记一次某医院渗透（近源） - 中国网络渗透测试联盟

声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

众亦信安，中意你啊！
- Q7 M0 ~5 @& Y: k) W
) P1 \9 n$ f/ ]- N& fingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

) `/ Y6 j6 l, E; F: b8 K0 d& z
, {9 w, l6 T8 m2 n/ K 众亦信安 7 X7 T# ]7 x, U
1 w3 u" Q0 j/ ]: ^
1 ~2 ~% ^ T. k' X 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> 3 R+ x5 m e8 @: l7 ^* D; l
& s6 T& M" [- m4 T* A
" J9 u1 Z7 c" T" a7 \( l! P ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> 8 v, U8 M U+ x0 w+ U
7 h8 P! J' `! C3 `
; g' C2 X6 u7 v) Y9 D1 K6 W; ^ 公众号ingFang SC,serif;"> : s0 q/ Z( |4 A/ b* [, h
( d) y4 A8 F% A+ x$ k4 E/ U
, S0 r9 T( {6 v# l) O
) j( }7 z4 ~, p6 f
+ e' y0 E$ p) G# w . w! y$ g/ F2 ~( w* k& }
6 h( T7 H5 F; A/ m1 @/ ]
点不了吃亏，点不了上当，设置星标，方能无恙！ & B' n' O1 d) |& R5 [
1 L5 D9 a4 Q! u ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> 1 c, A; K" {; V" K( \
& e. |1 `# ~6 R' {) t
( v* \" v! N/ f) {" d } 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 6 t$ H E" u" X9 m0 L* s4 o
0 x! [ E7 _0 Y# R7 I
9 \- I) ?; s2 _& |8 m1 c: K # n% Z$ F+ v) e0 r" \8 W# I
. [1 [5 ~+ d: P* R
( t: w- W2 Z7 Y 1 E" V0 O: x; h+ k
; t9 |- S/ h3 D. t$ @ 无线or有线! B ?1 x) u& w3 N8 v8 N/ c
1 d# w; U( g( s8 M( N) T$ W2 u + E) t) i6 `7 X& t* E6 A/ {7 e
+ j8 W* u, [" P l5 k6 h8 }% N) R n7 A - k! o& B- a) Y
: [1 O& Q0 Q+ Z6 o- D 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 3 [# O0 v( E2 U: @ `& _2 v
8 Z0 M; V/ O8 `, `( A) W- [2 q$ C
3 L4 z. {6 x2 P' ? 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 " c3 e c% e6 J7 s4 x: D. ^" w0 x
+ w9 h( i5 S5 Y. @
& C4 H& s; z7 n1 p+ S9 I, p1 U 9 Y0 [( S |0 x( \
9 \0 g e1 C/ p# a
# Q- E* i. k6 K3 k& n# ]5 f 2 v* e% O9 Y. p V p: J0 U. Y0 o
0 U! k4 s7 @6 r$ h! i8 j6 z* U
) w/ a& p3 e7 {% l. D' d# P 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 2 s5 c: c1 t% ~3 ~3 z$ e$ T
/ N) E* C' b+ Q9 }3 j2 S
8 i# p* {' M& C" Z1 k) Y$ t+ ` 8 _6 [; [. Q9 L7 k# M, T
! k8 p1 P* b; j0 m- s: @3 e
" y ^( A. \6 @ 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） / N9 b+ c1 L" ?1 L
& n" o: @2 m) T; b9 z' M
* ?& i( J) I' K: p3 U" a * p; A# D/ Z$ {6 S7 O( P$ E
7 b" y6 V& j5 H8 t, x3 H9 C+ S5 J
1 m2 m! U2 P/ k$ b+ L1 H e0 c 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 4 p6 b0 ?/ j# q) f) y/ c( A
' f; @+ B/ h0 V% _. i& L& _
' k7 I3 a- M+ q' A* D) B9 Y9 k, P3 A 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 % b( S# R$ ]. \0 P7 \
# T7 v" M8 I) |* V# [) r- U
) c3 ]& w' e2 h+ D2 t6 o 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 % V7 N! U+ ^5 S8 D
. p. i1 h- j. o/ W/ s1 t
* x: E1 j) L# P \: T ' }+ v G7 D/ E2 p( J9 p
