中国网络渗透测试联盟
标题: 渗透测试某大型集团企业内网 [打印本页] 作者: admin 时间: 2018-10-20 20:19标题: 渗透测试某大型集团企业内网
% P; @, Q8 U z- z) I0 [ 6 W" i% E$ o5 w' {1 P
7 F0 G% l7 r3 f1 Y; ^% n! }
1 e: B/ w8 L+ ^1 \0 q. |
1 、弱口令扫描提权进服务器 0 J9 s8 ?+ H( t t1 S; h- d# ~
6 x# ]& m% `1 O. y . k9 E8 S# W! S' B
首先 ipconfig 自己的 ip 为 10.10.12.** ，得知要扫描的网段为 10.10.0.1-10.10.19.555 ，楼层总共为 19 层，所以为 19 ，扫描结果如下 :
$ s( Q9 a- o9 x
' o5 X N" q* u( C
1 F/ q, A3 }* K$ f+ j3 R" ~
1 T2 S. T) z! _7 z' L. W
- Q: |* d$ v% U* n; Z
8 u" q! @. h! J$ G# R5 J. ^
6 c: g( O( d8 D 0 X+ A! t, c: I: Z. g& ^- \
9 \0 P3 P; M( p+ C6 i, P" x# H. C% T
4 u( L! r, B0 a6 j5 s
' ]! g6 F# _# l5 X. ~9 ?3 d# v
; i9 W2 \! Q5 P6 N
* b' D, @5 Y9 N- L: |
+ I+ h7 L1 C! i- n8 _* }
ipc 弱口令的就不截登录图了，我们看 mssql 弱口令，先看 10.10.9.1 ， sa 密码为空我们执行 7 A4 h0 @; S, C
- ~' ^; [9 F, @5 h8 `
0 V" D; ~* w8 I3 U: M
执行一下命令看看 1 \8 Y* U, P5 `4 }2 C
4 }" u9 ?% o3 W% Z
5 b* t* j8 ~1 l% C! p* e( k * L! ?8 E8 Z5 T: R8 G f
$ w! ~$ O/ v5 Z( _& `! f0 g
$ u1 I" `. D/ Y7 r% @4 i
$ \. Z. k1 a3 _
6 k, q% J! h5 ~2 m9 n. X2 K" O
3 b- q& \6 q: b* Z5 D/ X
! b, W; C6 U, t; G/ T, ?1 \+ h
& n( X2 \4 |- k6 |) g0 v
开了 3389 ，直接加账号进去 + O% m/ ^7 J/ B% v
& l% e! y- ]3 Z7 U
! H* l/ D0 G4 T# q- F' z
* a! P# t ~8 m! @) A 0 r b5 q8 j; M ! V" ?- G6 O( j* C
; n- g1 ^1 \9 \9 e
6 I) X O# \4 \' p3 N8 {
6 E5 k* k8 Z3 v7 T- e: C7 C
! D% W: B/ i% f" Q. W: j7 N . ^6 ?9 K/ e2 T; C
一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 $ } t2 e* T( Z7 R8 e3 X l/ H
( R( [ s8 H2 ?. A. N
$ r2 d( t/ s6 d* ^5 Y3 Z- [6 J o
# w5 U# [: I( J) j6 m
3 {7 B( f8 E+ D& j# {4 b8 k
" z& G! k; I4 T5 ~
+ |" D2 ^, O, r! w" Z
- x, J/ s) t g # S8 J2 w6 h! J, p/ b6 \% W" ]' `
$ X N8 X7 v! L7 a/ G" v# H
3 a/ M+ v [4 z' o- f+ } 直接加个后门， " e# p; U2 S/ F3 z7 i4 d$ F+ `. I G
0 ]% d/ o0 y1 U
9 k. R, e( Z1 ?, g 9 U2 {# V3 Z% Z: r, F8 J3 n
P3 b' p3 _9 h9 p
7 O; `$ K0 E* ^0 _9 _" }
' y8 f! w. Y) o3 O, A @9 D 0 J: K* n/ B" T! ~& B$ c: i # M* r, z" S M0 X* ^) z7 l _. y
% F5 v% ?* v$ d6 A* y
2 D; H" }' s- R5 Z. _ 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 - W' ?3 u6 Q/ [7 o- M4 j& l
/ o3 n! e4 X' U5 ~/ l
0 D, a1 k1 P3 W1 T" L2 U 2 、域环境下渗透搞定域内全部机器 ! g5 [" C+ k( i4 r
* K0 Y7 X( K! P2 {
) k' L6 {. {+ \4 p7 ]2 R& Y& ~ 经测试 10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行 ipconfig /all 得知 : G0 l* X7 S6 b) K3 |
- [! Y% m* \, o! o1 L* x0 n% n! H
B# e3 [5 f" Z2 Q
. Z2 p0 w* P9 t% c % a% m8 I% Q: c: q; ?
