中国网络渗透测试联盟

标题: 记一次APT攻击(简略) [打印本页]
作者: admin    时间: 2014-1-7 19:01
标题: 记一次APT攻击(简略)
在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。  W( ]9 D) {: X. j* r

" o# t8 t$ R- X2 l0 L3 d) [) L, B: U* i1 n- B; \- B2 E& i' h
如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。8 k0 _% T) n+ p* F: m

3 S/ _+ z1 I6 [4 R" s( H/ ~2 H  b- x6 U+ ^  O
因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
. g" k/ I6 t, K& ~: M' }" Y% I; U5 ~
------------------------------------------------------------------------------------1 K% W1 ^$ _0 v
2 @* P( A& S+ u. T4 e
先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。2 v: Q4 B0 B4 Q: S2 d; ~3 e5 l

% \; r  F8 r/ s3 i' A" i' j, R第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。$ S, I7 A6 N. P/ Y# L3 _. S* [
/ \! w" `+ F5 x
' [1 D4 b  z7 a1 U/ O+ l/ t
毫无疑问，IPAD又奖励到了。
' ^- Y8 b; S. ]9 N& V0 Y% V( r3 E$ f, h2 Y. m% x

! _! p% X5 }4 T# ?+ V3 z$ L于是我和社交网站的主管说：你要啥时候才给我部iPhone。
6 s. _/ F( F) o. {, H5 n
6 ^0 N. f$ _" A, b
6 R- a6 N* b$ G" w主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.( g- H* K( I" J$ s# n) E

' `2 _7 J! w) f, g6 i, w
9 K! u7 t" _) _5 o3 s( c于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
% n5 W: E$ x9 n
( J8 O5 n7 q% f4 ]4 j! A9 k- T8 \( V( l' v5 R( r# U
主管回答:那就来把.打下来了给你iPhone5..1 V2 C. {5 p" j' @( G& Y; V8 u3 w

0 P' l$ Y# M6 P, S----------------------------------------------------------------------------------------------------------0 P& @) [  X2 @2 H
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。* v$ u* B. X6 \# Q, M$ C  z

  p; ]; e- j" R之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
* p) }8 _* W; z% d- {- y4 L( {9 d6 w

* a/ C9 S3 G4 _4 P好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
: t1 y' P. Q8 j& a0 i) A1 w
' \/ O  f* o+ {6 @7 f
) S# g1 p0 m' o. L- S直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
2 s, v. O% `& f, W9 ]1 f) k! s5 h, ]" A% f
" K8 L4 r8 i$ p4 R; F
对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把( O1 {; Y: f  r  l. G/ L
- ~7 S6 n" t( B, Z

: p; ~6 \! i  L1 `3 b思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
; u6 e+ H' P% ]2 T+ _
- \4 D8 i) g! i' ^3 q6 \9 X3 }6 z: H$ t$ }
于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
1 X; A' J2 V; e7 l4 u% X; b
* x! {) r/ j; G7 |! t$ W- y7 }" k
0 s7 V5 O! Q% I0 [$ T+ m7 z: c对方深信不疑。自然回去访问。
% X% a4 G6 N7 u0 X: T
: h9 ]  {7 u4 B6 n4 }4 B2 a! v8 T% b3 Q5 [2 h! \
好把，大概等了几秒钟，WEB那边有session是记录了。* O! Q+ L/ \( V1 S. u4 N  Q/ _& `% Z
1 I' y$ w, Q' @7 ^  o4 n
7 L! Q$ l3 e& e+ g7 ?4 K4 y5 }
一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。
3 N6 a( U/ r% C- C3 s" v
. b' R% |% t  C+ r4 C7 l8 F# A
! H$ x% h: ~3 W0 J! `我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。" a  Z1 p( @7 A1 }

& n! {, [6 z; n' q1 H+ z5 q( U
# t. k* j$ ~- l. s4 d: CA管理员说是office2007 ，这样更加证明了我的探针是对的。( e8 P& G( z6 k$ v. h2 ?

