渗透测试某大型集团企业内网

admin

5 {# T8 F: y/ j! a

1 Z3 d8 M- D! R+ u, I

1、弱口令扫描提权进服务器

# b* p$ m s/ m; B; E

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: % W' |% C% a- t- B) e

4 V1 B# I- a6 X

---

L1 k/ K, Q, K' {' e0 q ' T% k5 i3 E- d3 ]0 ^. o- E8 ]! s

$ `) m' R2 d- x( h) T* F

' }/ B/ m! E3 x1 ] 5 @0 j a# f4 ^9 G/ s4 f

) V0 V* L( u9 Z% q

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 " v; |0 N( \2 g2 C3 W/ \/ _, P

) ^: f. n' F: m) W$ y

执行一下命令看看 * M: v6 B# F2 w/ V! a

7 K- s3 ^# H. F- ?1 @! T5 A

0 c- Z; g$ \$ x, _9 B' O* f 2 C; e1 y% E3 {* @! f" h, X: g4 b. ]

---

开了3389 ，直接加账号进去

g( ]# x7 S$ H1 d+ B5 U , R7 Y( i; |% C/ N

---

# C% Q9 i6 U ]3 U$ C

; q. n" d# K. m$ ]6 j

F7 I4 ], A) d2 g$ @2 {" x" y; w

3 Y' t# n( R' v8 {' J1 f( X 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 / N' E4 G/ A% i

6 b2 A1 c, Q& |, n6 y, C

---

7 G0 a& g5 ^( D- c- M5 q7 J

9 d( P7 e/ i# Y2 g8 G

0 a/ x& ^8 v W

直接加个后门，

: o- v% G; X' I6 N

* ?% c; S$ _9 L; p/ G/ u

2 U1 w7 ?# _. F! r

---

A9 x, ~4 q/ g9 \7 u4 \% n5 v0 R9 W

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

2 、域环境下渗透搞定域内全部机器

, D0 Q1 h8 q Z, z! x# r

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

2 Z' D0 g; a* S# S

---

- f i" E% _6 d" d

; F. i' Q$ j% u9 ?' ~ B3 v

' P0 Y# I: J# I' m' \

# t- q( R5 J% u( p5 G

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 ( I% C- p# ?0 p' W

2 @' b% h2 K$ g" o3 m6 x - V" @& K! D7 _& g8 r

---

. c' Q) U% L9 ~; d8 S. F

2 M# D# [/ @/ ` x( X- T$ ]/ U+ l 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： ' t, a7 M& [8 F3 n, e, f' m

5 a# j: W% C# k1 F5 i

---

1 Y- F4 i2 N7 I9 E

( v: O& I8 h% a& E/ o. U

/ I# `, A6 t% s& R5 \; I

1 G3 q. M" V) J/ c/ d8 k 利用cluster 这个用户我们远程登录一下域服务器如图： / y: D3 b3 y u4 s: q+ G

8 h) X$ u3 \/ i5 k

---

6 J, b6 v# g H! m/ C

- K7 \( A7 k( f7 ~1 i

6 \2 L1 y/ P! k1 f& F% I7 y a' h" C 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： * l% T7 M* ]9 F4 W. j

8 _$ E- E( G: j" V- I

---

. A0 W. B8 m8 S9 N# I( o5 p& I, {

& U4 F: |+ r$ l2 |+ y4 v

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： + C. Q6 y0 {5 m' ^, }* i

- g: F& |- K; Y7 K& V1 } k

, Y, i. }4 N0 G% m$ k. ]/ l

' ~; ]5 O* m. ]& T* T2 n" N+ H5 S 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping 2 I0 R" W1 y& Y& F6 c- I W) q h

# X% i; {, l/ |4 d+ _$ B

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

* |# y0 `5 p7 W' N1 x8 f: K, ^ 0 _+ v! F9 y4 v- Z$ R

---

* d3 k4 Y! N# A5 Y& t1 B

3 q2 t* ~% D* p- b7 N 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 5 D; l/ v/ f0 L5 O( W) x

---

8 z7 o& x( @# P8 m( T, X

& r; U' X* I t& j

5 F2 s9 z2 E7 }6 h

利用ms08067 成功溢出服务器，成功登录服务器

---

; E/ N, H. R. n+ ]3 b* p

# _) F1 v* j" R6 ^

6 K. Y N! L/ q1 H. d- G

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

5 q, p- e' u6 |1 ?) R6 X, Q3 {8 L3 ^ 这样两个域我们就全部拿下了。

* ^+ B' b6 N: g

$ f6 o' _% V9 x, g4 b 3 、通过oa 系统入侵进服务器 9 e, [/ c. ?& B8 M

6 @. r, n8 H0 k8 X, R' ] Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

" Z/ p9 h, m1 A* w, o

---

/ u( G+ q5 N$ m/ O

9 Q: o- e4 q- L, `$ `

5 J3 x. z4 U& X! u

2 c0 g0 `& z2 @. t0 \ 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 # o2 |7 @1 P* c# q' D7 p% n