7 p+ j. Z t* Q$ G" \# @2 e$ c" Q
/ h, T5 ?/ }1 }9 v
3 U6 q. N2 R* Z+ u ) r! o- ~% p, G) U+ S
6 P" X+ D3 k' J0 M 0 j# N8 S% O2 V
当前域为 fsll.com ， ping 一下 fsll.com 得知域服务器 iP 为 10.10.1.36 ，执行命令 net user /domain 如图 / \. W- S( x5 l
; j* Y$ ?7 ` e! Q
7 g4 \* ?+ ]" F
+ E. ~9 D- o7 H! [ 5 r8 x% p- F, a# T% d
5 S7 ~! |, O- z3 b' r
4 |# C$ Y5 C" |4 }8 g ) `7 A5 z1 D- |
! F7 `. j" n1 y0 T6 k9 @0 P9 J
( C, G# W( O$ A) ]
2 F2 f; r; a" m$ w
我们需要拿下域服务器，我们的思路是抓 hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行 PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c c:\s.exe ，这句命令的意思是利用当前控制的服务器抓取域服务器 ip 的 hash,10.10.1.36 为域服务器，如图： ; E4 N; C+ D* k5 d0 E
: Q0 j/ @. F/ [
# {3 t1 [4 X2 r4 z1 O4 \
0 L; ]$ O/ T/ \ & W% y/ ]5 L+ w9 c" b
: Q; X+ c% T, [0 _8 D; H( g
" y9 @+ f" \8 {* v
0 Z& W) f3 {) T0 L( { ) \, v# }, a# {/ v. b
/ P& x$ H% P, B+ m% F: }
; I- u! z; U; J5 R" ^, }
利用 cluster 这个用户我们远程登录一下域服务器如图： 7 |' }4 G9 T7 C9 e* m7 E
; ^" f, `4 v& `
2 W& \3 m1 T' x3 s" K
8 w. W# |* I! w. J
. A% c6 b- ?( q- n6 H$ h# k . T8 h$ \, \/ w
% M4 R& L* N2 W u ! c, ~: o- N: ^
4 }# D4 w2 e* ~9 i; H/ p
7 [2 `. ~7 q# Z# R6 Y( C+ x
; M4 j" T4 Z$ j) m0 I, L# c' g- d 尽管我们抓的不是 administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了 administrator 的密码如图： " P/ `. y; S* g) R" E7 l
" c4 I* w; Y8 J4 T8 t$ ?, s
6 }% z$ j. _5 h5 f8 A9 }+ ]7 g : m: g. z1 q9 C# t1 f# O1 G
/ q, M$ V3 A( S * a# [& D; ]1 W( g
' M" g+ ?# c* m: C* p( }, L8 ?
