渗透测试某大型集团企业内网

admin

1、弱口令扫描提权进服务器 + a9 n( R% V. ~; f$ ^

; g* Z* A2 i2 q

" B9 O l6 J k- B0 r [ 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: 6 E. c+ k0 T' Q ~9 L! m8 v

---

- N0 s: z8 D' ?7 T& P: t ' y% Z3 f, N7 i9 I* j# @1 i! I( V

' M& W2 l: P- v

- S5 u# r! X5 J; N3 X3 O8 B9 j

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

执行一下命令看看

2 t1 c1 A) ] B/ |' @- g3 T

. _3 N9 y5 N. o

( W4 }) D4 a5 |5 X' H' h1 r! V- n- D

---

开了3389 ，直接加账号进去

9 ~* C9 l+ |- e% h' l1 f/ n, @

---

, R B, V. \7 o- ^% ~1 J & F( K Q2 z$ k. `8 N; P

* y5 T* S) S1 F7 N5 T$ ^/ L

/ P+ X! `+ @2 {$ X$ `/ Z2 P1 v 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

( K! Q" k% q/ f u5 s3 B0 y5 j) }' e

# L, \2 F- L9 b

---

1 d. Y! E, Y* {2 S1 ]7 s% F8 x* g% ]$ I / Q8 Y, v, d3 S* z( [

) V6 ~ t% i0 j: |8 w; G

直接加个后门， + [$ f3 G1 C' U; @

: t: s3 V1 d* m+ I

g+ Y0 n# j0 P2 t% o1 b% a / m7 @; J2 e+ L* K2 }

( o: ?) r' \- S' @' \& `; x

8 R9 Y) L8 G% r; K" z7 G p 2 P& h) ?9 Y; S9 q# ~7 O

---

7 `, K/ }- C% k0 q6 j2 l- l 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

, R: J& q+ N; j8 z8 {+ _+ m

2 、域环境下渗透搞定域内全部机器

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

---

. \* d$ w7 Y; {2 }; _* H

7 T% ~8 J/ |& E0 l. i, x8 _

( [# i% `5 Q4 m' _) f I7 H

4 [# p/ o$ S: v3 ]- M 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

7 k3 r x2 s* s& f4 j$ R7 a4 T% p

& r6 d5 O$ Q. B* x5 ^ ! G% {3 m& K6 r0 ~

---

% ^0 j4 Y; a+ h% Y b

1 d2 k4 U) h; G% M% c) c% Z% m- y6 q

/ Z+ B- a2 b) d8 ?* x( X0 O. V

6 |# t5 l. l; l" g 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

9 k' u: A3 |% C* r6 N

---

5 \: \+ |+ R0 {: X2 J+ a0 Q3 C( y

8 \+ D4 a! p4 Z' U. A% Z) U

( F8 N( J/ x- f2 n4 m& P3 f+ L

, [0 n7 ] m; W2 c9 h, ^1 q! y 利用cluster 这个用户我们远程登录一下域服务器如图： 0 a7 t. x5 h5 I0 G# w0 Z

---

2 c. k$ S7 r" ^& i ; P* q) B* Z8 \& B# b* X

+ Y! F( S( U' G6 Q8 M9 {) L2 B

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

% h; u. y3 ^! [; W9 z

---

" S* M+ U; M; o. g

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

3 X8 i8 d2 }" R9 w, i+ A0 j- q

# @- T+ j3 L* O1 W; Z $ {$ W- I" M3 f

, D. Q8 R: F2 ?7 j& j0 v2 N( z 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping % u" {& _/ f0 _* U0 J

( }9 w# ?+ h. c2 k8 g8 t5 u blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： " S! [( q: B4 u0 }% p' _

" G: I* B1 F" V

---

; k9 f; Z9 ]( e( M# N0 d3 w! G4 c

4 l! u8 ?9 g$ f# M4 b

& V- v- u' C4 }, J

- p. C6 i3 g& W; b* M) G/ P% t8 j

3 d( ~4 a H- K9 @, J/ r 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 6 W3 Z" ~2 j$ J8 e8 b$ y

: ` N! k! @) q+ A( V

---

7 N7 w* m2 o$ J! Z

! g. w7 A7 V/ K* ~* d' p' M

利用ms08067 成功溢出服务器，成功登录服务器

6 O( E. Y+ P8 ~' q# ? e% T 5 N' h5 V1 a# w4 A: g1 N- e5 t

---

% H& w- C. o0 ?; Y; i

$ B7 F) X8 r5 Y6 \

8 k ?8 x( n: v1 p0 D) |( N2 G 0 v! V$ [6 F; W3 }0 ?: i

; `1 N" U: ^: M2 C E" X4 \, L" U- E8 a 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

; P/ M3 l3 l$ h- e7 r* X* S

这样两个域我们就全部拿下了。 % z. l x/ X, H {" T# y

; c: c% F1 G7 B1 w; T+ \% p

3 、通过oa 系统入侵进服务器 ) e7 Q8 g, F0 C5 f; h4 ]