$ T% u) c x r% x- K0 \7 e 内网渗透 1 c" b. {9 u1 Q- Z; A
% z {0 ?/ u- D5 f: y / P N: N! L! q9 T5 Y/ L6 P3 m
1 F) ~# e: s$ Y% |. A. q3 s 8 I) d( N0 ?! y
8 T: S& G0 }- X6 {2 j+ w5 g win下搭建cs和linux类似。 6 p; ` F* _5 |+ x# u
) s! x3 C; t4 r
& b- ^6 M' ^# U% n- ^
teamserver.bat + ip + 密码
0 r+ m5 b9 A1 ^: Q9 ]
, F8 u, \* p- {0 i% Q; b
# O" a* s2 s z4 Z- h4 Z 5 u2 X$ ^7 U! V- W/ N7 k
! ~2 \/ @/ s) f2 A$ V s2 ]2 A3 H
2 i. p y6 ^/ ~# I fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） $ l2 p; Y1 ?% G& W+ Z8 [
1 v. `# V; g- t: J) c1 J
+ p# O; ?4 X$ s5 ` ) Y8 u ^* L2 j2 x
2 X; k# x0 k* @3 V5 C2 W
2 H. S& p5 u: G9 i }% T6 k& e; J/ ]; R& W8 i5 A
2 H" s: c- s$ ]+ E- s' y
/ H* w+ |' ~/ Y( Q" u- g) m2 l* ^ 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
- a8 s) U+ b0 K, x9 Q5 r9 D' X
9 ^8 Z0 i6 i' h3 m $ K" D$ b0 F% ~. c
- N: b& A9 B! S% Y' [7 Z; z
8 M& Q7 d5 J* P+ n* n* T $ q7 t) A/ H* t+ \! J
8 R6 [0 H7 g. M1 s a
! ^; H; k! u4 N4 P9 ?9 l# N fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 0 X* w# i/ p5 ?) i, |4 G
+ {6 X4 y: S9 _( U2 k/ N. b6 F2 g- g
6 N$ n( l) F: w. M PACS系统 # F3 X, e5 q: x4 U A) M4 z0 t
0 O& A7 N0 O4 ]; Q% Q3 S6 ?5 e7 h0 v
9 q2 z) F3 T6 r% A0 ^ * p! o: d2 _9 e% h j* c+ I
2 w) k& _- l- c# W" T8 n1 y8 A/ C
# w5 Z5 f6 T/ `3 x
/ q* ? e; P# k
6 G2 P6 l5 l1 Z& h/ ]4 Y ( J7 ^+ ?0 a) w+ r. a
& u7 u9 ]9 l6 M- A; R' e' v
' M- n' U% F1 Q4 w. x# F HIS系统 ) X ^) c) K; Z
6 }" |: J! ^9 i
) C: W4 C9 \3 X2 F* _* [& s; v @7 B% e, |+ f; L; Z& G |2 \. K
/ G# x& O1 ]# y+ {, G/ v
: x$ V2 |& x. S! v2 A% T9 m! M , {' P7 E5 A _: o- C
7 @6 y# j# r3 U, n& h! ?" y
0 ]8 M; L1 ]" G/ p7 p : O( p# c% D/ F4 T4 E& M
/ P% \9 M6 L! o8 ^ b- b( T5 I- A& T
% W6 \3 W* y$ [' t8 i. H 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 6 E0 E+ R* G9 H' Y$ h0 T# \
9 m2 P5 f$ `: {- @# C2 a
: F m { t2 j. q
& @: O3 I. v1 W% A, P
3 G$ p% M( w9 X) F) N& k/ E0 V + K0 [, ?: @( u! E
, n' e9 w7 V* U7 t7 y$ X
4 m/ R. ~0 \) i, w$ R; N! U 后话 , ^/ _3 D8 y5 W, k5 m% Z- t& [9 o
4 C& X1 B/ J+ A( ?
2 M0 x6 k. N# ]. }% K 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 * Y8 T+ y0 H* a7 H/ h: e1 R
7 }) G9 `) D# U( x; K1 o+ D
- n6 H# a+ {4 B6 g3 R2 _ ( o3 b+ I1 p3 H& n D w1 w- [( n. _: C
! L# b9 N: P2 o6 S & C+ t& Y, N* C [+ Y1 e& S# Z, t8 j
4 J- j$ Q! J' P: F: U 0 p+ b% m- H5 L$ m. B9 ^
$ U! N2 w# c9 ? 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 5 z% \7 d! V# w2 L
% m0 H1 [& m; ]& |. }
2 m# H0 H) s% q ! V% Q: Y( g9 Q6 O
, N" O" X* Q* E6 h+ W# N+ G/ |8 `* _

中国网络渗透测试联盟

; t9 |- S/ h3 D. t$ @ 无线or有线! B ?1 x) u& w3 N8 v8 N/ c

$ T% u) c x r% x- K0 \7 e 内网渗透 1 c" b. {9 u1 Q- Z; A