- q4 H, m `( e+ d/ V9 R
9 d: _0 S; I% [( i+ n$ t
6 [0 q" a! ]6 S% X) M& r1 E" V * }7 J: V. l7 _% o' P V5 J x
得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓 hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： & V, F B7 k0 A2 J# D" l/ L
8 d- x0 ]( D' K2 `
* t& n9 X/ q, f0 y, M ?, v ' g! c! v. ~; O% P6 ~
, ]7 i7 r( R) t
$ M; M% G. k& @ 域下有好几台服务器，我们可以 ping 一下 ip ，这里只 ping 一台， ping : y% y# I2 O* e: P7 U: m; i
, `& _& }# I3 T* |8 _) V0 v/ k
& J% W% V# v7 l" J! O& R) M
blade9 得知 iP 为 10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： $ [; |9 |' F0 x O5 G5 x
1 u! e: y9 ^; I( _9 a# H : R* S9 [: Z; l& F+ t' T0 e
3 y& }* s& i6 v1 [ 4 z* w8 c( y- {# P) H! X
/ R8 G" f; B y5 A
& P7 b( T, B2 a$ W7 g! Q1 r * |- F) Z# v1 B" o
- I5 D# X% R; v
O% F- Q6 i4 j& R' H8 L
0 S6 ?7 c' g( i4 v d( [: |! d
经过的提前扫描，服务器主要集中到 10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有 10.13.50.X 段，经扫描 10.13.50.101 开了 3389 ，我用 nessus 扫描如下图 % _+ w3 N) k6 s" D. ~: P, z
+ Y$ j$ {: S n& a- j. Z |0 x) z3 X$ e
, n4 T# b' \! j
; y/ D! D% N1 Q l5 K& _: O ) {. [9 q6 g8 s2 ?* S+ [
' [* E0 _' B1 T& {: J6 S9 r7 ]
2 H4 R- U; z, c. _ Y' X / ^7 m* x* b/ n* p8 K0 ~: f
5 c7 F v% U2 X8 U1 w3 [$ P: d / ?3 q! l2 ]. _( y" \
利用 ms08067 成功溢出服务器，成功登录服务器 ) W" E" C; G- s; O1 d
$ m: m; K P9 m( D q+ n! q7 B
( _1 K1 M+ [) K" Z& L $ g+ [& t8 O9 q- i/ |4 a% ?
) @! N. l, \4 u- F6 c$ O
. L( k6 T6 o0 h
3 V! y# l" \/ k5 y
! Y& T. O5 w- E7 i1 ?1 Y
3 f) A+ n5 m- P1 ?7 o) E
9 {! G* n: X" d" f; [
8 g. y5 i; e) i: p( b+ v+ N 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓 hash 得知 administrator 密码为 zydlasen 2 n7 T1 ~+ V( q8 |% p0 w- b
: [# r/ h4 a! o5 f# A
9 }' V; w2 C+ K* ]- V6 z$ i 这样两个域我们就全部拿下了。 3 L$ c4 i7 z- \2 y) A
2 m) F* R* n5 R3 a% Y1 R' W& D
2 a; f/ W5 b/ d$ k% {
3 、通过 oa 系统入侵进服务器 ; D5 G. h8 r4 }$ {8 m) x; j/ ^
. Y ^1 I- |; |2 U 6 J. f! v" Q5 a
Oa 系统的地址是 http://10.10.1.21:8060/oa/login.vm 如图 4 D/ x- G0 H: a0 \! ~2 K7 B: D
5 I8 x, i" g2 \
" `1 q; T. A4 ^, @. w: W ! _/ p; i& Z, x# [+ z9 }. }$ c9 |
/ w0 K& m7 M3 g. E" |2 Q& n! {
' v7 P" o* b- Q. ?; |3 l) V
7 h1 u. B3 L$ {0 K5 y4 e 8 u/ {% Y( `& F
6 L# ^: g0 M# s% f: _- ^9 v
3 P+ Q/ F0 b* e; V- }" s$ ~
