渗透测试某大型集团企业内网

admin

/ C( C* s( A* S5 A6 V' r+ L7 ~# A) d
: V/ z4 u$ |( V2 s% t7 L

1、弱口令扫描提权进服务器 F) B+ Y3 o& D9 z) H

y1 e, h# m% M% i: u 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: ! [# d1 [) B' C7 }- T, g

---

+ `0 H; [! g6 x- B/ m

) `; m: L5 ~* @

9 z( u1 B: _2 q 2 M. m O& ]1 p, d

$ q+ [2 l5 M+ v% {

. e( i1 V- q# e8 Y- u/ L

* i& b0 t2 ^& v5 t; L4 w5 O* w ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

$ n8 i% C% i* Z# I8 r

m, S$ q; F1 B2 i: \+ H$ @; _ 执行一下命令看看

% Z( h: \9 i: s( \/ k

1 D8 V2 C. X! p; g# _1 {

---

1 C0 f: W' f! R; F # A. l+ K7 i2 P# a( w- ~! o# D7 T

7 z- G c5 h/ o5 p$ u& z C

9 W+ c9 C* ]1 f: y4 x6 k 开了3389 ，直接加账号进去

4 P+ q+ m+ o' H% ]

9 y' M. V& I( l! _5 r% Y# Z " d# p# J8 |9 j! m! }& v3 T

---

5 t2 B! r- |; _1 o* M- `/ ]

) @! m1 ~7 _, C$ m' r / M+ E5 \, P1 ^& Q" m) {

, ?; \ Q7 E2 Q" X

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

8 Z4 \. {1 F. J2 u" j

& |, B" c# w+ f) W& {

---

) ^( d& C* L/ M: k L# {" {+ \+ c5 N7 o

; A* ]! q% I; {* M

* T) e5 v: L# ~4 A# o D- m 直接加个后门， " A, }0 r6 s5 O: }/ p

$ N* V0 L, j- Z: o8 k2 y1 A' `3 Q; `

6 S: ?1 D, O3 e4 l- a

---

" X1 p2 J( ?" l2 F, k% O" D

2 O, z$ e" a2 k8 J: A

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

, l$ H8 U3 Q, r% s" H

2 、域环境下渗透搞定域内全部机器

7 b: w4 v, w O, d 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

1 w l' ^/ [9 \( B/ q: a7 i3 _# D

---

( _4 [( t' i0 t6 ^0 `6 s" y

6 h* {0 [+ Q, V6 o, Z& F % ~3 r; z3 \- r6 d8 ] ]

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

---

6 O1 h t1 |) n& [) } v) a4 X5 G/ t! r

% W$ U# W. H0 G! A7 w

9 u5 O, L1 j1 J3 A 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： ( m7 ?# E5 {8 w; l1 g

. ^$ H- c& t$ b! o& }6 X

---

( u% b$ b2 P+ Z, Z, o* i

! w t, H% s3 ~& k

$ y! s4 a/ |! L

+ G! u6 m1 C4 i2 }2 d$ } 利用cluster 这个用户我们远程登录一下域服务器如图：

( ?3 a, p8 ?# X4 |8 i8 C

---

" N# h' d( ]8 W# C* b" f+ U' J

; o% Q- O: k: }; Z T

; Y0 A& J$ H9 i1 E7 A; S" \( i

0 L& R& r3 N# G/ R% l

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： & E6 q1 V" d* ]1 V$ w% G

/ k' B+ q j: ?# o5 P8 _7 J2 Z- S' j

1 d4 H5 J; S2 y% _6 r& F : f4 d- s F& x% p- F# a

---

, w( m, w. ~( A2 z

" Q- z+ H0 G, R2 Z , G/ |. }- D8 M3 s/ @

# n' X2 d6 @$ ?! f* v

! q* i' l+ T* x* |4 T 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

( p* |/ [- j& D$ R

! _# \7 Y. o, ?& N; r. C

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

5 e5 Q# J/ A2 F5 D

$ [$ g5 o7 a. x# J) \ blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： : P @, C. P, H" T: I( `9 s

) d, k( s( R6 Q

/ N; r- P# R3 K7 F: S1 e

---

( s9 _! R, g: v5 G2 O

0 w2 ?" V/ o* D- Q6 R$ [

- Y$ `% m3 h7 c! @ 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 ; D- O) }! ]; F! `- x. ]

7 K# R. [& z( O3 H

---

1 R4 i! @0 y- l

2 [8 l1 Y4 u% Q3 D 8 b0 }" f& c5 F2 I! B, v0 P

利用ms08067 成功溢出服务器，成功登录服务器

6 R4 u$ ^# j9 w6 O( L

+ E0 E( a* J1 @ i7 h

---

" e0 w( O3 p4 R! D7 k3 Y

9 U4 O( L) s- [

# E9 i. [: u5 k! Z8 b

8 M# }& R- t# K9 A2 `. o0 |2 b' W: ] 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

$ p% h. V- ~; J* ?! V( ~+ `" T# [

这样两个域我们就全部拿下了。

# H L" G( r+ D

: l& M o2 G& P; T1 `6 r 3 、通过oa 系统入侵进服务器

2 b/ k" O- |/ s4 B

" e- E/ r$ y4 m% x( y+ l1 C6 i Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 ) t0 h3 \+ |/ p1 C' h7 C

