渗透测试某大型集团企业内网

admin

: x* C' I e s% x# w+ J9 l
4 |" \: N- J$ g

5 `8 z$ M+ y C$ i+ Y

4 I8 y$ @; ]- R* D/ U( K- ~ 1、弱口令扫描提权进服务器

# d# N" O) @# |; r: f: Y 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: ( `& l4 o5 {% _$ ^% q7 E6 q2 @

---

& u- W7 F( d6 F0 u! W3 @! W

, J- F O9 Q+ d9 M

$ ~" X/ ~, v' f/ o # j: o! F# P* g- d

$ J& q* q/ g3 }0 V

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 3 v7 c( L! b! b& y/ m! j) I

+ B: N& N% r( [7 r# w; O& V( t

执行一下命令看看 * S; k9 L7 P* ~1 a

v3 H+ j( r N' v1 }- t

) q$ X2 C( a! O: ~! u" ^2 V

+ v( d! J. a" Y

/ F# p( e% J) X/ n; H- u # p1 A/ p! ?; _3 g7 S( \

---

K, s8 T2 h6 S/ [* T& Q; W3 A ) p" H$ q: }3 f* w0 G* k- K

3 F# [% R$ {) |; |7 D 开了3389 ，直接加账号进去 , c/ Z" w! M4 M+ @# |2 b5 f. S

+ P0 `. ?- c) O ( N. q+ q9 Y3 o* u+ f r' Y8 D

---

1 u- X! v+ m1 R x* b8 D5 @2 v# Y $ W. [% A6 J, V- i1 {4 W

. O% V. m' B+ A! t) C& x " ^9 g% n- h. I5 B! C

' f5 [1 E" P3 f4 N$ D* t

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 ; {" e% V8 \3 X$ g8 | `$ t Y" z2 k

---

; L" H8 j' C6 {9 ?

# g6 Y8 C. b. O- n0 n 0 ^4 G9 ?3 V8 W) L

直接加个后门，

% V# m; B/ x {1 R x . c5 V! u/ V' h7 {1 F, p% ]4 F

' W m0 Y$ k3 Z

---

3 F; h+ _4 B* N1 z3 X- h6 u: x$ X

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

2 、域环境下渗透搞定域内全部机器

: d( o ~* \% a$ L

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 ' L- a9 w8 i) V; E

' J; k5 W8 K( b: d3 A! s3 Y - X/ b6 y m6 Q

---

7 j; Y) L; X9 ]. z0 W( C

; u) N& H8 h1 N9 o% V' @+ F

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 ' K$ D! C+ H% b0 B5 N6 J: ]

. }2 g. B+ @5 X3 w6 S1 x/ W ' g ]* G* q% p) O

---

1 X8 m$ u1 U5 y3 m! A G 8 d+ o3 O6 a8 s

; U. }4 M( c s& n) z* i6 a

" u0 R3 H: l) l( P

/ F% M& h$ Q6 m% G0 z 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

! o" a% N; a" D

# S) A# D h! w& z

---

2 H5 [" u* ?' K1 ~; h- s/ v1 \$ A+ [

& q- j! U& X! i0 f5 j6 s4 V

+ {; j) I6 B1 Y4 g8 s- ` 利用cluster 这个用户我们远程登录一下域服务器如图：

9 n m5 n# {3 M/ O# H- |- W) z }

---

5 A4 P: ]9 U( |% z ; ]; \8 m4 i& a$ d

0 g2 C& s- k' t- C# `1 e) B

9 Q7 h2 Q; q' u8 t: L( m- a: F

/ J0 P" `8 { f' [: U+ z$ @

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

, N! b& v% @' h0 ]0 T7 S8 Q w1 u

8 O- m5 y9 c' Y1 q' h3 b2 {

---

6 B6 ?3 Q: v$ L9 D2 B

+ X& g* Y6 n( F1 y 8 R& R; N% ]0 A) g, F

. p+ f x" \, e2 |

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

% I2 X/ K, ? U

) W1 J$ k. e2 h/ W

) ]# ?! c# v" s2 W: V6 Y. r 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

* M; y, t+ F a @* L% x

& a1 E" t1 r; O& i1 d) x1 q7 b) V9 m5 u blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

5 C/ r R2 _, p9 u1 }$ u# a* D

---

: |/ Y& o6 H6 F+ \5 h

8 Y* G) D! j7 ~0 z, E

' K( A: z" F( N$ {: N

' c& r7 F7 e* r9 E

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

* ~4 \# M% a W' N9 M6 z2 ?