& R2 K R$ b( i( G* Q 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 5 B" t# G2 J' ~& V
8 e% A% x4 @' g% G7 Q* R# I
' Q5 g1 r. B$ m; C7 {' r ) k2 D" D: D: S6 Y* X; z
: q P2 ?) ?; I O
, Z, m; K" I) z7 z" ~7 L6 G
& j/ O% _1 X! X2 C: M+ Q
6 j1 B' N5 G: J# h $ B9 ?: X% K$ k- N+ B0 j
: o4 q( Q0 a. a
/ ^( ?7 t7 ^. ?1 I1 s
填写错误标记开扫结果如下 0 w" }/ l: ?- P" j$ k3 p; v4 {
: `) w- A( p( w* O8 G
6 H8 k$ I; C% c2 A! a1 [: S " e- a3 {" l! g3 g( X3 ?9 S! E; ~
1 }% L" c# q1 R4 U+ a. e& C
+ P& i- \3 ^- ^) p- b% X
4 Z6 M7 v6 Y- n" r, H: J/ F 9 H! N$ }) r- h6 h
2 k5 ^6 S6 v" A" Y) h6 b0 ^5 G
5 A! s) Z6 J9 O. s' F. }* `
; U; j: g7 C9 T 下面我们进 OA ) Q7 ~; T4 A1 ^
. L: T+ A, H5 z( o1 U3 `, w
+ J F `4 c0 U
/ d+ m+ m z9 \; E: l+ }5 e
9 s: h/ g) D" K% u" R% a, ? 1 I3 R: |4 b4 U
4 L# `1 y, `9 _4 t6 q
1 s* c; Q! m$ ?, g2 _: [ % Y( D9 j3 _4 z* P: P
* l! d0 e* U$ d( k & ?8 I- x2 ` i
我们想办法拿 webshell ，在一处上传地方上传 jsp 马如图 ' j1 r6 h6 n7 Q6 M' ~
- U9 T2 V, L% M* U5 W
$ X1 _3 v2 p, f" q- @- }8 h h& l; Q* K$ q% }
( z S. f9 g. m+ h) ^) m% j. R / w h+ d. D7 e2 B2 @4 P6 ~
1 K5 b4 ^% l7 Q
; D8 h( N3 p5 c# }% n6 B* X6 d( U
2 K4 i8 S6 U- M t `( m
1 m9 g7 V2 @7 r
( B1 ]" d( R6 B0 {) c% ` $ T" q2 Z) N7 g) R
% w2 {1 v, R; p& D. n# d! H* O 1 w; C$ O: B# H0 W: b8 e! U( @
利用 jsp 的大马同样提权 ok ，哈哈其实这台服务器之前已经拿好了 / ~' M( b q+ i% Y5 p
& a$ I7 U7 i$ Q * v# `' J! C l1 }1 N) z
4 、利用 tomcat 提权进服务器 - W4 O: q2 X8 Y. Z1 P
7 G' V& n2 p4 {% m8 C' I% k
1 N% b& Y; l* ?6 \- p" m) | 用 nessus 扫描目标 ip 发现如图 5 G) a/ u* j1 T$ N
+ f" J, U. h8 z) ] c7 b9 b - r) ?: o4 E- C X/ l, l
, Z' m, J- q1 @& O6 t 1 J* k- V: k+ C4 {* n7 n ! |5 \- B. S& o9 }. ?3 i# @% o
4 A8 V. l6 ?8 b6 f+ `# ]4 C y; C
* D: r/ c! i: q( l- `
: j! h- e) L$ a! A# \3 x- U
# O2 B) _' r$ S% p6 Q: j' i
3 O' k4 k; ]+ W" j+ \& n' }1 r! g 登录如图： 6 [" r% q6 c5 l: |0 _8 G0 J' E
0 ^- O; x6 r) d9 V
0 X" F6 _4 u7 s 0 E+ f& W* N H* k; l& V* p! f
$ N# }, W) q; R* _8 \8 Q8 r* n
% E6 D. ]3 A! S4 m* ~
7 J0 } P$ k) B5 v( M! E! t H& x
8 L$ H# B4 Q; D( s( X
" f3 S& P) V7 j
; l' j& w' A! G5 n
* G' C4 L$ C6 r L
找个上传的地方上传如图： + n! m; W% y# y7 u
9 [, J- M& T; y8 C4 S
% Y. m' e, k% U3 d% k
+ x' `7 T; J- ~( \6 }; T% R 1 q# ~' I* g5 G' |4 G3 W( s( d9 i
: p4 u# U! n0 W3 C8 v
" N/ s I0 G' ~1 q
n% Y/ x' s- J/ W$ I2 ?
