渗透测试某大型集团企业内网

admin

& k% I& X+ ]6 b# N

+ Q$ s; _% @4 c J2 Z* v" K 1、弱口令扫描提权进服务器

% Y' V* S; ?1 |$ [, H1 ~

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: , c2 a5 ^4 q- Y/ P6 Z) A8 `

1 z' m' d" C6 ?/ `" ^/ o0 K

, m0 w4 ` |3 @4 p# H

---

. l" s; j# n* v2 Z( x) R. b2 }

- q0 @9 d v4 I* I/ H9 o# I/ V

5 j1 z1 m! A @: R3 v

% I& x+ h8 M \. Q6 n ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 ( W7 s) ~: \$ S3 J& k8 w

3 v5 T' u( E5 ?' O0 e) I W

/ T- ` [) \: _% W; ]7 f% C 执行一下命令看看 + f/ T) e% L* X& j6 H. i2 l

. M( a1 W7 T/ q. _9 d3 A7 n

---

7 `6 u6 ~1 w l- F' E/ Y: f

: a: _" h- ?- @6 h' F$ ^2 E/ b# n

0 A( |; z: Q! o/ G. b 开了3389 ，直接加账号进去

, y( a! b5 t/ t& w

---

0 N: f# l% q0 H* R

6 y! N+ s5 v2 C+ {2 N ~2 k" H) m $ _+ x$ J9 T: q

% P9 j- s+ |- y" g7 l# X# j

}0 m# Z1 s$ r$ z 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 7 V2 l7 d! |/ ^$ x* g

% F# q: D+ k! y1 T, J. x7 ?( i

---

) j% j. [% z2 P i% v) w

/ a; Y4 e; e+ a3 o3 `# Q

* ?2 R' h N* ]; ^

: X# V; g. Y+ Z

直接加个后门， 4 U) M" ?: M T8 l# P

9 t7 Z h. u, w" y

5 z9 h; b! w7 f1 l% y! [& _

" ]) @9 L- R$ A3 ^, p. y! E

---

; c0 d* s: F. h3 [# y$ a

0 o* L G) @- U* n0 R$ s

% s2 [: I' W, @$ X1 Y 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

2 、域环境下渗透搞定域内全部机器 6 g: H9 R) l" N& v

/ i4 h* m' I+ B1 y

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 2 ]8 E- [" s# J* Y4 s: ~

" S* }0 |5 k+ c3 @: W/ `+ t+ |

---

4 ?) n* k) P* t6 q" K) [

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 " @3 H/ S6 ?, I7 r; I

6 c0 h' Y& b$ o {5 } * k8 B; `9 y4 |/ m% j, E$ d

---

6 v" K ~* s7 V* V" b N o" g8 u3 `+ r0 I9 n

, i' e8 C( I+ E: {/ ?' t6 @

' z& V0 M \" H9 ^ T6 f

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

& W. m5 {/ }" P E3 R; [

---

Q( h3 O/ z2 c4 h8 ]

* s8 f8 L& ^ r }6 S; Y: x% v

! {" f' q' k$ x' b3 d4 O

利用cluster 这个用户我们远程登录一下域服务器如图：

3 M9 O& z5 g/ N/ i$ H6 B" y

$ U1 h7 q. _, e0 [1 ^ & [" L# B1 \' x/ L

---

: t* K$ j: a0 X+ X# F/ f

, }4 \- B# x5 v e1 y8 I) I! D% J

+ E7 S! |* V- I6 C0 ~7 q+ S d6 s

1 }; `5 s9 q( i: c" i 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

6 D: W3 ^2 M& ^7 M . k6 `1 U( a0 X- A1 `5 v, H

---

# l# B7 N/ }- ]7 d7 O

$ x8 T* ^& Z. R0 p; _- C

: ~' A9 V$ l+ v 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： ( L( m+ y4 ]4 ]4 z* J

