d

---

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

! U+ k% ~& q4 N: W/ U- \

3 m- I$ I3 j% x3 W8 P W

---

0 H5 H- V& h. \: W9 p: }

; Y3 V0 t( a4 W, f& e+ o& I

8 [) Z: p# |8 S: b4 U M

然后登陆网关如图：**

6 {+ A# v0 r- R7 v

---

V" K# o" q( P2 | 3 W# z9 D7 J( J% S7 z1 h

; T: v8 s1 g! G, g7 o; A

---

5 j& l u, V8 I6 d+ [9 m: v" S, ?

; c& U: G+ j/ y3 O' m" K, l

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

. C ~3 y; l$ y9 k$ L8 _! i

7 [6 X! a% x% W* i6 E 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 % F3 X% t# e4 s# u! U

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

( _4 |2 \: D. u6 r; b) j+ l% {) E

/ e) M# k. ]# V3 m/ B

---

/ w1 f! i: j4 ~: `

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

 

" O+ C% S& z" z: q- ^

) \9 S5 a- Q1 m4 \& q

- |7 ?- H4 M: K9 @. e Y/ U