) g$ u E8 W/ E9 I0 O( x m
6 b1 `& [0 y' I V- e1 r" m
^0 P( _7 ^% h# h9 ^ 然后就是同样执行命令提权，过程不在写了 " X( X$ G, p D* h, z
) ]/ }$ D& l/ j) A# y& c- T 5 l+ A: ?9 V+ X$ ` I
5 、利用 cain 对局域网进行 ARP 嗅探和 DNS 欺骗 4 u" k( g8 W% F& v- E9 G
3 g) i$ r' U1 _4 ?$ c; l! P
; E8 Z4 X) X1 b4 }3 I8 U 首先测试 ARP 嗅探如图 % P! T, O9 P& k1 C- @9 @
/ D6 X2 h$ E& u# E0 `) F- c7 v
6 K; ?9 T5 t/ f) s
/ u2 H5 B$ T+ I. b
8 G; S8 a" R5 ^1 [( U
e/ U3 `. ~1 |0 j, F, _1 O( z
& h' f1 {5 M& I; s & M& e7 K) V8 \6 u2 L: }
* y+ ^0 k+ l* \! n# L5 b* C
n# `' {+ o3 z! Y0 T
: N$ C. G1 S1 K 测试结果如下图： 9 `% v- |) [. u7 r. P- y
# P6 F8 S6 l' o/ s/ p, n* Z( {
6 S; S. K7 A+ |3 l+ j0 ^, A
# C8 Y8 H. `) U, \/ t8 B! n
+ P( T2 ?% F: `; D & A, r5 d" f( e/ r0 g* Y2 R
# n r) P* a8 ~2 U
2 H: }4 Q0 [: |$ w$ I+ d ( l) Z5 b% Z$ ` X
0 V" E- d9 X" Y# q- w5 u1 I O9 j5 @. L/ O/ w* d( y! g7 r- \
哈哈嗅探到的东西少是因为这个域下才有几台机器 % Q8 x8 o, t1 i4 V0 k+ R1 r1 R5 O
$ l2 ?0 V0 w7 G" A; u
/ T2 a. B- M& P3 T; m3 z 下面我们测试 DNS 欺骗，如图： 1 K+ t+ g, l y0 E, X
2 W% G& D4 f; G5 v% U! {; d7 }. [; v
) H" x5 G6 ?& Y: _- }3 u( d ) C: ^& `4 x( |) L' u, V9 A
* Y) O/ s& o9 Z+ \6 C9 ?9 C : s# o( \1 l/ H, C5 d. v
- G X) ^# a. b# C4 c& f5 {
/ ?7 g x/ ]1 o7 |5 k2 U, L8 n; s 9 U4 \* I! S; X2 N& T
0 N# p6 P- d# y6 x' |' ~$ F
" j3 I1 Y) n7 Z
10.10.12.188 是我本地搭建了小旋风了，我们看看结果： & y5 Z1 M( J7 J$ b
# w" K0 w1 P% c' X h # Z- _1 O( z: P+ |, n I6 P3 E% F
5 i& j: _! O/ U$ `/ D
1 \) t' b! Q8 t: D) z: @
# r$ i; m5 s1 D- _# f
& E) ~) \& l | q
1 t3 M V p9 `7 k! u" p# P+ V 3 T5 O5 `( }. P1 Q
0 Y3 d9 ~8 H% x' y- @; d) O
, N5 n6 Q1 w/ P3 y9 J7 e
（注：欺骗这个过程由于我之前录制了教程，截图教程了） 8 ]3 D+ L7 L2 [8 {" R9 ~
/ n/ A* s2 \9 ^5 |0 x. S
3 H6 r' o5 y: U; A5 b p- U$ H 6 、成功入侵交换机 4 Z v- l8 C# {
% I1 g+ R' b# O) S/ f4 V, F5 _
1 z0 @9 a9 A5 a! O 我在扫描 10.10.0. 段的时候发现有个 3389 好可疑地址是 10.10.0.65 ，经过 nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓 hash 得到这台服务器的密码为 lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 % C& y3 C: v9 O: R/ Z" p5 F! p/ d
7 ^% q) [+ c6 Y. f" e3 D ) y5 g) A6 D' p7 {
我们进服务器看看，插有福吧看着面熟吧 4 B4 n) J3 |+ @9 d2 [- d, H
6 Z; }0 m5 S: T% T6 _9 e% L
/ @( F; ? M0 `+ G5 h1 e4 M5 I c % ?! G. e4 D& x/ S3 X1 D- D/ k! n# ^
( B* G( `2 m1 F3 \
, b/ @8 C' W0 \- J8 F; K6 }
, c/ _1 ~6 H- m; Y
: {, j* e) _# {
L6 z) d1 g4 a+ E2 W0 V/ d
