记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。

! w7 Y( m2 ?3 e2 Y
如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
5 u" x8 g5 Z/ e6 y; b' `: `

3 h/ O" ^8 z: h# i因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
! m/ r! w( D$ m6 a9 p6 Y6 O
) V# B- F) D' s8 ?; K* `------------------------------------------------------------------------------------

先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。
5 f; b1 P" K1 z! F9 v
第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。


毫无疑问，IPAD又奖励到了。


' r8 }* h1 D) J$ [* |4 H于是我和社交网站的主管说：你要啥时候才给我部iPhone。

+ |7 l% P3 Q4 l; F; K0 j% ^
主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.

& ]$ Q1 a: ]$ V
于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)

4 T3 P$ G9 ^' T( T; U! @% o- {
主管回答:那就来把.打下来了给你iPhone5..
+ V  A- S# P0 P  W
----------------------------------------------------------------------------------------------------------
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
/ x) \% W1 x  v2 C8 ?0 Q8 V
. k* A! |1 A& T* O之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.

1 d8 p4 d" ^, T
& L3 H$ V9 ]' e& g. U2 s- `好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
. q. m$ J$ s- ?# H4 x; a  q+ ]
- y; M/ F/ I* r1 Z# P
4 C+ v3 L. L: w+ Q' R; J% w直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.

- {9 d# w+ ?4 W5 t
' r7 ^: \5 `2 J) p: i- l对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把


: V! ], K  O+ b思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
' a, b: w  I' C) M+ X' p8 R5 X

于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。

9 n' H$ ~7 P0 }
8 X+ i( Z/ c- O- q' w对方深信不疑。自然回去访问。
1 @$ O, t, o/ w

好把，大概等了几秒钟，WEB那边有session是记录了。


1 q- Q8 q/ H( `& m& W, R% v一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。

: X" w1 z+ n+ ^* K0 B
. G; t5 }( X6 O: ~) A7 t- N我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。


$ h/ F# W8 X7 U! L* w1 L) PA管理员说是office2007 ，这样更加证明了我的探针是对的。

+ k5 L2 Z% b/ F, ~
于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。

' Q; \9 }1 Q  v) ]
A管理自然就给了我，好把。 office 0day打之。
2 O3 e; M: L" ]( Y( U# L
: O3 b: z1 M: B0 p4 c  I
4 d- K0 i' p1 s" [& |/ ]打开远控，等着上线，可是就是没上。 出问题了。

1 h* j! o- X- o# e8 F: C
* y# B. g* ?' K5 a$ U1 u: F' BA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
" W4 [, [) B/ {% [8 p

为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
* s9 x. h0 l! n/ F9 Q, u( o& M

6 u( {/ E3 {! I* e4 ^0 l7 C  N+ @同样的对方去访问了，系统应用很多被探测到了。
' U- h+ y* g' j

好把，出口IP也是.14.
6 s, P" H2 N! I0 h  @/ P3 j
& C- `- @8 F7 ?
. R# v4 q3 H% N* K, O0 O没问题了。出口IP确定了。

' R/ h! T; k* U, V7 j
# `1 e" j, P. U/ U2 N4 Z于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
& p& L& j# Q0 U: Z, o
' `9 f2 @# u' j1 K* b$ O) d$ ]
3 O. F. Y4 \: B6 ~马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。


马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。


& o. K2 _3 B' u4 Inet view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。

. q0 V- R. d# Y. _7 B
1 P. ]9 G# w  O1 c  `; G" q同时间通过密码记录，得到了内部Linux服务器的账户密码等。
- m* r5 C2 r! n8 r
* t/ m0 v; t. k' H' v7 |4 A  c
; ?9 Q; u9 I2 E% x9 V3 ^  b; Q向主管个人PC机进攻。

简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
  F1 i& O7 A- w4 i

于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。

/ b4 R$ `8 O0 ]
---------------------------------------------------------------------------------


晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。

4 g) r' N$ t4 x6 v* W$ z
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone

% ?8 {1 B- m6 J2 w4 g
1 N  L+ f2 |3 c& N& \$ q& l我觉得人还是别太贪心了好。贪心会出事。


于是我坚决的把马给卸载了。
4 K' n% i1 u: l  ]- l  z0 a$ h, L
4 S: g" s* d' \
---------------------------------------------------------------------------------
* {+ w9 J8 Q- d* J对于后续攻击，我的思路如下了：

7 i& ?/ R  g9 D7 O7 V
搜集内部员工的EMAIL，探针+office打之。


: G: d! Q$ Y+ l; y( G5 l; ]/ ?7 s& q内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码


通过登录A管理员公司邮箱发邮件下手。

- K6 v4 P$ c; J- f
内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
1 B3 r* x9 N% u* V- C& A7 }6 G' ?
( P1 t2 A$ \* x0 x厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
-------------------------------------------------------------------------------

最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。