) A/ `* e' i2 t6 _- _6 g, ^

3 M# Q* ?$ P8 A* z

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

1 k% g" Y$ J9 i5 z. s blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： 6 |* u: S" n& e

: c9 U ^! u& F

---

1 q1 l. F9 M. |% ^; _" h3 ]

$ z/ d! g, @% u) P* N

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

! ^8 D/ d" ]/ {- g% v- R

---

) G8 f# R5 L5 X. b- `) k7 A

/ v& A# H- q; `* @5 ^$ O# k/ h

6 |0 s" J( i3 t* W& a 利用ms08067 成功溢出服务器，成功登录服务器

5 I/ ?8 p2 L2 z2 n

* ^( m5 h: i! F2 T2 Z8 F

---

9 G4 _5 A+ z/ @. i* l9 V) h E. R5 K1 H; Y' p

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

' u- T+ u% U" r, N

' R1 w; _" i; ^3 V 这样两个域我们就全部拿下了。 . h* d3 Q1 m( M& a) Y, [, V

- w6 Q |6 W! q, S" R) h5 V/ C 3 、通过oa 系统入侵进服务器

' }2 i& p( y% k+ e, _3 |* F E

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

' k2 E W* u# ^. B* F3 A, \7 B

- }- L+ p ~# I

---

8 K; B; [! t' N/ k( I2 q4 n& C1 x

5 J0 ?& t& D* @, C, r$ F

- I5 P8 b% u0 q5 Q# l

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

$ x+ f: f X& x# n# k) D$ \$ `

" A- w: U& }* p4 y 3 o, U6 x8 B4 A! C

---

! [' Y i) B3 X4 i - q* D# p; P) V4 `

, q! s$ e6 r) N2 y 5 k3 {' u% X) \

填写错误标记开扫结果如下 6 t% G, B( i$ U4 f9 h F; T

---

* Z; Y: f- W Y2 j

; ], M0 _" [) P9 r w6 @ v# k* n c

" P) N- ]- ]. _+ x" `. K8 y

7 @0 H- @8 F- c0 e5 m; m, k; Q

# i/ H. V! B% y. o, t( S9 E' E 下面我们进OA ( }# H I j; p! l$ `

3 w% ^# V% n0 @( C

---

' c3 L+ S7 V, s9 N& } O

0 V7 A+ f" _& C& f9 p* E. w4 |

我们想办法拿webshell ，在一处上传地方上传jsp 马如图

( W- c/ b! w0 J" T8 D; ? 7 n6 r+ N9 ?2 }6 ]( P) W8 M

---

. z Y/ D4 w: ]; |0 E9 e

/ J/ r0 f$ N2 u: j$ s) u

6 ]/ v4 B" q j4 T' \

0 W2 U2 g: H" ^) D" N+ H+ j

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

$ L* f' u3 Q. J

4 、利用tomcat 提权进服务器 2 L: e8 h. z- _( H3 Z

用nessus 扫描目标ip 发现如图 7 c U1 T* c4 z" W

- S* H0 q. e) B- n2 v/ [

& t8 k, a$ K7 K8 R1 ?! w( P- W( i. o/ _

---

( m/ S& ^( D0 S' ^( P6 K4 T

! t9 Z/ r: g9 V5 P3 i+ i3 Z0 m

) ?3 ]$ P9 A7 `3 J) }

! a1 w+ ~$ b: D! o4 f

登录如图：

( v) F: ?! l: Y* I. I [6 Q

---

) l8 a+ @7 V* @! p( A

- i9 X0 [# L9 p 找个上传的地方上传如图： 5 p1 a }' N8 Z% x

+ r! l" |8 g+ B7 b" J& s( k

: F- x/ ?0 o' N6 D) g9 v3 u 1 \$ K Y j0 |5 F& [

