中国网络渗透测试联盟
标题:
记一次APT攻击(简略)
[打印本页]
作者:
admin
时间:
2014-1-7 19:01
标题:
记一次APT攻击(简略)
在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
# O w8 v: z" C* o+ @- K; s* ]
8 E2 x% `( ^) L8 `
4 H- ?$ ^/ b" _1 R( u% y
如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
& o! s9 P: Y+ C0 y5 }
* |! B, s; p; m2 ]
9 u- ?$ o6 p& t q, p1 `, K( P; j
因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
) h6 F F) U: w% r+ D9 E" L
' r4 z+ u" p( D) Q7 C
------------------------------------------------------------------------------------
' l6 e$ }# S+ B6 d& G" K
( M" u! T3 s1 s
先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。
- Q5 x) l. N3 D# o) c
1 Z+ a2 Y( P. h
第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
7 ?7 e7 Z+ s( E: K# Y, ?
: {1 Q, H0 g4 R. ^: w2 p
. v. T3 S4 Y6 g# l
毫无疑问，IPAD又奖励到了。
) p, @# k7 y3 W1 `
9 R% c" w) g3 Q; B/ j2 Z/ s' n" R
6 S& j* W/ o& }/ k& s8 ?: f
于是我和社交网站的主管说：你要啥时候才给我部iPhone。
C- z0 a# d6 J
) R7 X; ?* c% x
; a9 ^$ Z+ |; G4 w# h5 Q7 q
主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
/ C& G# o( D% r) P. w, a4 r
" J' }/ i$ j# C4 n) q
6 _# P8 r( Q% P" w9 S
于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
5 b3 a# Z; o/ v4 L) c \7 F7 ?- @
0 y6 v8 y. E7 m0 l4 e6 v& N1 }# o' q
# g$ D9 K9 v) b7 T
主管回答:那就来把.打下来了给你iPhone5..
' ~9 w6 O! P* n1 l
2 w9 g8 J. E. c( { ^, t
----------------------------------------------------------------------------------------------------------
8 d/ I/ y9 I1 [/ [4 T
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
1 C6 ^; L1 m% J) b- B
7 x. q+ h* ]* w( {5 o
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
& J% s8 X( }6 P: j3 K1 ? s
5 ~5 F* R% ?0 m( s
. R7 ^- ^3 @" B3 f% n
好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
. u! t) X1 n* t7 Y( L; w
1 V l Z4 g" ^1 ? F5 h+ g0 L) f& p
* ^/ o# M& g4 C, H" c
直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
3 U! Q( f5 k, x1 y) K$ ~- t. P
4 N3 {8 D3 B+ O6 q
, L& ^) q; f) ^9 W' s
对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
9 S( R& d8 ~6 t
- I P, u- K0 V4 ^
6 \. w" U3 }9 g" a- u
思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
! b) s: f, p0 s7 E
, G1 f9 a7 z, K. Q9 w! G# T
9 G3 I+ @2 V8 n- _0 s
于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
( R1 s- T' _" N! L! @: l
9 X, B* k* i# d6 Q
7 X0 Z4 v8 `( d) S. d3 ~
对方深信不疑。自然回去访问。
4 y3 ~( i* M+ E% J
& m' D$ z; h- ^! A/ s/ e: J1 p5 ?
# }& m! T l$ @9 l, G
好把，大概等了几秒钟，WEB那边有session是记录了。
4 Y( D9 `( E& V W: q! x
- A; ?, x3 O- s9 A6 |! w, `1 l
4 c" P: G' X0 X7 N
一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。
那管理竟然是裸奔。。没装杀毒软件。
+ W9 Z# L4 S7 R* ]' P5 Z& {/ W, e
6 D+ W* I( E- i0 b
]! b% K' z& p3 X& h2 a
我很委婉的问了他office版本是多少，说我装的是office 2013 怕兼容不好 打不开。
, b# |3 ?# p. E" w3 j, @
' ?2 d3 Q G' H
$ y" ^; i/ D) v
A管理员说是office2007 ，这样更加证明了我的探针是对的。
/ r5 {* d% e4 |" _
2 G& e, Z( K+ X: z9 M- k5 V+ D! S
7 k, s' l, N9 F, F; b4 m! L7 H. F
于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
! ^& t( g6 U) \8 [( L7 V5 \
; j$ ]" Z, {% u7 z$ W$ A2 c
) O2 ~6 D" x. ^& o
A管理自然就给了我，好把。 office 0day打之。
$ y0 p$ V$ h& K+ ^ A( M
1 F8 L/ s$ A \' X
2 t* |; u# Y8 i. ?5 `
打开远控，等着上线，可是就是没上。 出问题了。
; C) i. }% e' r' N6 ^+ E6 F
& Z4 G) P% B/ I
1 X$ Q% p6 K; O0 b1 A% f% @0 F7 W8 B
A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
" N1 R4 E0 [/ d* _) D, e3 S2 K
% ?8 h7 p& C. O5 l; C' G2 Z* y
- d8 u9 i* g1 R2 i, f8 \, q
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
* d7 s. q# W h3 |1 {
, A: {0 C- d! u" ~
; W7 L0 [' B6 ~* Y8 o) ]
同样的对方去访问了，系统应用很多被探测到了。
; F& K) f9 \ w) [. [" I9 k
3 R) D! A& v! F# p
$ d- J e! R |" k; s' R4 W# d! m
好把，出口IP也是.14.
