记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
$ j9 A, u& z3 K; f
9 S: l" ?! P, E1 r) A  h* M
9 z1 V3 c( [* y如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
! M' y! X$ z1 [

3 c: _- A" r/ f1 [因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。

------------------------------------------------------------------------------------

先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
& f0 r* C* Q% E! e' l! E: A
7 d9 S: U- n6 Q
) Y; R, S- m. d8 I* W- F毫无疑问，IPAD又奖励到了。


于是我和社交网站的主管说：你要啥时候才给我部iPhone。

& Z4 {4 D# |0 n  d7 {
% `, K. N* X" F# Y% E主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.

, F8 ^7 Y+ [5 {) E+ d) f1 p: Z" g& g
% h9 D1 W6 u" m5 A- g$ _于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)


  }' Q+ {- \* G) [% ~* A" c, V主管回答:那就来把.打下来了给你iPhone5..

, |7 m5 {- c2 {+ N4 X5 }7 D5 F" {----------------------------------------------------------------------------------------------------------
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
! X- c* e/ O7 Z7 D3 P9 @
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.

& b1 I- r0 r6 V) i
! ?; G7 \7 Y8 T好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.


( ~+ m" n3 D$ W( D* i9 P/ O- W直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.

) q, P& }' f) Y0 r$ b! v$ k
对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
) _) J1 Z9 D8 g- S$ Y% w
6 S. A: P- [7 D* N
. ]$ P) n0 u" j/ Z) E4 d思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
* q1 z6 _6 Z% I; T) b* Q! Q8 v

3 x" N$ c9 w) Y于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
; k. m: w0 c' F/ n

7 G! D' V5 A2 ^5 K对方深信不疑。自然回去访问。

; F8 E2 r+ I' g, S2 Q
好把，大概等了几秒钟，WEB那边有session是记录了。
" z0 o0 x; B2 k/ d
# ^; w7 a5 _' y5 e
一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。

" s0 c- C0 [* N6 }; w  J. @
我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
9 A  M5 @8 \# G) [. H. v* T; c

A管理员说是office2007 ，这样更加证明了我的探针是对的。


于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。

( n7 b/ `; F1 q. E
; E! @, B9 m+ U! \A管理自然就给了我，好把。 office 0day打之。
8 a5 s# S! U0 K3 X; I
6 s* G8 e0 B2 ^8 ]1 w1 K
打开远控，等着上线，可是就是没上。 出问题了。
, `5 O( B7 B: i, X4 w7 W0 G1 j! N# g% Q- r
* @' _2 o0 O/ S! I: n- C
A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
2 ~! }( g$ Q1 a+ n/ ~, }. U

! \! e. f. Y' A! \* x, ?5 s$ g  Y+ e" w为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
. j% X) z) w0 i* K# c
% X( b+ I+ N& {$ y5 }# _: c. e
1 v$ d3 r: e1 x, L同样的对方去访问了，系统应用很多被探测到了。

3 Z: j# z% t3 ]- R! M1 O7 p
& ]0 d0 O; g( ~1 S& m7 N好把，出口IP也是.14.

- Z7 T! e, _1 k( b# A2 t' N
3 v4 J! A% R% D没问题了。出口IP确定了。
+ T; ~6 p2 V0 H

! w4 s1 d  Z3 o& Q2 Z* H于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
$ Q# Q4 G$ P: f! B# k. ~
* s  r4 [- L& e/ J7 U
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。

' J7 t& O5 F& G  o4 A
马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
0 ^7 C" s) t# v1 W; I& E) A
, Q( C" t' ~1 T; k! G& I
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
+ u1 s. D& W5 z5 Z
+ O6 t5 o6 O# G! Y( e8 `- ~
" g+ x6 w2 K4 p& b$ ]同时间通过密码记录，得到了内部Linux服务器的账户密码等。

6 Z4 S3 ~" h; S$ |/ q
  u8 O9 f' W9 [2 c3 L8 \$ m5 g( b向主管个人PC机进攻。
) X" ]4 t" Q  s
. q+ }1 M6 I1 c7 ~9 W% T" L$ p简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
3 q" s0 f, a3 `7 v; V+ Y$ G

于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。

; c" m8 l3 E! u4 E/ r' K8 {$ u
---------------------------------------------------------------------------------


, B1 v4 j2 p& e, L, b7 w晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。

9 t& J: T  f( ^: y4 P
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone


我觉得人还是别太贪心了好。贪心会出事。

7 Y5 U* C; g+ Q
5 {: ?: x8 k( J$ j/ j* U4 o于是我坚决的把马给卸载了。

. C: B3 z3 a9 M! v- X' ]
3 F, X- v4 l( g- R9 p---------------------------------------------------------------------------------
5 [. w7 D: G9 |( q) N* z2 z0 g- X$ \对于后续攻击，我的思路如下了：

" f/ q0 q# f9 c& n
搜集内部员工的EMAIL，探针+office打之。
6 {' Y  \0 t+ N. s( w% h

' Q3 Z9 m6 V$ z7 p. o; ?内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码


通过登录A管理员公司邮箱发邮件下手。
0 i* W! E3 o0 S' T
6 r) t( }6 Y3 c
8 Z" |* I: m; S& \" v4 {( a内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。

0 i  k2 V% g% A& f/ B3 |) i# A厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
2 i5 @9 N1 M1 k- {' y-------------------------------------------------------------------------------

- K2 E! q. t3 H+ p! M最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。