记一次某医院渗透（近源） - 中国网络渗透测试联盟

声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

众亦信安，中意你啊！
# e. v' r! x3 J5 s7 {- ~1 {
! ]7 x4 O9 [- z$ V1 h5 L/ M ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

2 }. ], V6 ^& i; j1 h: d% m$ Y
8 S4 n7 g4 E2 w$ Y+ W5 I) G1 ?. f 众亦信安 + T) J/ Q; [6 K* V5 J
/ K. `& {3 v5 Y$ h) F
% c) ~& C8 { J9 G 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> 3 o1 d/ T8 O/ `& Z1 Y
6 i2 }3 v+ m1 P5 P
( E5 r, b2 n8 ~2 | ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> 2 u8 `; A# S! ~7 G5 r, S! Q. D
' Z* I) _0 j: W+ |: |% u
0 ?# v8 i# S1 K 公众号ingFang SC,serif;"> W9 @% @4 [$ P& V" k0 s
* k6 y% C' @; J) g" O% i' D
" Y* d9 z( E/ W2 R4 Q* y
; Y( H5 E3 h, x- r
, m0 ^9 j2 P4 R( Y, t ' F' }% e) K. d. _7 \
) y4 Q$ k. v$ g; h1 q. q
点不了吃亏，点不了上当，设置星标，方能无恙！ 7 p( l2 d! |' ?
- s! V' |4 R3 ^; W ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> ) S4 L- n9 X- j
! V- R# V; ]8 l, w# U* ?$ ^) ~& ^
$ }/ @; ]1 L5 N4 }2 w+ x/ h9 z% E* T 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 ( H1 P1 B, X' w- L0 F9 J
/ @! w: n5 c" Z5 P( H; r
- c! R. N: E: R- O# ]: m 8 k4 N) ^; m8 o1 K1 z9 g
+ u6 T. e# X4 B: o" J& _
* Z8 W* T& |" ^% q0 b ~ - Q3 N" P8 N6 l, B
! H* E2 P( m) s7 w D& N: G$ P 无线or有线( M# n! S' k, q6 Q4 d1 u
3 N8 L! L- z( r! S1 F; J" E . \, T8 n' }" }) m
( b7 T; M# H7 I , M$ E- O' z) h: I& Q
6 G& d- C* x. |5 T/ c3 B. ` N 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 s* @' x# E2 X! b6 p
/ N0 D+ [# l$ X) }3 M
) b* k) v9 I2 A, \/ Z+ p0 T' m 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 ; M. \- d$ j1 r
9 j8 a7 b5 ], U0 Q6 d4 Z
" k; } w( D, U# Y" b / D' u& K( K+ T; H* A+ g! {3 b
" F x( m3 p. Q
: }& i% H: t X' k7 h1 Z 8 u; f5 C ?* W& F& B
& D! g9 p; B* i
$ K8 B% d3 }* a8 U' K 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 % ~8 k( k7 B2 K& ?: r/ k
% ~% k) V2 a" G- P
* N4 r( O* a$ w6 r" D1 G6 u$ b 3 D6 N* X' r, H' n$ Y
) i: f2 U% n9 u0 R2 Y1 c2 a
7 v4 ^- E- ^$ ~/ W5 B 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） & o1 E, p3 _, C* I
7 z1 w4 p3 I3 C/ \0 u" H9 ?) j, ~* ^
1 g" ^( H0 ]# ^# t7 `, D* U 3 E* x! K0 m7 C! [/ j: t: Q& m
/ @0 [ O9 k5 Y7 T0 N
& b2 g: s3 d/ z 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 , {) S" Y( T0 X0 f/ e0 r% J
& y' ]1 s' F k
0 m9 Q0 K y) O6 `" p 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 " g) M, K# D& A! n
# y: G8 [) |- N( N3 f2 Z9 Q
" i2 `1 Z+ N J 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 5 `5 u8 o( M7 x6 Z( q
! o, d2 ~! K6 j3 d! [0 C/ \
/ [$ W+ Q- r; B* m0 k ?8 | D; o% a- W' q3 i1 s