' g* h; I4 X% M) N% Q/ y$ ] & S# ?& X" A2 P, [3 b6 M
装了思科交换机管理系统，我们继续看，有两个 管理员 6 X- P; }; f, u ~& ~$ {9 X7 w/ ~# R6 p
1 ]4 o; g. C4 W0 V# p7 W: l6 M9 k" p 9 w& P3 s1 L5 _6 P- n$ w/ U+ P$ Z
, _, B1 r: P4 f; z" s 4 P! x+ c! {' y% M& T: E/ Q# h
% F, c1 G) ~, P
7 A+ u, f+ X. y6 y1 S) G; H' x
6 ~7 V2 u7 r9 g, |
' I+ C+ ~/ G, q& U% c7 _
; z# P. c+ f5 E" |# S0 | 2 E) `% q- k- Q' ?7 G7 ]% d
这程序功能老强大了，可以直接配置个管理员登陆 N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 4 P1 A0 @3 x# F5 O6 F9 X4 r
" w( a$ M% {9 n" u2 V
! H# m& E2 B6 G- L y$ Z # {8 ^5 f3 a, ~
; w0 |$ |8 d1 ~% T, a 2 ~& T3 y, q8 E; P/ M
* j! R8 {5 C3 O - { k; M' M: [% F: Y" i% Q
7 _3 F5 a* k: g2 L/ r i
" g* j6 g0 }6 Q" Z
! q C c7 l, M9 U6 F, d: ~0 I 172.16.4.1,172.16.20.1 密码分别为： @lasenjjz ， @lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用 communuity string 读取，得知已知的值为 lasenjtw * ，下面我们利用 IP Network Browser 读取配置文件如图： & @6 G% U4 K C, r6 y' p
" C7 T" [, I* s" N1 V- [' P( h' B
) L7 X" N ~1 V8 U8 q/ ~- f
* W5 D ~" _* Z9 t& ?$ ]" w
( h( V) Z' t" C" f$ t8 Z
1 I" p& |3 I& b
5 a7 t, K7 N7 ?9 n
; \) ~% T' z& U; Z
2 y+ O8 Q6 i( Z
4 ?' `; e6 b2 q9 z2 k/ U
; k4 m5 l3 Y: e8 B7 q' V 点 config ，必须写好对应的 communuity string 值，如图： # ~ _ G4 u1 P4 g4 c4 R- d, v. D
7 U& N: y- T. H( X: s
3 U8 f. o+ u3 {
) `( V4 z5 R! D4 x5 P2 a6 H 4 w; ^, X' Y6 n/ [4 j4 O X a, C' E( x& ^- H+ O
, l/ t; G K$ L
: O) K! H3 U* U2 h6 k" y 0 @9 D5 R+ S: _3 r& L
. I- a1 L8 F9 K; G e/ C) N6 q
4 o3 A/ t: i. h0 c- N; k1 K 远程登录看看，如图： ( d7 V: [% ]( t
( X+ u! ]8 I1 }. h; u' ]
$ A6 q0 V& ~; P) J- y( N# ]7 q* e; J - e0 {* K6 C9 O' U" U$ U( Z7 |/ f% s: }& G
9 e* Z; L- l" d. B1 V . a2 H& m1 {0 N$ r' Z! a& N
9 P, M1 H" u0 J$ d! z5 t
' w+ Z6 s0 h2 H7 f 3 H, P2 [9 l. V" ?9 x
q! X$ U2 Z- K7 O! c $ a# @/ e& ?* _
直接进入特权模式，以此类推搞了将近 70 台交换机如图： 3 v }9 ?$ j5 p* g
0 J" \0 R0 S3 j, k* T* M5 U# Y
, G; g3 m: ]- ?* b2 u4 {6 J( d 4 G6 o' N3 M9 R! n
3 E( D3 |6 c. X4 [0 R
0 J' H$ C T) X
! q, S, W3 x/ {0 J7 F I y 3 M. G3 q1 i' Q/ n4 _
4 i. j! z/ g- M4 x
$ i F, i ^6 t. R+ g. B) N& |# G0 h
( R+ n& d/ J' j, |
' q6 l1 C2 s8 {( a
- Z) W8 R" g4 N$ J( G2 N- s X5 Z( b( n% | ~7 ?" h
总结交换机的渗透这块，主要是拿到了 cisco 交换机的管理系统直接查看特权密码和直接用 communuity string 读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠 nessus 扫描了，只要是 public 权限就能读取配置文件了，之前扫描到一个 nessus 的结果为 public ，这里上一张图， ** 5 O& v! S! U! ?7 p+ z4 p+ j