' L- m1 M3 x+ T) q$ G

---

. ^1 a/ v' H* L8 K: U- e

# h7 H8 \9 H! E- M. V: q+ t

$ p% G3 z" O/ U& F9 }2 \

利用ms08067 成功溢出服务器，成功登录服务器

3 p% F( h5 ^4 d, ~8 q' u " h6 v% v& Z2 L5 K

---

* w: i2 ^* K/ x7 o- F8 Z! r

- @/ D5 W: z6 z/ T+ S; L

+ P2 A$ p8 d( j) J# _: i S8 `$ {

3 h/ i6 F q0 d. r+ k

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

! L0 {* Q- G% D0 O k3 K! @$ `- D

这样两个域我们就全部拿下了。 & H E* v6 G3 x9 u$ p

3 、通过oa 系统入侵进服务器 ; n- \& x6 g7 k. w

( _7 q6 H2 I w% ]0 M r! Z

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

) C6 q& |/ F$ K

---

8 P2 V- @) \ N+ }$ D 7 b* s+ E( J( I0 j3 G( _5 ~

" X* T/ W+ L2 f 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 ; Z2 o! z% T0 P7 s, l

# `2 p/ u& X6 o. p - F) ~2 j- J O( e

---

' X B( t% w, w+ V$ l% o) k" W

- ~: y% F# c3 Y8 M

4 |% ^1 C' d# n% X7 A+ t1 {& ?

. s# P: H+ r, h' O4 V 填写错误标记开扫结果如下

---

+ B# S& G# u* p0 [& G$ ?) ^ / x: b/ q- d: i) {5 d0 I% V

' G- T# |* o& [7 ]

9 l4 x( r; Q9 `; o( x+ m

下面我们进OA

1 p6 b( C* U5 U: Z! t3 b

---

9 g5 o' p6 W# z* e4 j. n' T. g

) h. y3 p2 {6 `7 i( d, T" t

% p6 d( f; n1 C

* Y' q; w, Q5 Y( s5 S! d 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 & p& x! ?; R3 y! a( {6 A

