记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。

* g% |7 Z$ B1 V/ t1 c
1 E  V5 V, U+ \# F/ @7 l如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
" G/ o$ o3 @1 h% I

: B! A' u. s& J; [, P因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。

------------------------------------------------------------------------------------
, B( u2 l  B# ?# S! B" x
6 D3 \! Q: q) p" c, h先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
! q; D8 A+ s: _
9 L2 s! ?4 _1 k
% H1 Z, k' B  d% g( p: J毫无疑问，IPAD又奖励到了。


于是我和社交网站的主管说：你要啥时候才给我部iPhone。

, ]  H1 A3 P; w& N
' i6 Q8 K2 b" P3 N主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.

4 A: Q$ q& @8 K! i/ w7 `
" x+ I  _! p# z5 a于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)


主管回答:那就来把.打下来了给你iPhone5..
: X# a1 J% }/ l; [! \" B5 F9 |
# i5 P$ J  ?1 c& \9 |1 w) D----------------------------------------------------------------------------------------------------------
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
4 `; W; y5 L) _/ {/ K6 |, I
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
5 ^  m& u; `. T; D2 t: i3 x
" N4 f! P. K0 l6 g# K5 d9 w
好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.

) [! I/ P$ M' c3 _* v8 k
直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.


对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把


. x. R4 k8 @) B思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
  L7 N: u9 [, m  p3 |/ |, m$ C

9 ~* ?$ ?) }, D3 k4 v7 S于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
1 [& k0 I3 E3 s- p
) n. i* v1 P0 I; y) V: q
对方深信不疑。自然回去访问。


% W* X" S, O; f& W$ R5 \' h好把，大概等了几秒钟，WEB那边有session是记录了。
  Z5 s/ I& c% C: h% \

一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。

) H' ~/ W3 ^6 j# Q
我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
% x6 y1 i4 b3 }  @# \5 L( d1 U; `* ~

A管理员说是office2007 ，这样更加证明了我的探针是对的。

2 e. Q; ]: h1 c! o" C$ o2 M
于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
2 x" V: X8 ~0 T' y/ k3 ~. X5 h
2 Y0 O' }1 o  G% k
, T8 G, s* k/ v* m' z/ U, JA管理自然就给了我，好把。 office 0day打之。
, J' r3 f! w4 k6 O

/ g  W; l/ N7 R' I打开远控，等着上线，可是就是没上。 出问题了。
7 o$ E& z; m. ~) y- T

, N; m8 c- i, ^* X$ b) }A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。


+ U. Q) d" C# F# m为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。


" X3 T: B" E4 f同样的对方去访问了，系统应用很多被探测到了。

. f+ {6 T/ o, H% X1 t* q
. e& c7 s- }! c: _* Y9 L+ m好把，出口IP也是.14.
. W/ R" p3 k6 p* A: h( l
: V, C% t: ]+ R8 y" T: I: X
1 y0 Y- R) S, o* P' x没问题了。出口IP确定了。
3 J: {$ H2 N( I6 z
9 ~8 N" d) K! [  O$ V
于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。


马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
& @$ E9 H- I3 G2 \

马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。

; S; n4 @% L  Y( `
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。


同时间通过密码记录，得到了内部Linux服务器的账户密码等。
# }  K6 e; x  @) ?
) M* e5 I% t0 K0 \( c' E
向主管个人PC机进攻。

简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。

# p) u2 E0 e1 O
于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
+ u, y# }  p9 \6 p8 {: H8 j6 C" o

---------------------------------------------------------------------------------
+ D- M7 q3 }. t! E0 A- ?# B- {
8 Q+ F6 y1 ^& p: f2 {, V
3 C/ R4 a& e. U8 F$ Z) o$ A晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
% H' s7 @( }- P" D
( W! d# K; y; S" u  E/ f: X
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone

' o  L$ W6 F3 `8 [" S; w
我觉得人还是别太贪心了好。贪心会出事。
; {9 s- T; t1 d0 w+ N6 n" ~: r! s

9 }6 Q7 }1 k" h" A于是我坚决的把马给卸载了。

& S( _5 w8 X% O4 w
" \' _4 n* T) {---------------------------------------------------------------------------------
对于后续攻击，我的思路如下了：
; e9 K2 d) b. }5 S- H8 K. @& J

2 M+ i. F, H1 W! x搜集内部员工的EMAIL，探针+office打之。


内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
0 r1 j7 @! g4 v" a5 C: O
$ c( P- N" i; ]2 @$ k' |, O: V
8 J+ P5 \( z, R& n通过登录A管理员公司邮箱发邮件下手。
9 @1 x9 Z" p/ i7 g  h9 Y% S

内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。

厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
* v( ^3 U& F: U; v" Q9 |-------------------------------------------------------------------------------

最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
0 x& N; m& _8 b# o- Z, F1 Q