中国网络渗透测试联盟
标题:
记一次APT攻击(简略)
[打印本页]
作者:
admin
时间:
2014-1-7 19:01
标题:
记一次APT攻击(简略)
在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
' r. V J2 d9 _3 T& p7 X6 X0 n& {
`8 I/ L1 d: @/ B4 z% T; Y
4 K& R6 w3 F7 t: E3 w. q5 A* B
如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
0 \9 Z" f2 C5 c; G4 u/ D
6 k J$ u0 y }6 u4 s' |) y
3 v6 Z1 C5 l9 U. m+ G9 w
因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
& [2 e7 ^% i6 A$ c
8 c" k# P7 M8 O; k* n
------------------------------------------------------------------------------------
! D+ @( i) [+ ^
$ c4 P' @ h( z9 a
先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。
1 H) L" e8 s7 M4 O5 h/ E4 S
; @/ f- O6 O" U2 ~7 \9 B; k
第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
7 W" C4 Q" `, S' ^) e
1 U! H/ J; j" G) i) l0 S
, G& s% `+ q- E$ n6 s. L
毫无疑问，IPAD又奖励到了。
$ _ A. B. t" i, H
' m& `" A3 m$ ^+ @0 [
$ m! v$ y B0 G9 d7 q0 u* U
于是我和社交网站的主管说：你要啥时候才给我部iPhone。
$ `3 u3 p9 k* O# r6 Q* \
1 }- V' i* Y, z1 C
2 S8 Y' O. ]4 w: c
主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
/ J; S' ^) [. H4 F- W$ ^% [
- U# t% N$ X; T3 Q* E7 {
: r8 l) @, Y% |' i4 E
于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
r; E1 W/ m* D+ A, f2 o
! b6 F: N: F& z/ [3 y$ H: I( n# U
2 h" j1 y5 g' [% x/ D9 W
主管回答:那就来把.打下来了给你iPhone5..
+ K5 h4 h* W. p2 |3 z6 e9 `& F
& ~% E! ~2 j# _- M
----------------------------------------------------------------------------------------------------------
! B* H) p& E5 [$ h
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
( S6 x6 C; d5 G! g) O
7 |/ U3 o$ R! Q- a* a' s" p% F) m1 D
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
4 a% [9 P+ W- a5 j% F
* z& j4 U3 ~7 T6 {. l% u7 a8 I
2 G7 w9 J7 L. C8 Q. a
好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
+ O0 v& t7 m1 W) t# X5 Z7 ?
+ W1 x% r$ A$ j8 H
! S/ j' @+ Z$ L. i6 t- w6 P. D$ v" d
直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
/ n7 A8 h1 I. t" m, r
$ B V: f m" c( B2 @* T" }& C/ a& f E8 |
2 Y- q8 G3 H: o+ Y0 R7 J m
对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
# z& f: u' L5 N. C
+ I. s! I5 I, B- r5 C" v
, `* U' a- [0 A/ i, _0 }9 B( b g
思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
8 G8 u; I/ i% s. p0 T2 _: z
+ u. y- z6 S5 s
! J0 M1 X* |; ]4 P$ }
于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
6 E$ u I( f0 G, [- e& k
, c% `0 h# {2 C6 d5 c4 F3 ~
4 ] K" |1 V- Z& D' k/ ]9 Y5 J
对方深信不疑。自然回去访问。
- z- @8 m& _7 c6 R
+ j7 o( j6 g, q, t6 p8 L( `
2 z! b# W9 L3 A; t* D P
好把，大概等了几秒钟，WEB那边有session是记录了。
. P; q2 }0 |3 ?4 x& e
/ I) h) k. m' B% H
/ K: ]2 s; M8 I2 D, ]7 b8 v6 H
一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。
那管理竟然是裸奔。。没装杀毒软件。
" k3 _) [) \( D6 S) d' D
0 W. N( L5 ~% N4 Q' P
# E& y7 Y8 u5 Q$ i0 R
我很委婉的问了他office版本是多少，说我装的是office 2013 怕兼容不好 打不开。
& v; ^3 A, w9 [8 p
1 v. |/ V, c1 F- r3 U9 C
/ o7 g, u0 L9 u5 { Q
A管理员说是office2007 ，这样更加证明了我的探针是对的。
# V: j3 T2 w4 }* }2 t1 B; D0 O8 [
% j2 X5 L! R. U
& Y g2 |; y: y: N6 H- Q1 I
于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
2 n! l# I' |# C
' W4 A+ b+ l( T' M+ G. j6 h7 x
# U- `) ~/ P& E/ }+ H# q
A管理自然就给了我，好把。 office 0day打之。
( |; D" p+ k( p: S B
# W+ p$ g0 }# t7 ]+ R! C( ]
S5 E( Z1 Z: Q* U5 R
打开远控，等着上线，可是就是没上。 出问题了。
- A0 G4 C9 v6 Z: P9 [ g& \4 f
4 X _4 W3 l8 G& u4 p- k8 S
( C, ?1 `: q; p; C
A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
4 g7 Q, X C; A9 o8 R% X
, S1 q+ N) L3 X0 R" H
8 K6 T/ ?. C! [- ]/ Q, d
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
6 _- R+ e* A9 }7 b1 K, [
1 `7 c) x' W4 U1 |9 \
% Y Q7 Q$ J6 s* P: S/ P( H
同样的对方去访问了，系统应用很多被探测到了。
4 i3 h; u& i; H* K
c5 W* M3 g% W0 |! e
( u& a! ^0 Y0 |( H+ X
好把，出口IP也是.14.