. s0 a2 g" @6 m- F* g# O/ s; {: E4 L7 ]1 ^
于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
  o$ G: s/ x+ c; D7 ]0 _: K* |) o! L

9 X* m/ o* {* HA管理自然就给了我，好把。 office 0day打之。
8 X) J* \0 H& d: Z
3 I2 c( @- _8 c' O: S6 d' K4 m; a9 F8 H. @
打开远控，等着上线，可是就是没上。 出问题了。: L0 _. l: I$ J  o" u' h6 n
6 ]+ q4 S0 V& P- d

* M  s9 r* L; @  p$ n9 zA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。8 c$ y& D. l3 K# }" J# G  w

/ {% v1 j5 J- `* d) v7 h+ X. m* p  n5 D, {7 u
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
) v) N' }2 I( `1 s# z; I6 w9 B8 [
8 j& A6 @& F' s3 o" t
同样的对方去访问了，系统应用很多被探测到了。
1 x+ {+ J4 E" b+ H8 A6 k
: [* v; a/ b4 f# f3 A0 Q4 B+ t5 f" J+ ?
好把，出口IP也是.14.
  I8 }* \) {% T' M8 T: b
+ h4 Z, B2 ]  Q4 i% d# t
0 k$ a5 E" I) t" J没问题了。出口IP确定了。
: J+ M8 r, X* o# ]) ]) a
' d% Q, _# C5 y; [3 i7 o. c1 z  \* T% o# P& D
于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
& D0 r7 _* d7 C7 M
: J0 l. y7 w1 a* S  `! w( k% m2 G' n  V( e. f9 M/ z
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
5 |4 K+ W' z. ~- b$ t# M9 t, |( e2 p0 g0 l0 K* m' R
( t5 ?3 v5 v/ S2 c8 U* d6 d2 k
马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
5 C& g3 R. k3 c- T, T6 Z  F! Z; t0 E& q; W; Y9 {$ V

& T8 q  w) S( n2 tnet view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
7 m% _, x' {7 |) Y& H' q
8 n; c! S( h* E# k
6 G# A+ h% j; e$ K( g+ S6 |: x同时间通过密码记录，得到了内部Linux服务器的账户密码等。
7 J9 X7 f. \1 k% E& U. ^- r: c! V8 {# w* y* @4 W% s: _
3 }% @4 d5 z0 x5 _  n! C3 _) X9 S
向主管个人PC机进攻。% `! i. A/ j/ \* C/ h; @" g+ ]! @
- l. j/ ^/ C0 R5 z& T" W! D. D
简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
* ^* _" x0 w8 h/ z. q0 h+ @; g7 L( c7 f# G* J2 P

9 |' I1 \' A) `) X8 Z8 r* K1 P于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。' [: n, Y) w( P2 V

0 Z& `8 @1 d- G  _) e- e
3 W$ l9 b. |0 Y/ n2 z---------------------------------------------------------------------------------+ c7 p" l/ N- z
9 o  P+ J4 z6 U! L) G/ Z

; F. y1 ~( z/ s$ F4 w; m" I晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。! I: z, x" V. l# m. K- ]

( M0 x- K: h! a/ T9 M, N7 j& ]& \3 h3 G  V1 [2 \, Z
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone: T" d' P- k$ {
) e& @, e1 b. P) I
! _  Z7 t. _) v6 j, m) w
我觉得人还是别太贪心了好。贪心会出事。7 a' Y; @+ l* K
. B$ P5 i; G: k& J. p5 E
, {2 n9 B7 L* ~4 K3 l$ i
于是我坚决的把马给卸载了。1 [. f/ \  \4 T) w
" A8 `- K  m# w+ E$ ^
. {& o0 w3 D" |" o; g
---------------------------------------------------------------------------------
5 U; f" d7 X8 [1 R$ \对于后续攻击，我的思路如下了：* B& Y* S0 A; _* H& J( N6 T

. j: i- V( g. \2 P* ~3 b, {5 c& P9 }" a' A0 z
搜集内部员工的EMAIL，探针+office打之。
* U7 Y$ _& e$ h+ Y$ @. Q1 T$ h/ a8 k( s/ p" x$ n# g1 i& D7 o8 S
- i( L8 @% S3 M, n% _
内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
0 X0 N# b- f9 F
9 d/ l$ V% M" A4 c$ x
9 k5 Y# X3 R3 P6 g, J' m通过登录A管理员公司邮箱发邮件下手。  Y1 `$ q- a4 G6 Q3 g0 O$ I
1 Y0 S3 Y- ~; D$ h4 W8 H9 j
; @8 g1 s+ }) j9 P4 D0 j3 n
内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。( z$ c7 b) g" ?5 j3 S

  d' r; H! Y, a% b, L厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
0 k$ \4 ?/ c; Y/ W8 ]-------------------------------------------------------------------------------$ o6 e. @$ q$ W7 _9 c# x0 T
) N3 L! }% x$ v+ v8 `$ J0 m! J
最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。0 m6 S2 K) G1 z7 z$ g/ a) e




欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/) Powered by Discuz! X3.2