---

& S: l0 n6 r9 G- A 9 F8 G# M6 N" z

F9 F! z9 a' e8 w7 k0 ^0 x

6 X/ G: }( b2 S F- O $ j9 n3 H7 z5 U$ y

# h; V9 g) B X0 g8 j

填写错误标记开扫结果如下 * b; ]5 ?. ^' Q7 W1 k6 p

2 ]$ u3 \2 Y7 W" A; N6 ^: {' h6 c% p3 d

---

8 `/ ]5 z7 _9 B$ T3 O " A- z) @" X; }

: v4 p6 Y' b4 B0 [8 H

/ t" s5 c' o' k0 Y( [ 7 b+ z- o4 M/ \6 c

9 J+ X$ m) _4 w- f& y

下面我们进OA

+ z- T7 w+ a3 d6 W

9 D2 r: R# u3 l) |1 C' s

---

. [9 w! g7 o% ]! J" E

* Z. n6 N+ A z* N3 X

1 x" ?* Z: t0 k% K2 U" R; n. s" A

+ C# m: _! U5 G) {8 R0 T3 t 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

7 j5 W# h5 M1 U5 X! `* r

---

2 |; Q! |# H5 J5 K, Y! C" }

$ ^7 t) C. Q9 m6 [$ p6 l

* S6 ]$ x4 ~9 S

3 O" K" }1 }# f- ~

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

4 、利用tomcat 提权进服务器

# R; D+ D! q. {& v# j) _! W4 {" N

用nessus 扫描目标ip 发现如图

* c) J0 R9 i) T9 e9 E' B

; {! @; d5 k2 `) K

---

$ A2 R0 K* S/ q, U* O

4 e5 N. o1 E- ?) i

1 E- G2 N, O+ k* ]

4 [! J# {/ M- U6 X6 q

登录如图： ' |0 ?; D6 a6 F* B

/ z# w6 S8 s. _3 v. _0 N

---

U J; b9 ?: A, m$ z1 d4 ~6 @

s& b& R* x( U6 P

找个上传的地方上传如图：

---

* q& U2 ?2 q u% u e z

! i1 P/ e- U/ O# M: Z# V

2 S; T* g j% I& x7 C 然后就是同样执行命令提权，过程不在写了

# h/ W0 x& C& ^0 O0 e

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

) f) y1 ^7 q" }, B8 U* `

4 V/ P7 I& X; Y0 N$ K6 x( e 首先测试ARP 嗅探如图 - G, g9 s, q) @7 [, t6 g" g' w2 P

" N" J: h1 } L% Y

* O$ n5 F4 f* q0 x- M& i+ z2 T- y$ ?

---

/ J! r2 B9 i! H: f9 q/ A" J

/ r$ u( n& k7 S* \3 b4 Z7 @( m

1 n" G7 k3 R" B8 u( j

测试结果如下图： 0 U4 `! h: e& v6 ]