; P9 J5 V5 a8 h) b5 N& r

1 d1 v4 c* z5 t8 Z) L Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

: f% {* F2 ]) U! g' o0 ]) b

6 y8 O. D/ f1 U6 o; @% i

---

, V3 h$ v- C1 H5 W, @

1 c. x n5 n9 }! b) n5 G

1 U: u6 z- U, [/ T' K" I 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

( ^& D: Z( U: V/ G, q) Q. E

% P9 X3 w8 m3 W8 ]6 A8 P2 I8 i# [

---

9 n) N2 u" }" m

9 K9 S6 u, B- _

, P$ f A: a [+ d5 X: L

填写错误标记开扫结果如下

---

( Z0 h* X" ~. u" O. D Q0 T

# I! \& U f$ M, ?5 A. Y

下面我们进OA - W6 W0 z- p2 s) A) y

! r2 ?$ f) B7 i4 s% k; R' p3 a: r

+ G5 y6 b2 F" m+ W2 T. k " ^1 Y, S5 I" H: K

---

% L2 Q; W$ u+ m) q

. E7 m' }# D& p

8 I. X0 C3 B; q+ _& e

7 Q$ O/ X6 C" F! J& @ 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

( P+ V6 U& w! ~! D! z3 ~" r/ h. d* @5 E 8 I. ^' n6 P4 R p- W

---

+ u( j3 p! Y* R+ A- m9 K - [' @, n# G( ^- T4 l

8 F5 x' }4 H* l/ C( S3 M. q A8 c

" P( a5 U' [, Y' b+ j: U) N# [5 ~

" L: O8 I8 C- d

; R* U* \/ r3 z- V

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

4 、利用tomcat 提权进服务器

用nessus 扫描目标ip 发现如图

! l! V; ^6 D) _& O

4 o0 L2 P) X$ K' s. l

---

3 i# L8 ^: T/ J# K% C7 Z$ F6 |

4 p, B( l1 m* a+ ]: g- E

+ R" T1 U' S. u- k0 X0 W

. d( T( U, ^+ r$ z& c 登录如图： # M- m0 ~! Q* {; W5 H- f5 e

" n! J) k4 \6 m- @8 V/ A% f, K. V& o 7 |2 X" N8 Z7 E' Y) n$ V2 n

---

: f8 _8 ?4 h- z/ }) Z - i# j& A4 |0 @" b$ Y" k

6 a# g: L* L" H' ~5 c

找个上传的地方上传如图：

7 ]" _! U. f# l& @& g2 B) f& A / d! h$ ~( c6 N- ]* S5 S0 m: A' u

---

2 I9 T- ?( M4 J" R" C% G9 |% { + m5 s2 Y. Z$ U! I/ t9 V

`4 u5 w3 ? |- w& O

然后就是同样执行命令提权，过程不在写了

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

首先测试ARP 嗅探如图 : M& m5 ?* J! {2 s; F8 f: Z

( ~& R. l4 @+ c1 r4 y% I

4 `1 t" I' X4 E2 Z2 x

---

2 @4 L% f' p. ?+ M! u d( y# z

/ `" v: Q$ ^ J! E

' P% h7 e" p& P) B" V: q/ B: u

测试结果如下图： + S% ?& q( }, V$ A5 _4 `% O8 f! n

2 h) }4 c4 Q& y$ E2 q, K- {( n ) n* z2 K) C+ g. ^

---

" F4 {' l) h3 n 1 W G+ I; U5 _% U

; V2 D9 t4 u5 w9 p

2 l/ \+ `0 z3 V4 P- @- n ; h) O; q* R6 W

$ |7 ^$ @( q2 O4 a4 `$ w: c2 _ 哈哈嗅探到的东西少是因为这个域下才有几台机器 2 U: P0 t9 ]1 ~" K/ x9 ]

下面我们测试DNS欺骗，如图：

( |! v. y0 C4 z/ m4 W 5 @7 A% U- o! z7 K u! D& _" W6 d

---

. P8 a) Y. o7 q) o' U e5 N8 x

0 E0 X+ O, h, O& ]8 \, J 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

8 I& x& e5 Q4 G9 s% X 6 ~- o2 T- g/ O8 V. y, X/ ]& n

---

, h% t" V5 d8 G; r2 U5 ?

3 N7 E/ L) ~. V& u# l6 f

* D, Y/ y! Z! _9 O8 d; l

（注：欺骗这个过程由于我之前录制了教程，截图教程了） 6 J! j( D. ~) p; a0 d

/ ]( y& j; {" s! _8 ~0 t/ K, y* i 6 、成功入侵交换机

- d6 v7 f. I+ ?) k1 D+ V$ V

/ h7 [4 i4 j, n" P 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 " B+ h& c7 q0 `; q( A/ l5 |

x/ q' Z# R8 J

) }7 }! m1 _- e- k. D0 Y 我们进服务器看看，插有福吧看着面熟吧 - U" y0 G/ b2 q

8 ]2 I, t: r2 n6 g# J- ^2 h% N

---

7 ]+ p* ]0 M( V- O( o3 f$ i

# R. K7 n/ I6 T- }0 q' R

. V; K U {# g& I. K+ m @& j

' `3 J! Q& K' y# t- M 装了思科交换机管理系统，我们继续看，有两个 管理员

- f6 W+ D3 {' y

: ~, Y+ i" \) z8 l1 R- Y" v

---

2 A, T% F8 A$ v) r

8 Q3 y6 j% p+ V* E+ h

8 _ |1 a7 Z( F# M; }" u+ m

2 i) Q! S. w0 }& B% H

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

) W- f; }( U+ S2 Y- x, ?