---

* \; S8 B, p/ Z+ X / J0 C+ }* x7 K2 i$ O; z

( R; h& v, k2 @- M

+ Q, N/ N" F _ 然后就是同样执行命令提权，过程不在写了 & i) V8 p- T! p+ S! W I

& Q* ^3 l" p* D$ |

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

首先测试ARP 嗅探如图

& V8 @* p/ y& I( O/ Y! q 9 ?: d0 F2 r: I. H! [8 Y( a

---

4 V& m% M: b& l1 I4 y. M0 V( g

. I$ s& i ]- U- r9 x# c

+ m! j! c' w( J# d/ A2 @8 S 8 c" ] c5 n2 c. ]) e! N

测试结果如下图： 4 s& x+ {: Y7 z( |- q( n

6 r% V( B4 @% ]# U5 h9 h- X _& n" |* U. R8 M; U1 _! I

---

' e! B5 y- l1 R, O$ f

: Z n! w7 G# s+ o

& ~* W; g* z0 Z+ L0 F & J% U+ |+ R4 q0 ^ B

2 E- b; h' Y% Y2 }7 s, m# B

哈哈嗅探到的东西少是因为这个域下才有几台机器

' F$ i6 |3 k4 ?3 ^

下面我们测试DNS欺骗，如图：

A+ I A3 g3 _0 S. o- r

---

/ `; `) f1 ~3 ]4 Q. s9 w% c* L

: B. \) B* \6 s

* j) n0 A6 V3 _1 ^$ O

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 8 H% G6 d, r, t6 s! ?0 t

- c6 z# [1 o" q2 ^5 C

---

6 h$ q& k5 E4 f1 @% J7 _: i

) E/ n8 P9 s& a: J- o- q- E

; v: w2 p- P, ~) Y0 m; |7 ~3 V O4 h 5 B4 e/ T# n0 |! Z5 y# z

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

6 、成功入侵交换机 / v2 D. R0 i* t( j% u

& y! n6 v8 O/ ?* Z9 j/ u# F& k

+ ]% s2 t7 r, t& w: u& r8 H 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 3 S' m ?( b8 F& p. f9 E

9 ~; z8 z, s) t. ^. r$ F0 G* \9 e2 X8 f

; O( U# E3 o* y' e4 R; L" Z 我们进服务器看看，插有福吧看着面熟吧

---

, p% M3 u) ~1 T' z6 X) u

7 _4 i8 S; k3 l5 f" ?. j

( R2 D' H! ^, a' i5 z7 g

装了思科交换机管理系统，我们继续看，有两个 管理员 5 t& P4 R: g2 X- i. d3 d: k, [

1 X* e4 e4 w( {3 L# k

3 o& D+ O# Y! o. `

---

, ]' q* N+ f+ }8 Y

$ ~4 c0 R2 u3 o3 g7 B; y# z 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 ; O+ O2 H. ?6 [

' }: I, N- |' ~8 S6 C9 E) b" b

---

9 x# X9 q U! y0 F# L

& Y# X9 \" S3 _, S$ @ C , V; x- e) K9 K0 B [7 d0 [

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

5 i6 P$ C6 `! z

3 |2 q$ B( J+ F. C* {% Z/ p

---

' H5 s9 d: j8 u0 Z; {- B

4 v' I3 ?3 n* H( P # b" d( u# z/ p' l0 Y

j3 g3 `" n. n% D; e- \9 T: m

点config ，必须写好对应的communuity string 值，如图： & e2 J# s& `0 k( u3 X, Q! \+ Q

% N1 ~! V8 J9 P" R

---

0 S# r/ j. t1 y% M% T' g

( Z/ r$ w& R4 }" v. H

+ _( A& \/ [/ }) P

; L7 i& B2 n7 b9 t 远程登录看看，如图：

. k4 M' h1 J, w+ c+ Q0 d0 ]

