记一次某医院渗透（近源） - 中国网络渗透测试联盟

声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

众亦信安，中意你啊！
+ V$ x% m. v4 T0 S( f" f
E4 a7 \: n0 ]3 O# Q/ k, k5 {ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

" Q' Q l% x' n" E
9 }2 Y) C1 _& |# G9 u 众亦信安 ) y+ a, m6 ^! d$ c' T
. g2 B3 B$ `/ Z* W2 I1 ^
" t. J2 q/ Q) s0 `: Q 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> : A5 q% O% x; a" `
N2 ]- W @# g
7 w" S: B$ s0 e1 h ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> 8 w* k1 ?5 L( E% ]
; ]5 }' u) e' |5 h8 ^) f. G1 `
8 b2 P1 I9 }; q 公众号ingFang SC,serif;"> 0 N0 Z* ]* ^$ Z7 _: p* ?' Z
F' `9 G7 x5 z: c& \
( Z* W' d2 o" ]& i1 }. i; c6 v
% S: g: [3 `& I0 ^( o
L0 ~. m- k) E+ i! z+ [; `* g+ ^4 c1 _* c/ a) A p8 _3 ]
+ w" s v N( T( N0 E3 t# v" A& s0 _6 \" V( W
点不了吃亏，点不了上当，设置星标，方能无恙！ ) `5 _4 Y$ F3 \# g$ D
2 O% O" {. a9 f- _ ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> / q, I$ m0 Z( M5 q
3 \9 s) w1 x; P9 U( ]- N4 j j% h* E0 [
2 C! X/ ]. S0 [ 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 ) t; x6 I1 }1 p3 g9 x9 i5 z) y+ g5 }# L! F
6 I, |4 y B F9 p* Y) i* {2 E
1 _! ?: h7 L; k& B! } : k2 G4 U9 @0 E4 m5 @
8 L' A! M( P3 @/ \2 e# i+ r
- W; \8 E, ]+ _5 q: i - R+ o" ]& H9 `- K) ^- u1 z- ]
) W: W; ]2 [) ]+ t! x4 f 无线or有线( e6 P z# I' Q0 Q
8 A4 V5 \0 m1 z, Y; D8 w Y+ |& J% t; F2 }6 { r6 M# c
7 V2 t1 F! E( T Z' |& l R. e( w- A + g1 D0 v5 W8 j b9 m' T2 ~1 O5 D
8 k( Y& D* R2 j+ Z# Q- q* C 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 6 M+ s- b6 K% U2 j
4 @2 z3 j; y3 j2 f% z
! P5 [0 l9 c+ t/ r7 l 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 . T* e% B: D( v4 E1 n3 c
3 R; h, |7 l/ `7 ?1 f, d7 m% g
/ H7 h7 d0 o& G& u; e. r( V7 s/ u ! a7 ^; t* W: z) q5 S: }
- k: I) @5 d2 n1 c) g
0 H% l9 x7 B4 Z L2 ]! I ; H" o) ^4 f: w7 _/ }) @
3 G0 A; \! I7 p9 R$ k/ V: s2 M
# N4 t! Y, K5 E F1 s: d 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 3 A- f2 ^1 C1 a* B$ ^
1 J5 S) m( k) ^+ }0 D% \
8 s6 E$ L! h1 b0 y/ u: h, M 8 O8 N% G% A6 l$ o$ u( V
: }. {6 K: j! _6 W0 y$ E
- R; D9 d# M, v6 v2 y- q( O 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） + t: K; _( Q3 |
5 D5 P. v0 y( F1 K, D
/ R! r; F- f; I! | c c" J. N; z 0 U" p; w! ~3 |; j' Q. l& v% s' A
- Z% \: R A# z! M5 @* T& H
9 C; O% Y8 m( m0 }" d5 k, T 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 2 j- J& n6 Q6 ~' g/ [
, C% k) l6 N$ F( V
' i# C1 m3 J/ l: @3 `1 k4 Q% s 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 " v0 |1 Q. M- G
s: k' w; z& q+ H5 m
% x# h6 h. V0 v5 Q+ g6 O 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 2 r7 ]2 v3 A" C4 a9 j
! J* Q0 I1 Q9 k7 @