---

8 W7 @# h. [: b, l

) F0 A5 H" e% s0 Y% J t

; x# Q( W, ?+ ^+ Y 哈哈嗅探到的东西少是因为这个域下才有几台机器 ) {6 j3 w& l* w# V% o$ @3 a4 y0 t* l

( G& I9 B6 _: q- S: P# ^

下面我们测试DNS欺骗，如图：

4 ?# ?2 g" q* \1 m

---

; i1 {* f0 n/ L+ `8 b

0 C" R1 W& ^( F8 m% w; }

' g1 n( r p R8 \) @- U1 v 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

---

# z/ V* G; h1 S' n& \9 W6 y9 b$ S& _ 7 e% V; i, D" R& Q2 v

- C3 ~1 _: A4 V5 E% p0 J

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

6 、成功入侵交换机

' ]5 O6 T+ J9 e* r1 N* [) D/ Q

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 - n" v" L: k, h6 K d

$ S J$ Y h3 c, Q1 c- @+ v3 a3 s 我们进服务器看看，插有福吧看着面熟吧

$ H7 s% S! J% P3 m( k3 H8 F, Z6 R. q

---

6 B4 B) i* w* o- V; o

$ `6 ^7 N- c# N" B5 m) B8 d: | 1 X( J( M- J: j6 M% K9 g2 w# o# f* d% [& M

5 S: X4 T) I* h0 `$ l( Z* M8 n

装了思科交换机管理系统，我们继续看，有两个 管理员

% U- a6 Z# h% k 8 F1 z- Z% |" T# \2 m* W

---

/ ^' R' x, E F: ~4 _

8 A9 l% Q. _1 E) p' G4 G

" J% Z! L: n2 A9 C$ `! b, O* J) w+ A

1 K4 E5 ^1 B) V% @) l6 I 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 ' ?4 H/ f9 ]0 y+ x7 G' o

: f. r5 N5 a4 y! c

# g- a! Q+ {; L$ F- p [4 b9 W % k' O5 r) ^2 X1 h- C

---

% u' j2 s3 C- J

: a {# x* Z3 r( [& Y3 X

& C5 a9 _$ @% x8 P1 X

2 `% i9 }6 S3 e 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

( d% l! c8 ~+ S. v; k

---

5 ^ m4 \7 \8 F

8 ?3 d* @0 {- E9 P. s0 u

点config ，必须写好对应的communuity string 值，如图：

" A) B ] j5 T+ z

---

8 @7 ]7 U* {8 R! I) X6 G \% s : c& k+ R$ Z* w& z& P9 s" ?: [# L* a9 U

3 X0 a# [8 P, P: Z( S% @' y# C

远程登录看看，如图： 0 o4 ^% ^: C7 B: j3 h& U

9 `6 j$ [! O$ e+ a0 D5 ^

, O# @- U& Q" S4 I$ H! J% {

---

' `) M1 ^, |& j+ ^/ s0 @4 T: @' A

7 f! u; R( m$ I) n' z2 N: M

6 L! T! n5 S) c6 e1 P

直接进入特权模式，以此类推搞了将近70 台交换机如图： 1 d7 O! Y4 o9 {: b. p* X! Q5 V

* E' }/ Z& u1 n8 u) G) T) m9 a " w3 @' M" ^; y0 \$ E# p

---

- I# O4 K" q( N

: V" E! [* e/ X/ z/ b: V

7 L: T9 i# ^" I, T6 Z) r5 @' G9 _. ^

3 U% S1 \6 \2 e0 e6 N" J/ K1 k, {: k

+ D0 |& v1 o! b2 i% C8 O 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** [1 ?$ r( X7 R, v" X2 M

" }) U* z f7 F( S9 x9 _

---

t, U& Z8 n" B0 F

8 h6 f b) f* Z7 Y% W( S4 G6 A

7 b+ J% p& g; I/ A2 @

2 R6 y) U) w+ ~- X 确实可以读取配置文件的。 : ]$ n$ d% C1 F6 o, H

+ t/ T3 g$ E$ Z2 t 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

' @ ^& q' A: l& S, P

---

: W7 w* b& m" N7 y9 r4 a & ^5 p+ `. N# V. w% h

9 {' w% j7 W6 d# i' X

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 . t4 d# s/ e' E0 q. M% z) i

( p1 f6 v. d' o' O2 Q7 J/ r; T - `# I" T: {6 a& @& U

---

3 d+ R1 E* t1 h8 w* H- l- o

% N9 ^& z' p; q/ B% P 上图千兆交换机管理系统。 7 ?" S# V+ b3 u

& [/ _6 r$ j2 X2 E/ _+ m5 n

7 、入侵山石网关防火墙 9 L# O" r) c, o

0 I' E, v5 z$ f( ^- A4 V3 z

: g$ c6 [* s K% W. B- d 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 0 K& M9 b3 ?, i/ l z' C+ U

. V0 C9 k7 b3 a W: ^5 j/ r

, E( |- I2 B7 V# W7 V

---

5 d- ?; s. g3 `9 F/ Z

- k, R6 D0 V9 S/ }

* b: J, X5 a6 G5 ]; n

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： ' b' y* r3 Y/ q# A

4 T. I T; _( f& N4 L' Y+ ~

---

5 ^7 r/ D- `2 W: }" n) L# k# c

3 t1 Y% q5 Q, \+ K F

: p, W/ Z$ t% J7 |7 J0 E

; M8 J. a, x: }

3 f( g ?& x7 \ 然后登陆网关如图：**

8 e& J$ S! \: N2 z( X

---

' w* ?+ n9 f X" F; A

& C& @7 e1 u5 b8 z- O8 k* |- ]

1 _) V y, b; A: K# D : G( ?" n4 ]$ j2 r! q& n3 x+ k0 ~

. y) Z4 {( @4 ? - Z; {2 G a7 m. i8 c% q) l

---

4 k7 ?% o, V7 \% [3 D: X/ k$ \- h$ ], v- Q

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

$ L; u' I9 j L4 ^. h

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

/ a$ w& R U5 `+ f' n; ]- _) L

7 n0 Y9 S2 z, B$ k 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** 5 r. _' Z) P1 C

3 o$ j* x2 _; d

& g# P) G7 b% b# R$ F

---

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

2 J1 y/ }# j+ I. s

% [- G6 g, |4 }9 d! S& @6 `# z   : }. h- p# G1 G# ^

$ O, C2 m% x) }* m

( W, c4 K" G3 f' s, `4 ]8 @9 f