2 X. ]: X* ^3 s5 Z' R" j 2 s- u1 t7 G+ ^/ e; i9 Z

---

d) W6 l" C8 x/ k& h 7 t) _6 L( A7 a

, m* h+ N8 N3 @( ?! V* W

+ d% N# i7 Y. W& [

! A3 A: Y4 N8 H8 j, ]( \ 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

1 s0 B* T) a4 G ?( @& H5 S 3 Z' H6 _& E& r7 c5 o: w: S

---

! u2 A* a. B i4 ] v5 Q, |

& q% W* F2 H6 H: [7 O: m+ ^( p

* z& V* p- \) z 点config ，必须写好对应的communuity string 值，如图：

8 T2 L1 c6 H4 L1 T- n( l

9 [' E% C0 [* \8 r' j5 }/ E: r

---

2 p+ j0 \6 l7 m9 A$ _5 {8 q 1 F7 |6 Q/ L) Y7 N3 B

" m& I! b/ N* X, Q

1 K( ?8 r) h" r6 G( Y1 N

远程登录看看，如图： % |# r' a6 E! `0 a) U ?" E% J4 ]

! b$ W/ h# U. y& S7 j

' K: j' ^+ H# c0 w4 `

---

0 o' {+ D; W4 J5 f' U

, b/ A. C! @4 M! }

7 c+ V( X2 P; t0 x

7 S* |, ^9 l" u, k" B 直接进入特权模式，以此类推搞了将近70 台交换机如图： 1 C- f9 D1 O+ P3 ]

: u# x( I( w( i0 W" w

---

# g/ |6 e6 Z+ c* i: C

5 C' m* E) S- ?

; o) z q. }" w

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** & t( [) a% Y' i) l, f( e5 ^% C

6 I% @$ a' P! Z3 V( O% e2 x

---

# x- D2 @1 j8 ^: D/ U# p( y

5 i4 z. N- v# S) v1 T% ]

. s: {! A/ Q( C

* s, M" M# W8 Y# d" D' U 确实可以读取配置文件的。

" q' G* R4 b. r: c3 r# V9 h1 b 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

$ o! g9 P5 _& ?6 |$ j6 r! E0 F

, J9 W$ @) ?6 Q$ T ( m; c# `, Z5 B- t

---

; k# m% K) u0 ?' y1 P5 v

" V: Q( S+ X* o% B+ J/ r) x

- `: G% Q v, `9 Q. U: ^) @9 Z/ o

1 q( S; I3 V% w- {2 `; Q* T, g

. D* |6 f" [6 V& l( p

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 " G$ L) f7 |; j7 |/ X4 H

# i3 j5 `' w; N

---

1 v7 j; Z% q) c. f; Z: ^. ]# U

上图千兆交换机管理系统。

0 L# R$ c# N& x( S, E

7 、入侵山石网关防火墙

# s, _, M- s6 q, J7 ^0 E

2 H7 A( P: Y, v+ e7 [5 X* v 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

, W, c8 Z1 P# S% r4 \& [1 X

---

]3 G8 i- i' X) f c; g

- m5 w" G! e% C$ J& I, s/ i' y5 _

$ M% k6 D# K% j 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： ; }" {# m3 E* P3 A$ v1 N% z

" a5 A3 j% h. }& }; s( U

---

! A% }; X2 Z) H6 x5 |

# J! K' \4 A# b( L( {

+ j4 O( y; K: ]- ~6 p, C% j+ q& J 然后登陆网关如图：**

/ k- W: q/ H5 |1 o9 D6 J

---

---

+ {: |( m5 o9 e4 c' H 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 8 l. G/ h( r/ C* {: L7 K4 Q8 S/ d. q

4 s$ c5 K+ L' F+ x1 l7 q 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 " V6 m" T0 \) X+ Q& m5 z, Q* j

_6 U9 s+ K, k' c' J B 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** ; a0 U* f4 f4 K" I: i7 R

) x$ X- a6 [1 W) i. }6 I& q " }/ W7 |4 |& E1 [* u" P

---

) E, L3 R$ ?) ^! L

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 3 U# N- X$ L s I4 R# m

 

/ V' o5 o {4 [% a0 l ~& M6 g

1 N" e: w2 K" f
+ }2 s/ e9 S8 Z5 |8 Q

, F8 \9 O" p' i$ K7 R, `