记一次某医院渗透（近源）

admin

声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

# @( q- A; D) i7 U 众亦信安，中意你啊！
: k+ a" V$ w; z5 O4 G7 V
! c: ]. z( l7 F; lingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

Z+ ^4 K: J5 g9 z0 y* M9 [, C

2 O: X2 E+ K L; r+ H" ?# ] ingFang SC,serif;"> 1 \1 t. R, Q5 T

# w3 B$ l; e! s- G8 ~$ d

众亦信安

+ n9 a/ K e, P h

红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> / M- r6 \+ L6 b; Y$ s9 r8 ^5 U

7 x; ]% L6 t, o

ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> c5 G1 V/ W$ A( D) o) Q! O

2 `% U! F# U" D0 k

3 |% o8 w R, c9 l/ d0 f, g" @ 公众号ingFang SC,serif;"> " {. ^5 B+ ^) |( G+ I' _

% k3 x7 H- @) c2 f% u

' j2 t* a5 ~4 |9 L

点不了吃亏，点不了上当，设置星标，方能无恙！ $ a, X; }: H; s0 g5 a8 D7 Z( a

ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> 

' L E6 J4 H" k 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。

 

8 n& n/ M8 V6 L4 j$ y" V6 y

无线or有线 ) X' T; r2 ?9 a8 `0 |

3 H/ m/ K V, w2 H9 O+ O 5 [3 a e/ J2 F9 n+ i- n" [

大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。

) _9 \- X7 b) U8 Y& \8 \

7 D' N4 z9 Z0 ^8 G( W0 z9 r' X: f 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。

6 Q; A+ |# F2 C7 _' F9 M# h# } 3 {$ R* M! R, f) O! T

+ x% Y, ?1 `4 Z 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 0 F# I% [6 B/ k" E, k

, d! I; ?" p6 X1 T7 R. r

7 M% R: |# o, V# G: Y: M8 E- F. x+ v

6 b8 Z) {; M. Y# p9 Q3 f

, g8 j# U( C: W2 t2 s- `" a/ |9 F 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21）

" J! h7 ^ U: k# P9 u% y! w* N* g

插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。

2 A. W5 \8 U% I' c" K2 p: U$ p 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 0 V2 s- j1 T: x' \ A* x' o+ O- I$ l9 f

* ~: ]- c: ]7 X& v$ G+ y 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 ( A3 p( t5 |1 Z3 `/ r9 s

* H1 I2 A9 A% t

6 d5 v+ c# @% F+ M% N

内网渗透 % C( [' Q# D/ C, g8 r

) g% h5 B' y. l$ m

6 o$ a" X- G2 g* W+ @

! e5 {) P4 ?) }) e win下搭建cs和linux类似。 5 h- k8 ~( M- ` m. u

4 r, W/ }9 k- z$ ~

teamserver.bat + ip + 密码

: I: }, b) D) @- x. b $ c$ M3 C$ p6 F- H; G. O: Q

. G9 w3 K" u( H6 [+ E fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） % u Y0 s( q( I# C, j

2 N& o3 z) ^( ?

3 G; H% r0 _ T! m# `2 ^ $ h6 X9 j0 Q; Z3 Y* w; }4 j3 `: v4 |* t

通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。

, @6 e1 o. O& S8 l; h! q+ X9 b H$ d7 I& W& x8 m* T! u4 X

. y2 S }! r, ]) M5 A# Z; F0 ~% W! v

4 b x3 I4 {5 |- N, L1 g

1 K: t x) B/ u; Y8 m. U+ L8 V

fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。

0 }+ E) j+ {. z3 H! A4 f/ L PACS系统

. |6 v; Z, g# A+ v( d/ n

* w4 K; k& R, y8 A. G* X+ ^

" x; f- ]+ G p- b1 K% s
( Q( S6 ?& |; [/ @( @$ g* D ! Q3 ?& `' v8 P

" S3 Z( l) o" K2 G8 n# [# G) T! Q

# Q/ e2 ~- Z n( u% W( r+ |0 O HIS系统 4 @/ k3 w K. N! i

( q# Q- d9 `/ M) D& y# V

$ J' K* t. |0 j

* [$ t5 p% L& m/ q3 c1 V

  5 l% n7 }7 Y- s5 a+ t" _3 J5 a

5 R; g, `% ^! u; R1 B3 W3 Y% D4 e

& Z |- f0 ]2 M7 ~

4 n' K$ B( O; A2 {' \5 ?: ^1 m7 Z

6 P$ h; r5 U4 a4 c8 E 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 ; M4 S/ \6 Y! `! F" }

/ |) x8 U) R5 J# x& J/ f2 Y

% p- l0 B6 y! y+ q* M: f
7 r+ @8 Q" {9 j2 f+ r5 X
$ G8 q! `! Q. j) S- F" N

& g( z$ ?7 }4 o6 I 后话

; m Y7 o9 L2 T1 x3 ~+ |

! R8 i' e3 o, D A$ f4 q 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 ! ?4 K2 v. s: X, C$ H/ K4 L0 t% y

2 n: _. R% V1 O; S% A# k3 m

7 z( X6 b! _6 [3 \

---

! w. d& h7 H5 H: G

) q' F" s2 V$ {7 D# M0 J, C 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。

/ F* f, B% y, E i, e+ L* c  

c* t) C3 C! [$ q+ r9 t7 g