) o3 d8 O: {. k
/ n' Z+ H* j9 X; X
$ i; ]6 t) n2 t1 g" c- l1 n% L
没问题了。出口IP确定了。
# ?% U/ y" R1 X* O$ y8 b4 ]) C
& v, _+ U6 ]4 ~
. u2 L& f% J' f- @% U% U
于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
& e: k' @+ Y% M- i1 E
; ~/ J7 h" j- J" W% ^1 T
4 U' R3 a0 G3 p' P
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
, S5 I, b; n8 S: ]
6 H$ ]$ z, V/ y+ G
4 I8 Z- y# L: h V6 @4 q
马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
) w* Q1 h) A3 Z8 n
, `; k) f h$ o
! u2 X: t: L' t! u* _$ `( N
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
- m9 c" j: a2 G* Q. B1 b
$ z1 a& {' l4 `" J
: b+ w1 X2 R, U/ K) K& w
同时间通过密码记录，得到了内部Linux服务器的账户密码等。
# A! V4 S9 x4 d: o( t X
2 X, o% \6 E1 S; w
( h, \) ]9 y7 X }+ y4 [
向主管个人PC机进攻。
9 {4 T l) H$ }5 ]; v3 m" k
5 D3 E g2 i" k8 u: k, R6 I* T
简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
' J- t! c! R" l
3 h( ?0 J( c6 }3 k& M1 L p( p. I
; Y; \/ S& D* R2 t" I5 |
于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
6 ]- h- G2 e/ g8 p, t
# T g# x1 Z! @9 K& f: L
3 X' }' [2 b3 @9 E" z- `- q
---------------------------------------------------------------------------------
/ }! [8 Q6 |. d, N6 y2 v
# t0 U: e7 b' @! W" K6 m
9 Y0 j% G4 }7 x' y, S& q# S
晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
3 \) j. C' w$ ^3 C1 j+ e
- l0 A; O: ]" H. O
% ^# p# z, h% U9 U9 _& B+ J" [
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone
) }) x3 J; H" e4 K% A$ L/ V
W$ z4 W$ l( u8 u' C
: q! Z f) r7 K
我觉得人还是别太贪心了好。贪心会出事。
5 t: |; E) k" f: |$ Z
* |! Q( V4 E f7 N3 r
: j1 ` @7 D! Q4 ?3 ?: P
于是我坚决的把马给卸载了。
7 Z% i3 H2 p4 c$ V% w; G
0 p0 j+ k/ O7 b5 v
7 W: Q9 X5 z! ]% {% D
---------------------------------------------------------------------------------
4 n5 w2 Y' {/ j4 u4 p
对于后续攻击，我的思路如下了：
! w& h4 V$ o. k/ V
: q/ B h, Y3 H+ J
8 f) h+ ~ N% K; ?$ q2 W7 y
搜集内部员工的EMAIL，探针+office打之。
. T. R0 ?7 n5 r" u) b( M
& V$ R) n5 m( u5 V" m
! |+ j6 q7 k9 g; K5 a
内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
' B: [* o7 [$ X8 m
& n- H0 X% P' t# n3 p N; a$ w
* x7 ^8 ?3 q* `$ m& N- ~6 K
通过登录A管理员公司邮箱发邮件下手。
! k. ?: H% z7 c8 i
! N' e6 \' v6 y J* L
/ x4 _! @% N- v3 }
内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
& \' ~, Z' d, i7 l0 p* t* T
5 q% o, M% l0 S% J
厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
) [# M0 n* m M8 b
-------------------------------------------------------------------------------
" u/ _1 ]; W9 R+ z! p2 y
. b5 O# ~! c2 p- q" s
最后：我也学着玩微博了 ：
http://t.qq.com/Axis_2 求关注， 谢谢。
; b6 v4 ^% s8 l3 U; f" U4 {
欢迎光临 中国网络渗透测试联盟 (https://www.cobjon.com/)
Powered by Discuz! X3.2