2 _' N: b6 ~/ ^# D$ ?) G% a- M( d

---

4 ~: p& c5 ?, W6 }) i: R 2 R- k* s+ e2 a# p. D

+ p+ @ T& S6 u2 i 3 J8 s: a3 Q1 W. _7 [; A9 t

8 `, B4 w2 I1 h1 k: o( v& [

& b1 k& {7 \' H) I

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

: J1 Y, c. W- e$ Q! G6 F+ y

4 、利用tomcat 提权进服务器

) w; k& [, P& m4 [! j

用nessus 扫描目标ip 发现如图 ( e$ [% C+ D! P: P4 G4 i4 F

# `9 l; a+ m; f4 b. \6 A& i

---

! y8 @4 D% z% }& M* j: w ~7 Z

|: [% Z% I# q

, ^: E2 w2 u% s1 K# b

7 d5 e+ {6 X7 a0 b. F2 I* v 登录如图： * V! I% j4 i% m/ u

1 r) f5 y- L1 e2 W0 ^) R, j2 e

+ n1 p3 C3 t' |: m7 C0 h

---

0 b4 n+ C6 \' M0 s h ( q, O1 ?, d5 T4 P2 r8 S

- t9 X# F% x- g& e5 g1 b. w9 C

% a6 W+ t; F4 I/ I1 n

' R, r% U- w7 _: @ 找个上传的地方上传如图： & d6 R. @9 D8 k2 s! ^

6 U: m( W' N: G2 O* b! S6 `1 L 8 W m) E9 j# P/ \! P. c% _$ @, ]

---

* N9 Y5 T, V- @: X7 S4 P* l 6 @( Y! f5 b7 P1 m4 o5 Z8 b) W

) ~# P1 h) W) @. p, r2 P+ V

: v0 X& i/ [6 X! @9 S

! K" |" A& h1 t) u 然后就是同样执行命令提权，过程不在写了 6 H+ d: ]3 U, J. U

2 P0 ?5 n7 c4 y- e4 N 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 4 | m9 t/ K$ G% o h

( O4 P, h$ s8 R( o, M

首先测试ARP 嗅探如图

6 I4 q3 l8 Z* l: \

---

$ n2 p. T3 b0 o0 D: ^ f: U- Q! F* E

$ W4 {+ X# W& a$ o$ s. X% \

5 @! s4 G* [: ]0 B; R 测试结果如下图：

, d" b4 w; C$ Q% O( v

K- k" y2 L$ ^: o8 M% k+ m

---

) ^3 b3 b" I; T% R3 l: e! W0 e

. t/ a, o p! h" O

4 _: f" v+ R/ F; X2 _0 f

: e9 S }- Y0 Z1 R

$ G5 u: w# O5 x: r 哈哈嗅探到的东西少是因为这个域下才有几台机器

& y+ G$ O, }, Z% _

' c5 h% i9 {$ W7 | o 下面我们测试DNS欺骗，如图：

, L" T, k/ f) B. y

---

# L+ M6 T# F5 Z( _3 w) d4 |- u

, Z/ [% g, U7 X8 n

/ q, T) D1 t l( H

, H: M) Q) \' d+ t 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 3 _9 `# O- I8 o/ u! C

9 v4 X4 g& |- y0 ]) ]- t1 U8 b" K) J4 ~

0 { g0 Z1 j* T2 c

---

0 w. }, c" o" i; ~+ P ' D' R: u6 a) f

* ~* a( y3 _ Q& x" W+ `# n: J7 x

（注：欺骗这个过程由于我之前录制了教程，截图教程了） 5 E$ L1 K8 d0 h8 u8 N

0 ~& G" A: w) h) N4 @0 ]

6 、成功入侵交换机

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 - F4 F% H( @' {) e# H; M

y4 ?+ H3 [) I' |& h$ `& L 我们进服务器看看，插有福吧看着面熟吧 & O4 f$ k4 N: [4 k+ @+ k; n* f& {) G

- l3 Q- s+ w1 z9 }/ L. r

5 I! w) b7 ~9 L' T4 n5 V: a: [ $ m' X- p/ E I* _% [

---

- r+ V" C6 t& j5 e7 x 5 g) H' \* l6 }/ ?8 S3 o3 q% r

& w& J% U1 S* h; B( V, d; n

& v3 k6 k0 |% j1 H& ]$ R2 E# y

装了思科交换机管理系统，我们继续看，有两个 管理员 D/ C8 C6 A- m

- h' w& X; [' O# c; T7 Q

- F4 z+ y# C$ w& ~ & O5 ]% e |# h8 j

---

- F6 ]! _. T& T+ F

* i; b" p4 W" `2 u: ]# ?/ ?