---

) e- R6 @+ b+ M, h2 W ( j3 g' V8 ?0 b4 a- V1 S% Q

. U' S7 |* X) x" w& {

1 _5 m: o% H+ x6 g2 w" B

3 n8 I1 D/ e1 J4 d8 F- y% ~ b. `

直接进入特权模式，以此类推搞了将近70 台交换机如图： 1 ^2 }; B, E6 S; E$ z

2 i( v/ m, _& D K. _- _4 T

% w0 r" }5 o0 T

---

7 Z% g! g2 D) \* Y3 b3 e) p

2 i! r* |8 ?8 H3 p 9 X2 X8 p+ I( g- A* M

8 l5 u L2 Z: I5 s" w

3 e* R8 z4 n5 s! n1 @

4 t5 I W% }5 M1 s1 j% e% l 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 8 S f" T, L z

; C! o) A6 W) N 5 G: o6 v8 j" P, V7 f, M

---

$ }1 M& e% j' ?" V1 F

* ?- Y1 K9 i( e+ v3 j

确实可以读取配置文件的。

X' E/ L6 y2 v2 F0 A3 t

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

* _/ A0 O0 b3 s* ]' a3 {

---

: D' C6 t3 l7 j4 L

. C$ _ R( l# S6 d5 A 5 s% f! B& L6 ?' w0 k* g( P9 b

7 w4 N9 Q+ F1 Y; K5 `9 o6 G

8 {6 d, ]- q' D7 H' p

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

* L9 h6 ^6 H( N% j& ?. O) s

3 h; V3 T0 q2 @& m6 ~

---

B5 G* |* ?/ s, X

* D* P. f' \! g& j5 j; N' |

+ ^: u. b( p7 r( O$ o+ E9 s 6 l8 a/ H* s* _: t

上图千兆交换机管理系统。

4 B* r) b, {* \- Y r

7 、入侵山石网关防火墙 1 E) n3 J8 \" \ ^7 }

9 L& D q% b* n; L$ l

4 }) w9 n3 q3 h1 d2 i) k4 K$ s 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

/ W! A; a/ m' C0 L( k, i

! T3 z4 j r5 N$ q* @9 \! J) m

---

: G% ?+ O+ [1 l0 i$ V

7 ^+ [% i m' P: u9 S8 C4 Q

. _0 H$ N. J1 a5 t9 i6 E; W

. w' _) ^! z C9 W

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： , J( v8 l" @7 r3 x; l& q N

9 n0 [; a& m$ y+ K0 j6 m. U, B7 p' j 9 L8 ~# D+ I" T0 @7 l- [

---

6 k$ Q3 O" \4 g# E2 [7 A / T4 W' ?- x) v5 m) W

! ~1 d: s2 x* j/ R4 Y

?; |% s6 M& }2 A 然后登陆网关如图：**

4 a# Q+ z7 @* d+ q ; W1 y. b( U1 ^$ Q) t

---

, d0 G9 Z* s9 v 3 L! z* C- n9 A! r+ R8 z

9 C/ w, q7 r6 e6 A& ]7 o& t3 ?; Q M, b; |, o* V$ X

* R. Z) ?1 L+ _9 {; N* h% K9 k

, ?& U9 B F3 @( E9 _% M$ A$ S ! x% x+ }: J1 V7 q( o

---

, _8 s% `$ q) f5 h4 d9 Y. H

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

" M7 _. ] O) e1 D* r" {

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 2 o) J- e) s5 j( \

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** - p; V* I9 d6 b$ k4 l ?6 ~; m

---

3 L& b4 c, o" x* L/ h* y8 m 8 h) f: g$ J3 V* b! [" x8 b' N0 E

/ b, K, g t, S) I

: E: N+ x" f j* x

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 ' O9 ~, [. R+ G. `' p

6 t# c% }" {' S2 T/ M9 @  

, P9 M, }0 @& K" S$ E' P9 J
' S) e4 w W: V, m

% q* a. }+ n% q$ M- g1 }; W