找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 1853|回复: 0
打印 上一主题 下一主题

记一次APT攻击(简略)

[复制链接]
跳转到指定楼层
楼主
发表于 2014-1-7 19:01:09 | 显示全部楼层 回帖奖励 |倒序浏览 |阅读模式
在这次APT中,笔者完全是吃饱了撑着没事做。因为来打国内的目标。
7 @( K7 P' T' G2 `
7 {# D. A1 Q6 e% B$ I' L

2 C! B6 X3 s$ n8 u- ^如果你觉得我本文写的不好,你可以BYPASS或者不看我的文章。 当我是个SB,而我也会说是乱写的。+ s, ^# m+ M. j5 Z7 ]5 y5 v
9 r$ M+ e/ @+ L/ U

6 C1 F# t# V4 Z1 X  R9 d/ L因为对方公司比较敏感,而且我也怕事。所以以文本的方式来写把。
" _" l; v+ q" c$ _7 |+ ^$ ~8 ~1 G' O* @; N
------------------------------------------------------------------------------------
& d' A1 j( f  g! T# B
4 p4 ^+ F( A4 \4 f9 U% t+ L& \' y先前发现过国内最大的某社交网站的漏洞,得到了第一笔奖金以外。愈发不可收拾。# Q8 E  h2 d& \9 z' ~/ E

( h8 M2 ?- j8 K1 C( C  Y+ P第二次渗透维持在几个月前,通过社工进入了后台,拿到了WEBSHELL以及端掉了整个内网,在去那公司上报。
8 Y6 l! Y8 n! t# D* J8 T1 l' S, A* \/ {8 P- x; H3 D+ Z7 }
& F: D' E  R# k% p
毫无疑问,IPAD又奖励到了。
  c) u! O4 E9 ]: d( E$ ?1 j/ C4 {
: Q3 x1 @8 Q* U/ m" s) d0 T8 v
' f3 X9 Z6 p; ?' Z* V9 g* l
于是我和社交网站的主管说:你要啥时候才给我部iPhone。
! _7 M4 u1 K. H0 `
: N. Q8 P' y8 L3 d7 v

+ e# z3 S2 e. b4 Y- o& }主管回答:等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.# t% k* @" ]5 {) _' n- @
% _% }; V& D8 W- i1 q! G! Y
) i  B, h6 O4 Z- R) \
于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)' A' z$ Q+ f2 Z0 o1 G# `

# z/ e" H+ l9 N( u
3 C. F' M, k- \' N- q  m& T  |
主管回答:那就来把.打下来了给你iPhone5..* B7 L/ ~% b5 r6 Z5 W  g
8 }2 y2 n( L2 N$ o, n/ C* A  s
----------------------------------------------------------------------------------------------------------# `5 {+ b! Q% d) f
A公司的外部保密做的还行,找不到几个员工的公司邮件地址。
7 F- {8 m* G" i" A
' a! T1 L' ]5 K: u之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.' f, d3 N% F9 @. F" \
1 Z# M4 c' {8 f, ?5 _. P
# ]3 @; _4 q  I$ U8 G+ O4 K
好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.. d/ K- a- v5 `2 ~' |2 f6 Y+ w

( [" z4 L% G- `  {9 b- n

* v/ s7 s) Y! c* I0 Z直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
. ^, R  k6 \, Z; H, X/ [
( C; L9 t- f% d- ]* i* k
/ E, B" g* J: I. C. p
对方对我丝毫没有防备,只想来和我请教和讨论一些问题。好把
8 n5 Q2 O3 }/ K2 [: J3 _9 Y2 R( i+ i! h0 b: }
' `8 O, X0 \- [) G( S" f/ `
思路:先搭建WEB,探测对方杀毒软件以及office版本以及系统的一些组建。$ ]5 Y- ]0 `2 A( k$ I$ c4 X
4 Z* o( y( o6 E3 r

, s; z( y) x" s! x于是我搭建了1个WEB,去找A公司的管理员,问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行,获取了对方的信任。尤其又爆了对方2次漏洞了。/ R" e$ l3 d! A: v

7 B$ ~. F' E. K) o2 R8 y
% E: S' X  r) f( O- k  Z
对方深信不疑。自然回去访问。, i. T9 I% a- r: c. F, x7 v

6 i/ P# T2 n$ [6 e/ @, ^
) ~$ z# {* K' q3 w% l! F$ s
好把,大概等了几秒钟,WEB那边有session是记录了。
. c0 D: e) V2 y- ~. a
1 `# M, `8 p$ t0 q4 w# t# L8 {
% Y& x+ d* O$ `3 ]4 I
一看,出口IP为X.X.X.14,office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。+ q4 o. `- |7 e' m: Y
6 z; o8 |8 v8 l

" R+ r7 v) Y, ~我很委婉的问了他office版本是多少,说我装的是office 2013  怕兼容不好 打不开。
7 K4 B4 S  B0 t& G( v
2 U. D8 k$ ~+ ?! @. A  q  x
! ]1 L: Y: J5 w: Z9 h
A管理员说是office2007 ,这样更加证明了我的探针是对的。# N# A0 _0 Q8 ]' Y- {( P) K

6 j0 c, y; G) ~7 ], K$ B# _# F% p
& a6 _+ }! q1 n% ?9 y4 k; D7 w
于是我和A管理员说,有封渗透测试的报告要发他,让他给我邮箱。
7 F! B0 e& v6 m5 s7 ~8 u( C+ `% [6 C" C6 \, ~