4 {9 E8 s$ Y8 g5 O: O4 ?" k

: Q* B, h& o8 v% Q- I - i- j4 L: _1 g$ P" O2 t( d

---

+ Z) \; |; J% s( T 5 e) q0 c. f5 x m

5 H1 ^ L$ f8 H8 E( K

% X1 U" C5 m/ M" @/ u$ O* R. ~" M

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

8 i" Q$ k" W$ ~* w5 L0 P1 I

---

! }# N) d+ c7 c( R: Z

% l: p, ?& ]8 `

/ F6 ]$ A1 d5 Q

填写错误标记开扫结果如下

/ {* |6 L K2 r7 M6 [

---

( _( ], n# h! Z/ f+ i! k

6 T' r- Z1 T# S* k* u 1 D* l1 S, q7 M9 ?# I8 k, [

下面我们进OA

7 [# I. ^* z* o8 p9 p0 M

! M3 X3 b& u9 V9 a' e: G

---

& L3 M& }, e7 o1 w

我们想办法拿webshell ，在一处上传地方上传jsp 马如图

1 g, {* M8 |' E/ d5 f5 r

) o7 }+ k& F% ]% x6 C

---

7 L" E3 ^: X" |" y: g) l

) z" b) U: o/ y9 W; j$ z

* L2 B M" ~! N0 r8 T. h9 `" C

% N; E+ R! y1 y2 U+ V" U1 K- F0 S . T( J: P g6 t& Z5 g

' \- C: y9 q( f' j; ]/ K

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 % t9 B6 V1 T9 U& B0 S" Q

. P* x9 } \/ J' P1 p% t: i3 Q

, V3 k/ u1 Z' q/ Y& I% o$ m f 4 、利用tomcat 提权进服务器 1 r: C) B6 {. P, e3 `) _

) W0 l8 S9 z# s+ ~4 u+ C

用nessus 扫描目标ip 发现如图

. g }/ h0 C% T& K/ F

---

( p4 V$ v, [2 S" B L. Y

" ~4 u9 v4 E) J- k

' V( G, y3 f4 T5 ]7 j

4 x# \& M8 ]- z 登录如图： " o. }3 t3 g7 X3 C& U# J

K5 i0 I1 n& p5 f, s( k- } ; _) \, V' `( `

---

$ T5 h* V$ B6 q' F% Y

/ x+ B6 Y: t( u, A

) f2 c, Q1 a2 B1 h5 W0 k7 G% Z2 {* b 找个上传的地方上传如图：

---

, g. E- e7 ~* C9 `

; Y6 z+ c r: S3 _& g& Y& w5 } 然后就是同样执行命令提权，过程不在写了 1 `2 m& t3 p8 l7 R5 r

9 v/ X% X. }- u4 o q3 ] 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 / w1 J0 P2 ?0 S' X+ H$ w0 ?

" ?6 Z8 s' X/ c; O. Z& H( I

首先测试ARP 嗅探如图 * \. q6 E' N0 J* n

% r5 }1 [* @9 s

---

. W! U& U3 g/ r0 \5 m3 }* z 8 Y& D! q! {, X$ Q3 J

) v. A( d! V5 r+ |! @) U

; Y s3 w3 x! r6 J 测试结果如下图：

4 J4 M7 H8 }0 n2 m G

* ~9 q5 |+ z4 |* e! V

---

/ `0 ?( U$ r: a* }( {) m

, d# K, ?5 P+ Q; ~8 ?+ ]

4 n! D' m9 S+ w5 H8 X

哈哈嗅探到的东西少是因为这个域下才有几台机器

* n$ y8 e2 w. y6 e" {' D) n 下面我们测试DNS欺骗，如图：

# r4 [1 R: f2 U% n* p R; q

: o, S2 ]4 l, D7 M6 J) o L4 o+ }8 H& l

---

2 A$ w! n( |* { G4 |2 t% Y! F: v

. C6 J+ _" x( S, L) n 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： + t! }& i- e) Y' a, B6 C! R

% M/ x2 p/ _0 t4 s+ i* \0 O

$ c+ \; c. q9 C. y! f6 Y; e 3 G' C3 a+ S- ~$ X: {

---

; {" {# l# k; T Z, X

8 L. f! l( L7 G/ j # D5 o! E6 h$ \4 B J

* }! B1 q7 ^& K5 P% b （注：欺骗这个过程由于我之前录制了教程，截图教程了） 9 A m/ O+ @* ]/ ^6 O

3 h+ t6 F) Y8 _) z W. ?