& `( G; T8 q& u+ ~/ D6 {
5 L4 T6 C f X9 |
; x. N$ ~+ [: T0 J) P$ W + }8 n5 ^: Z+ e
+ z: I- q O% P R$ h, r0 ]
, C- ^" }( Z9 i7 v0 }7 a9 A
. F0 p- V4 {7 ^0 h* c 1 o4 g+ s, o4 V2 F/ j: \7 O: @
- N1 F" J! |4 E6 h! D @# s' `# c8 y
确实可以读取配置文件的。 0 _; r: s/ ?- `$ ~! k. C" n
& L) \1 [ f( ~( V( l6 V' P0 d
1 m4 h; |9 S" ~" }* T 除此之外还渗进了一些 web 登录交换机和一个远程管理控制系统如下图 : a, z. p3 a! w' E: Q! |5 X& I
- F1 D7 X# o- z# e( e1 n* F* [ y
8 w& v* X$ |" C: X& y8 k2 N
8 I" H+ m5 k" b/ R9 S" ]5 Y+ A! P
) ^% C/ V1 R' _2 Q# ?) G+ @
4 W# B8 M% D3 @* ?4 Q; _
- v" w9 c& ~! n5 K5 i7 E
Y2 b8 D# Q/ I# c* J8 Y * |: K6 }0 H% P1 Z$ v6 j
2 x; H& ]. L2 P6 _, g
1 U8 u( n0 i: j$ l ( F7 e' W2 s E/ Q) N
$ X" F$ p' [- Z: N% J$ X
' N3 x# C3 w0 s$ k+ g. b2 t& N 直接用 UID 是 USERID ，默认 PW 是 PASSW0RD( 注意是数字 0 不是字母 O) 登录了，可以远程管理所有的 3389 。 " J) l9 C9 X/ _8 t, G X
; F1 k9 ]( b% F! h- O! K
9 g3 o7 u1 N* q" x7 Q( h* q
! w. X5 U# f; X" R3 ` ' V5 I+ A4 ^- Q' T; p6 e6 E+ Z
1 ?9 A" |" F9 Y
# P8 E. u1 X# ~% | 0 {" J) }3 ^% J. Q- c
: u. N* \6 O4 P7 ^- @4 [4 R
5 o( i j# l4 X# B9 K8 ^, m- p ! v$ N5 D Q" Z6 B
上图千兆交换机管理系统。 ) U+ \3 T' u# v% i+ V
( L6 C. ` x7 ^8 z Y- _1 l
F, [& ~3 ^6 ^( X1 I
7 、入侵山石网关防火墙 6 w. a/ q. i/ y! v7 h. ~7 [
% u3 Q# N! F4 w( i
; i6 ?8 t$ }9 w6 E2 e5 M7 |! k% g 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： . y5 ?8 w6 c; g% D: H' I
$ }; l) @2 l1 f' `' f7 \& [5 d
3 Y# W5 o3 X) w( U/ P 4 X7 ~. G( v, E( U' [
' C% P+ V( l: I2 W7 [/ ?" k
$ a7 \1 H( a; u& e/ R( P. o
! S- l! q) k5 b
W! ]4 d$ i2 ^2 h+ m9 R3 a! N; j& e ( y7 { K; N: L0 O4 [/ L9 ]+ \
# L$ }, l7 L, r: m9 [ 6 X1 M. R$ H( _2 A* R" D
网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 3 f( F" P; Y* J7 Y. C( L
j$ y. [- B# @0 F7 | : j) T5 K4 @ U& M4 p( `# j/ g
! k F/ P/ p9 }- `- L* |: f; d
0 O$ u5 u3 s: {& ]
! [7 v: |& F7 @$ R
: b- y9 p6 w. A) s8 Y2 `; h2 T
F6 R% ~" e+ c& I$ H5 G! E & j& R7 P# o5 p, Y# n, V
9 ?- n7 s% S1 h) Q) ^; [: U1 B ' V' `+ ~" _, i1 { F, M( Z2 u2 z
然后登陆网关如图： ** 8 c2 m% D% q$ q. A/ B
) t% L2 J, s# I( i4 c3 E$ v 6 f" X" j* V, K u" \$ C4 P
6 H3 |/ c3 j. ]5 D
/ ^8 G ^& v! l7 a' E3 e7 [4 u- W
6 Y1 v. B) @9 {# |! a R
9 V4 a& y9 B5 W, o$ a+ H
" G3 e& W* b: H # g, N# x, s o5 B/ ?