4 {7 d; z2 o% K6 E5 g) p- H9 q 内网渗透2 j U/ a7 I5 ~" ^3 h, r" r- U
" I7 _8 M$ p3 Y9 {3 F1 P 2 ]: G) A# K, f' K+ Y
, L; M6 l' I1 v) K3 U$ V* c% | % E ^$ ?$ Q, D1 l& H& U
# W. `2 ^7 b2 F5 \$ E) \$ x! z win下搭建cs和linux类似。 ! ^1 D' R8 w* Q/ N
5 @8 }8 t9 L" W, U/ H5 i
+ ?# c1 M; Z0 M2 P- l7 k. }9 ]0 a
teamserver.bat + ip + 密码
4 W% U' [' u! U Q
! `4 ~& Q) L9 n Y F
1 y3 G0 s3 V' p& z4 N* L * ~$ ^6 H# ?, {6 x7 H
# _" m4 N" f, Z" e
: A; ?. |- t& }7 ?, S fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） 0 V+ P5 s% x$ Z1 q" D4 S, [
* `) o) Y/ q- }! l o
1 o4 E L: K4 J; V! D. e+ X! t ; u) z7 v- S1 O8 Y: u; r: V' L
6 z( A) `# {! S, p: z4 r
h) M, _# p0 ? ! _: w1 e; E. `1 v& @
, F$ d# a; v9 g! i
& E$ c# W' {* J4 W1 x5 M- X& f9 l 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
' S Q2 M3 C: G
L; S1 v/ @+ _9 r0 s; s * F% _- C; y2 I* h
2 w6 `5 |- ]& ?+ X& ~
G: g9 Y9 V) \$ I ' O" r: r( E' ]6 O
7 @: g( ], ?* a
( |# U1 b3 X. g fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 ' G8 S0 o0 d5 Z& `1 U9 A; z
4 {) p J) V) k, e( E( h1 Y# F7 M
4 U- O+ w: j6 r8 O PACS系统 , ~1 A# e) K) ]' m1 C# g* y. e8 k9 n
3 V5 l& S" [7 ^+ `5 o
- M+ n7 @( @) V! b0 l7 `2 z$ t" |& y / I4 C0 j% I) } z/ s
5 Q. e8 U) b9 h7 I7 E# ~# l( C$ I
: t( K- u& ~6 K; $ f6 n
, e; M6 k6 B4 l& M; Y; j: p
z- {, k; Z8 K5 a; H8 Q& t - T" i4 v. z7 H5 j
& i& v; t0 {$ J' m' u
' p$ z' w; ]( x7 J, V HIS系统 ( c( A* ]1 |' L) d; B) X% D
% }" x: A5 _; G4 A0 c# U
+ j2 u) Z s2 d( a p5 r5 _3 z5 J0 k; b
4 [2 K$ p5 y6 F: V- ^6 \
* p6 s6 X3 w# S 6 [+ k) [# y6 u1 Z7 x+ c, P
8 m* O" _0 `& R; }
+ X! a; {- \7 }" ~. R1 H; S
! H* [6 R/ ] A
! d: R' G* `& B$ [2 W* \9 L$ u' b( w 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 6 \3 Z6 A# C! c9 _, j: x
! j" v: Y( q6 e
5 H H' k7 e3 p% Q* t
0 h1 }& e- f3 $ D1 _
! @( a5 b3 j' q0 n& F: H 3 p- Q; @ r! a! G/ z D" y
; L1 V! I4 c+ B, z' f
+ g- [6 A# F7 W" T7 G. h" R 后话 3 Z7 N4 \9 W4 B8 u
9 u% E9 ?: W% |6 X2 m. `% A
1 G, D! M4 T; U. Q 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 * t+ w1 F# Y; a7 N
+ p) Y) L( w, y6 a' W+ Q
" }! D: z- Q: E! ?+ |/ ` ) S P6 i, B8 b k
: K5 w+ t F% p3 ]" w* r [% ?- }: j ' U6 a$ S! R9 R c7 }/ P
F T4 }+ X; D0 |; A. d/ @) Z ! b9 S+ y& ^. C( ?
9 X3 G4 ]# E' Y 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 8 d) u$ F4 D2 ?. @+ R
1 ?& f' Z. O# P
% S' `8 z9 e8 |6 X 7 ` a6 K& i0 [* K+ ?
# s1 m! K; g7 _/ r3 t( N5 Z( g5 C

中国网络渗透测试联盟

! H* E2 P( m) s7 w D& N: G$ P 无线or有线( M# n! S' k, q6 Q4 d1 u

4 {7 d; z2 o% K6 E5 g) p- H9 q 内网渗透2 j U/ a7 I5 ~" ^3 h, r" r- U