9 c( m7 P5 E! C; BA管理自然就给了我,好把。 office 0day打之。& c# U. x* C7 c1 \( ^" w# ~

1 E3 q# E# m" }) R* a' i  U, r& i

* R7 v: U: }2 b3 v' n打开远控,等着上线,可是就是没上。 出问题了。! J8 `8 K1 `0 C. a7 z; Y: D* M0 c

' G1 o- C! q( Q% d$ _+ p
' w; u% s2 ^$ `
A管理员他office2007有问题,打不开。 但是我在给他发邮件的时候,探针早就加上了。确实是运行了。 好把 无语了。9 Z" H2 N. ~" D) ?; x, ~

" c* Z3 V. B3 r" B5 A1 g3 P

5 N0 z. b& d, l为了判断是否同一出口IP,找了A主管,继续诱骗,问我搭建的WEB是不是他们的应用。/ N: P/ O5 a+ o  @
% C( o& M8 V0 n, P, ]

  `3 W' N9 [0 \! L; n同样的对方去访问了,系统应用很多被探测到了。
# ^: F, B: o9 ^( R3 l5 |. U. S& h" s/ _
& I; C) P% e  p0 V( A( Q" u
好把,出口IP也是.14.
* T1 S1 O, ~- |9 T6 s+ `
% |6 W4 t" n7 A% Z
$ i" N8 k% y1 }/ {
没问题了。出口IP确定了。" t: {2 M" ?* K" O4 l$ m

4 `1 j& \/ B, H! J; }% }( x) h
$ |6 s) j0 \8 r1 ]! p- F
于是A管理说要学反弹,让我教他。 好的,我非常乐意教他。
, a1 R9 N3 K6 `9 v! o$ V! F2 E1 \  V1 X& E0 v5 O8 R7 V
) M9 j7 h8 D$ I1 \
马绑之,一会就上线了。 之后很耐心的教了A管理反弹的一些方式。1 M8 K% I* X& [2 P: V1 q" ^
6 A- Y7 W# h0 X2 [% h
. r- O1 e9 f0 V# p; ?+ x# ~
马上线之后,速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等,同时也获取到了内部大量员工的个人联系方式。4 \- t# X/ D, e6 g
" y9 Y5 K: \5 u+ D6 G& ~& X$ z
. B9 s# s* H# k3 c
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比,确定了当前工作组下的XXXPC就是A主管的电脑。" d! e" y$ M! T' x

! t* H. s2 s" ?! i! V
6 r# F: M# l) Z! f& l. e
同时间通过密码记录,得到了内部Linux服务器的账户密码等。
9 [# X" Y- g% R5 P% X$ w+ u; M. ~3 E* R7 U

9 Y8 I; H  j1 t, t( m向主管个人PC机进攻。
  x1 T- o1 n) w( S6 e8 W

; F3 N9 W  W3 m4 Z' h) J5 S简单的判断了一些,发现对方电脑是WIN7,开了防火墙。 IPC共享也建立不了。
/ M8 U. |: w: C; l# V' X, N, P; t+ O

# O. @- N, a# t3 ^6 R+ u于是想,难道又给他发封渗透测试的邮件? 暂时搁浅。
! a# F- y5 z' w  {
  v4 O4 H' D6 x6 o$ @3 V
$ M/ L1 Z( |' ]( h1 D
---------------------------------------------------------------------------------
1 D+ U$ f9 r3 A& v; f' J1 s: t! q4 x7 ]* ]) @  V. A

7 o: T; {0 H# C/ d晚上和朋友聊的时候,说别人会不会给我iPhone, 几个朋友劝我。 别被弄去捡肥皂了。+ X9 h& p" ~! U3 W) d* Q
% P4 @9 k) c; H
8 d( K7 o$ l/ i( t' Q  z( [
晚上睡觉的时候想了想,虽然媳妇快生日了。我舍不得拿5K买个iPhone
8 M5 c, _' ~$ I
  S: N9 J7 T$ F5 C% e

, G- O4 {  O  k% I1 s1 l4 r我觉得人还是别太贪心了好。贪心会出事。& N4 Q0 }: f  J3 ~

& r! C$ d; v( p1 f) J

$ D  X# m9 {* S! N9 p/ c9 }于是我坚决的把马给卸载了。' h9 _) a9 [4 @* ^: s/ n9 B5 A

) e+ D" D1 m3 J( O* s

/ q/ F8 ]6 \) o6 n4 s---------------------------------------------------------------------------------
6 R- N8 G3 }& U5 s7 W对于后续攻击,我的思路如下了:' z, `8 A. P5 [* ?: ~2 b7 f
8 k/ y/ b# J; y" d; }

" l1 f# N: g# m& e搜集内部员工的EMAIL,探针+office打之。
( z! M: ]3 }, }+ E
, I8 O2 b& E2 J! d% H5 ?, j
6 ^1 ~& R/ j" E$ y
内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码# _4 w' Y' b9 q" {8 A
% P  ^: d; L9 }: N4 [7 p4 P
1 {' `  T6 ~# Z) F; E# I& |
通过登录A管理员公司邮箱发邮件下手。
( X, E) ?( i2 e. I# S; i* Q" T1 Y) C* \6 P4 z0 F  J/ L
- n/ `9 i7 o. z  f. k9 _
内网工作组渗透很恶心,都是WIN7。防火墙开着。 扯淡去把。。。& M- D" i* L( F; u7 g" ~3 _
* E. `3 o- A: [+ `: G- M  J& Y
厉时很长,但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。

6 P2 E. u, C6 g-------------------------------------------------------------------------------
  l! Q, l! f+ f( P& D( W

. n4 i% w% ^% m最后:我也学着玩微博了 :http://t.qq.com/Axis_2  求关注, 谢谢。3 W: Q: ?+ q8 ^
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表