2 O+ M: |6 u( `9 [0 h
; i: H' y& W7 s! T9 L! T ! S7 o/ k/ D$ e' v$ H! j& C
! F$ K( L2 n5 W& C5 b- t$ F4 B
" x( M; T! W1 E$ U5 m$ N
- \; B$ L% V2 \5 m: E
. K# x0 q" Y& C+ t X
经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里 ** ie 家里里 172.16.251.254 ，这不就是网关的地址么，所以我就用 administrator 登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用 IE 密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码， 73 台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封 IP 好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用 nessus 扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！ ** ) r! t" W7 C: m5 K
) U% Y8 L, d+ n% e! c" O1 `
( Z; [: V$ @9 A 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人 PC 还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人 QQ ： 635833 ，欢迎进行技术交流。 2 e1 M$ P) Q, |- h. [
% E) ~' [$ ]) n# k: n6 l3 `5 u0 z2 ~
0 V6 Z2 Z. ]: J8 K! b) ^ 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和 dns** 欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图： ** " N. \) S) \& @+ D* i1 H/ j2 E
$ I0 @' F I! @# Q2 r9 g) g: |
$ H! s6 U7 U# I( Y. V0 o& J6 d; Y 3 s9 t$ V" ~( ]* V+ C& n
! n) Z7 j, ?& S . e5 \9 h, G/ H- L- s
+ H( q+ [8 K8 }, l* G, G8 U' {
, ]5 V1 D7 V' C4 g* L1 x1 u & S8 G* |1 c) P( y9 p) J h8 M q
5 L8 w8 @7 _' ?% c
1 Z( E5 K, }; b 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 0 \# G4 X7 L' `+ h3 J7 W
! u6 B$ U; F! ?2 q2 }! X
3 v5 F" b7 E% S- s9 v. R V' U! n
0 C9 K* n( A: I: `
% h8 }# A8 p K1 s
) I8 I7 _+ Q5 v! m6 d; F/ P* k M5 m" i2 o0 v# ~
" \. |3 ~( Z0 N / X- t. L7 j5 x$ R" l5 A
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2
9 \0 P3 P; M( p+ C6 i, P" x# H. C% T
; i9 W2 \! Q5 P6 N
* L! ?8 E8 Z5 T: R8 G f
# S8 J2 w6 h! J, p/ b6 \% W" ]' `
9 U2 {# V3 Z% Z: r, F8 J3 n
) r! o- ~% p, G) U+ S
! F7 `. j" n1 y0 T6 k9 @0 P9 J
4 }# D4 w2 e* ~9 i; H/ p
9 d: _0 S; I% [( i+ n$ t
6 L# ^: g0 M# s% f: _- ^9 v
2 K4 i8 S6 U- M t `( m
: j! h- e) L$ a! A# \3 x- U
" f3 S& P) V7 j
) g$ u E8 W/ E9 I0 O( x m
( l) Z5 b% Z$ ` X
9 U4 \* I! S; X2 N& T
2 y+ O8 Q6 i( Z
0 @9 D5 R+ S: _3 r& L
* |: K6 }0 H% P1 Z$ v6 j
# g, N# x, s o5 B/ ?
& S8 G* |1 c) P( y9 p) J h8 M q