( J$ V1 \4 z* l- f
" Y; R1 k2 U5 K f3 Z2 y5 Y; s4 f
: h- O2 G/ v5 @
没问题了。出口IP确定了。
; u5 a4 A: D' Y) u" v v
% X* y3 N ]* K
: y8 C. f5 c( Y3 E
于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
( J3 W/ N( a: ?* t$ {7 T
( G" Z& U' L3 x
& u4 `6 f! s! a! ]
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
* y; |+ q* x+ T5 v
" b8 _1 R0 d1 D% p8 `0 X @
* a- L/ B5 Q( U, M ~
马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
! z# s3 t' I1 }, |; D- x
, d! K7 C' Y4 l7 f
/ D! d' ~- H& j/ z
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
" G/ Q* f2 y8 b |, n- ~. e
4 r! F, a" O: h9 v$ W
; {: L8 ] c7 }+ G! f2 X4 h: n
同时间通过密码记录，得到了内部Linux服务器的账户密码等。
/ }) h1 N: G! M$ [. q9 M0 w
7 m# H7 L! ^! `5 j2 t& o" f! J
2 A+ M& W* v# Z* l( D7 E- @* K
向主管个人PC机进攻。
+ M% [* |( z# A: v3 C/ c( y! Q% u
# _( k" V' g- A2 _2 \
简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
" k7 c# o* D2 s( a
* j7 j( J9 ?$ ~& K
F6 f b0 L, T- M' \' f! l
于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
# o" ?' d- c5 e, O
+ K2 `, N( A8 h$ T4 S; T
; m9 b4 {2 r3 B% c9 f
---------------------------------------------------------------------------------
( H# t7 u. M- \% r* G
, R0 B, {3 g/ G: E* t
# T/ o, O# @8 U5 S! D6 {2 g7 o
晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
. m* t/ A/ M9 V% I+ K
2 U- P* Y2 z) @$ g; I4 a
# y& r5 a# D9 R5 y+ P; P5 T+ a
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone
" b6 v& j, N' e( o5 k; ?6 w
! a: O- E6 ^; \; g
5 c8 e, b0 X% @# p' `
我觉得人还是别太贪心了好。贪心会出事。
8 X7 A8 Z2 A. a- T, s F$ R! Y, V
1 y% Q$ R5 a2 {5 t
; S4 _$ l1 A K* T/ m
于是我坚决的把马给卸载了。
9 s. U" }7 t) @' k, [1 s% I$ E
/ n! L! ?. F4 _ u
$ S, ?1 R; N& _+ b" @& E
---------------------------------------------------------------------------------
w, R Q7 x3 h4 \; Q
对于后续攻击，我的思路如下了：
5 @6 s% V# T3 {2 n# Z0 W
' U% j6 x% ~; \$ x
+ { g" o2 I, d7 B
搜集内部员工的EMAIL，探针+office打之。
% s8 o# p; l/ m& w% }. U
3 W! I+ Q1 U, ?3 G$ _9 ]5 X* T
2 L) A8 J( ?# J2 H& p6 z9 h
内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
+ A, O0 {3 d1 @, k/ }0 ]
$ g5 v! J( H5 F' N* O
4 @2 [; i0 b5 T4 @4 r! y7 l" K$ J
通过登录A管理员公司邮箱发邮件下手。
7 ]: [" ]# R% i! l4 K# B9 j
( v; {- S5 [( @; [6 G3 g
5 H# g. l1 q9 C+ i' P6 v& p# D1 i
内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
4 b1 @" P' z% m. O/ O
8 A5 d4 m0 u0 U8 L) {. w* t& u# @% @
厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
! `! F/ \3 O3 \- X/ ^/ q
-------------------------------------------------------------------------------
+ M! I. H+ E: q/ H
) N4 M1 E% B8 n# f7 `0 L* P
最后：我也学着玩微博了 ：
http://t.qq.com/Axis_2 求关注， 谢谢。
: b# c2 R4 Q4 L8 N0 c& {
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2