" v4 L6 O. v% l1 W

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

) B& X( R0 z! V! P: ]6 h

& Q: y4 x. ~& Q

---

- `$ |! N- Z/ \

# h' O3 w2 f/ W

1 l4 ^- n. {* s5 Q! P

- J6 \- Q+ i/ @' @ m7 F8 t

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： . b8 Z: n$ u" J$ [

& D/ @3 T( A2 w K

( _* c% m9 k+ o) Q f 1 N! p5 Z/ e- H) Y: I/ r

---

& E1 a- h0 f0 P! o; Y' }

: v& \# d/ l* K

5 Q) Q5 P- `' v q1 | 点config ，必须写好对应的communuity string 值，如图：

1 Q4 r5 l7 r$ q4 C6 ] & i, m; P& N6 ~( D, q" L

---

% [- A7 F# K0 t2 o1 p

- @. b" p& E3 D. J Z; C 1 d0 W$ ~9 g) l- F! S: h

- b8 g' {, A: z 远程登录看看，如图：

) j H, q7 a9 x6 s% F1 h

( N b6 u3 | h4 A! @4 A0 W; y

---

. }$ x1 O: s! `' B

5 h. O* l* A J9 b% J

* b. E* d4 J1 {* K2 h' ]" w

; y7 X% H( j; J

直接进入特权模式，以此类推搞了将近70 台交换机如图：

* X1 w! o1 a9 e3 x9 d! }

---

4 X8 x; O J. y5 s1 p. w. i

4 |& s% I8 K9 w3 }: i$ O

7 Z% g$ m+ M9 _8 W

: f6 x+ J; @8 l) P! H# n% g, J0 p/ {" c 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** " g' I3 H7 F1 M% N$ f' K8 }2 b

2 o% Y1 M6 B: u" s6 j5 N" G

---

* M8 }$ P. m, n- e& ?

( v3 F4 U* l. \4 ^0 j* s0 q( `, f

+ b+ D; p# d B. e " _. S4 k7 c* N1 q) f; w7 {

3 L2 j' P* @; X& I% } g

确实可以读取配置文件的。 0 X9 p+ f1 i$ P5 ]: Z

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

1 t0 {2 J9 }3 b" `! J3 ^4 a, z; W. g$ i

---

, i3 E: H$ T' s6 E5 r2 ?) ~# b

) Z; a0 ?0 X* R: ~" I & @/ _4 A' v" d1 {( R) s

& Z2 I# i0 C( F+ V; s

9 d. ^7 v$ e: e4 p 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

4 R/ u' d. e: `" ]2 N

---

9 ?" B# e# M$ j3 M

# i$ U* r( Q C8 q; h: j# m

* {% U. l, K& n 上图千兆交换机管理系统。

8 P# \6 q- q) g; ?3 t% A# W1 z& f

+ D" r! T* P' a& d! l( w 7 、入侵山石网关防火墙 ; z; D, y& G( Q1 T% b7 \" t% ~

1 w5 Y( v; ]$ z8 T 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 8 y- x a* N3 M6 Q% L3 u5 I

, I9 Q& @* G' J1 O+ E, m

$ S, k% L- `8 l8 n+ p/ g 5 h. p) g9 H! S

---

! a" K% Q& t" b6 j # y# A0 ]) O9 y0 \' d7 a0 J {

. ^6 D; N6 R7 w$ k, G

1 n$ {3 V6 A- n' w' T

& L& |0 S1 d1 { 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 3 i. b' o3 z- h0 w/ u# D4 v

; h5 t, L& N- g9 _! L1 H

---

/ Z& o4 c- e5 Q" e" q

$ |2 K" {8 |) |/ s3 S1 E

( [9 L# r1 {- T

+ j: K# d- x, l# D6 h( @) l# ?% V4 K

然后登陆网关如图：** 7 T) S3 V$ K" o* N# S& b

H2 D& m; y0 A

---

5 H5 N5 b2 |7 K5 Q" r2 ~" ]4 ?

; N" e6 K) f- M2 U

" w" N7 ~# q, {, K8 y1 H

---

. @ A4 J, E, N; i3 }* ]

5 M" V/ m6 l7 k0 M8 y 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** / Q3 ?9 j% ]; \7 x$ u

' x. L. x- z/ Z+ T2 q7 S/ u& } 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 2 W, l+ B7 w0 q9 u* ^% K* U

# @# J5 t- Y# L

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** 3 b) i/ P3 J# I6 f w

1 s- T H) Z9 [$ {+ z' I

$ s% y$ x. U# t2 z- B- ]

---

s8 Y" `3 C6 I8 L9 C, ~ * S. E: ?- @( q5 y; J5 Z: T% [

! i+ v' V# \8 L# `8 Y) `& S

; o$ \- W" C/ M* Q' V3 m 2 J& O/ u( w$ q, b( x% U9 y

- n% }8 R! P8 F! s

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

 

% q/ { h! y: ?8 z( u

8 d2 R$ ]7 V( J& d/ _8 u. ^. L