6 、成功入侵交换机

9 {2 Q! N3 r5 l) R: u

! J q6 A- k% R3 w) X8 C 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 , [0 {5 z6 K" y

. m" C m( O7 r 我们进服务器看看，插有福吧看着面熟吧 : }; F! W3 b+ D0 Y P9 {- P! E

---

8 i% p! f2 ]9 `( v! N1 O2 w5 l' O

8 }/ Q& T- a& E" Y. ? 装了思科交换机管理系统，我们继续看，有两个 管理员

1 J/ F1 _* U( f7 J

---

* q7 e( v4 D6 S9 ^" O! w% n# N

, e( s% n) F) R- O8 ^

6 X$ U5 O. T3 T6 p+ [1 Y* i

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

6 T) E x, o }2 c

0 M) w0 x( o4 Q7 u6 V$ Q. h 0 R) b. g( y2 W

---

9 L5 u% E" N% h! w # U ]3 A* M( |: d8 X; C& r, u

2 K4 S+ M! O6 n! b$ C: b# p 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： 9 o+ N: @8 y9 H+ ]3 F

4 \ b( s* A. W+ Q2 M

) ]! l, U2 U" a

---

7 L5 ^1 }. d# T6 t& Z4 f

) k( U2 l2 y( c" a, l

点config ，必须写好对应的communuity string 值，如图： & N4 U) @* N; |, J" ?& X$ Z% J, R; f

5 \7 t+ x5 l4 [- Q

; v% @, I z+ m( q 0 t9 I' U( R8 b& I& e( |5 _$ f

---

7 E( ^. m: Y8 c: l7 O8 O" V, m

远程登录看看，如图： " ^* P" @* I! _ J% W' R2 R

( h1 r" H' ~! W8 ?

) X# g/ o# e7 t 0 y2 A- q, N# E; z7 I) S# X

---

9 E6 b% u5 ?6 j( N+ }

9 j' l; Q2 E' X# A5 m6 `+ A( \ c 4 s- [9 r" F1 k1 M

1 j5 E2 Q& L: f4 m7 U4 Z 直接进入特权模式，以此类推搞了将近70 台交换机如图： 8 L3 A/ o s7 ^, Q- q" }7 t! u

4 d# q) b4 ~" b & F @; [, o) X. m6 D/ A

---

7 F( i! c9 v! l

; @+ q$ ]) X/ H7 }' I # E+ J- C& W& Q! F1 R) O9 U8 G; C

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** , @: X6 x. t& x6 _8 c

- x; w; w6 p& o/ ?& H" [" Z O/ \" K3 ~9 z- {; \

---

8 g; p9 \$ R; C+ n+ Z # s1 d' e. }- E

* ^7 Y) X: G8 F2 R

( p# k! F+ ^* I* ]5 Z2 S # q' q8 g) r3 B' n: ^

确实可以读取配置文件的。 $ Z4 U" h% x8 a$ p m

) s, [" n3 P E

: U" ]) o5 L) z' c2 t# x9 X# Q 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

8 H9 l, ` _2 m J

---

8 I& ?* e6 I$ J3 Z g9 c" p. ^

$ h) Z0 |& ?+ d1 c; h8 \; m1 f$ X

, J4 @: _4 X& j! \# {" N 9 h8 i- q4 P* P1 V9 Z; N

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 7 ?+ l, {8 a R

( ?! k" m1 D, ^! D0 z

---

% M" d9 v5 v Q( ~: H

7 }5 V0 u$ J" c% m

( Y* Y T5 i0 A, Z/ s! s

8 B+ C+ P' B1 a 上图千兆交换机管理系统。

7 、入侵山石网关防火墙

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

/ s2 s; H& \8 X: s+ A" _6 D; a h) ?$ e

6 M: F9 c- O5 y h0 G3 ` ! G- K# F5 D! F: Q* @* z3 u

---

( e% K4 q, S1 @; N$ f: J

/ B4 n2 ]2 E6 z6 W 9 m0 ^) y* w, ^8 O- d5 y

, ?* g. d% h/ W' X) T

* ?9 p$ A/ b' f& l9 j9 Q 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： ! _+ J z- a* ~# F

- f! v( |! ^; w, V. }. H

) B; H; W* j5 a/ Y) F- l) Q

---

7 D8 Y2 ~2 r$ X7 V3 v; o% O

7 w# R& K% o" j

B4 d }* }9 O5 s; O

# s1 q2 C% o4 S8 C; _' [5 T

然后登陆网关如图：**

7 ?0 K. o1 M% Y7 l

---

! k8 d* W- l. {

& W2 E# S- q8 h0 X

: B8 _1 j# M6 g5 ]& p; _7 C# Z) M- l

---

" x+ x+ H3 s+ D - b* N% y$ w. C2 g9 E

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** : I' ?1 v1 k+ n, S; I* Q2 E3 g0 f% m+ B

4 L# y+ X0 U, r4 C3 M 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 2 g' ?" P3 N, h/ U

' U0 ~' ~. F. a7 j 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** / f" ]( b) h- s* p- Z# f$ [& p

8 e3 Q2 p, ?2 b! ~& k

; J$ C# W$ z( l- f% D5 d! X0 l5 [ ; @8 ?- E) o Z- K/ J7 F

---

! _- `9 n$ z8 u; m% h4 j

. y% D0 L. [+ |( T

! T/ x! B' u6 H8 l# T 6 b. d' o5 N: Y% o

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

  ; |6 s4 L$ P$ Y

; ~0 b5 [! C% c