9 h' [# s0 C7 i- ^, B7 I P: H! w% `5 ]6 {. z; _
8 B" l; n7 V- d( [& Z" Z* [ 内网渗透 9 R3 R4 E2 Z& j0 m. Q& G/ \
/ N0 y& X |/ C0 f . }+ l4 a `4 P
_' g" c9 { o/ H4 `7 z9 A + x3 [& _# t" Y0 P% N
2 g9 {' p3 n g1 g! r! C win下搭建cs和linux类似。 - l0 F' P$ A- B
2 x) v: T, P( a0 J/ |
, z8 `8 {' g V
teamserver.bat + ip + 密码
! \5 n% G- s6 q
4 b# |. E6 e. q: d) u% L) x
, M( W3 f, G7 w$ Q9 P1 m: {; l, H1 ] ! f( \1 k/ [5 G- C7 o$ Y; H
]) Z7 h5 I. J0 J8 l
- ]; M: d, o9 W2 G9 t F1 h fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） / X5 }$ L5 A3 {" i/ U4 K& W6 Z+ \2 i8 h
+ n# p5 b, ?' L9 m9 { W
# n1 a- C6 U& I" i6 w 2 M$ @- a( R. y
; z& o& h( g3 J3 v; U; B$ Y; R
* ^9 w# `2 q- l3 ~, ?* x$ l* _ 8 ]9 v2 E& w' |7 @
$ f M) U: j" o( i# i8 E
( d( @3 W3 @/ v+ w; k 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
5 _3 u c6 f3 n. n; e) _
! |$ q0 \6 q9 j9 R 8 @; R" E3 g( C/ B8 Q" D) `
2 b, R' o; w1 x: {6 N0 S0 O/ J
8 J& G4 i$ g, w3 P' |+ M 8 U7 \# ]& V8 u
8 u1 a2 v Y7 ]( T% r, \: c0 m
9 |% P! N' F6 Q* z fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 " M# z# u: u4 M7 C g5 y
2 K/ O) F/ w" C o7 ?8 z
# y# Z" o; Z9 w9 G& J$ H. g& c# m PACS系统 ( s% W5 ~7 M% R% S! c4 z# f, n
% e$ l! f c; r
" w5 G! S0 _. ^) G 6 _! H1 M; s5 K: [, G
/ C5 z+ u/ x; z
# w0 o' x8 P) R
9 l- b: w U# }4 J( K. t
; W8 C* w7 f2 R7 l 4 _3 p5 i B! H& ?1 R
- V" U; [3 b' `0 `/ F' S: e* @9 ^
/ Z9 r3 |& v$ `) V' y, c8 q HIS系统 : q5 v+ j6 P- D6 O' t' W* @
; Y% u+ E8 ?% i) |: a( x
- J6 P) _9 ^' m& q3 g+ k 6 J, w: i+ j8 C9 ]
1 V. b* T1 M6 w5 t: |2 g$ ^1 f
( @/ C% N. c4 C8 Z6 d; I " f7 k- m% a% h# }* {/ A# R7 d
) Q9 J' H( j: N3 S2 Q+ M* O
j8 W# k1 s- Y$ m( x; {, o 8 c, w- t' H- G& r
, F. |7 J' G/ H7 ~- w
, p; n. T2 f$ V- [: b" y 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 / u( _, D/ w, a( f! s3 A% L
8 a' [$ N( g/ s4 a M! N
L U8 [; P& W6 c+ }
& F e* v. H n, k/ L3 m1 z3 M9 |7 b
# f6 {$ S' P6 k6 k. ]0 R- p. s 5 U6 Y) j( F% E7 J
- X& i' [: K2 y% w# n9 |. R
. `1 E6 i, V+ t. o9 v( F" o& P 后话 ( C) W4 M$ Q+ K# Z. _5 w
' }6 q8 A# |1 g" Y {; A
* k7 m' Q" P+ \6 j 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 & r+ C2 t' g% `' e# L- u" p! }
! T4 i( w5 U5 w9 v' e
7 h6 O4 k4 N: y% ~ : @2 c+ k7 V4 z% _6 r! ]! q) N
$ \9 ? I5 T6 Y/ B2 A8 R ; q% r' J! ^" `' V7 o/ B2 z! V
$ Z" _* W" x. u5 i4 J3 f6 y 8 G Z" U7 B: p9 i
# w2 y! h& c2 l& a9 r# f" s 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 0 m9 ]8 e. L0 D, p. h5 ]9 G7 O
G1 K& O9 a% H ?. w" F
8 S7 z& B3 y: P6 {/ | % ?1 I* }1 T4 E
6 H! A/ H" p9 s: ]- n! h

中国网络渗透测试联盟

) W: W; ]2 [) ]+ t! x4 f 无线or有线( e6 P z# I' Q0 Q

8 B" l; n7 V- d( [& Z" Z* [ 内网渗透 9 R3 R4 E2 Z& j0 m. Q& G/ \