渗透测试某大型集团企业内网

admin

( I( r: I8 c8 Q# ~) e( ~
4 H6 v; U% k+ ~$ `+ p' ^. I

2 \5 \$ d3 K/ K9 Y' N5 z/ X7 c

7 p5 J) y. u/ A3 \. ]9 b+ p 1、弱口令扫描提权进服务器

; d, S9 i1 N; c4 P6 i/ ` 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

$ _5 R p3 S6 I5 D4 d6 {( Q

---

6 @! U0 H* A) G5 Y

* b9 C* m8 F, P, u5 D E$ ^7 E7 J

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

0 d" y H* P& @7 w# H

执行一下命令看看 0 ]- Y5 H, n0 K: F. @

8 O7 H- H6 f U/ C2 c- A+ w

* L& T* t3 c" z8 z+ |

% v8 i- N1 |+ m4 M

o" J* K" G' [7 @# ? . Q1 M- @( K* d

---

0 p" G) I6 c( J1 |0 W+ x5 M

开了3389 ，直接加账号进去

* }9 H* r7 O; i* {

/ q, |; y: N5 G1 C% B/ ^. A* B9 m

---

; ^4 E/ ]0 ?7 v% M8 R 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

1 E' J9 }% D% P/ L8 M8 @% c

. W0 V# ^: P! h$ C' s

---

/ K9 M4 B4 Z3 H0 _$ g! r

直接加个后门，

- [% J# G7 ? w

9 x% |2 s: T0 u3 }

3 [2 d- @6 v: ^/ L9 _- g+ d

---

/ u9 U4 y" C+ _1 g4 y- R( K- ^

* N4 k: N4 O4 S

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 5 ]2 h" w' J( r" h

7 z% k8 l+ z0 ^$ n7 h- ]( { 2 、域环境下渗透搞定域内全部机器

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 5 h3 p" o) f; n# R4 n1 W1 d

( J+ w6 q/ n9 A J5 g9 M

* r/ _8 B. i- W- [' {7 a6 Z, P6 z

---

& ], w0 k5 R4 O$ N" o1 i9 `5 E

" [0 F5 Y5 W2 T+ K- k& ^& F# {! I& r

2 j8 A) L; d. N! }# b 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

' ?) S* Z. g# y* D ) r! @) L* S* j3 b! K- P" I+ L+ b! j

---

) \" }* @/ `5 K. `

+ k) g: `- W" ?' W$ [

, V; R5 _. `5 H+ N% @' C

" I. q. P; i2 G' d" }* r u: ?, q

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

5 f. C, i4 I' Q- O$ P

+ E4 t2 Y9 o( ]+ O7 Y' w9 u; v 6 u! J# I0 i+ g

---

6 l) M1 y% p; y0 N9 ] 2 E3 C' D e8 k7 ^. t* ?0 q

0 K! Y v# I {6 Z

; O0 ~8 ]9 T3 w( V% N& H, } E, f) h 利用cluster 这个用户我们远程登录一下域服务器如图：

6 y- U$ V& D5 Q' r& m

' j$ m6 H6 i5 O: ~8 W' s 1 H1 X# E9 B3 P* r0 A& B" E

---

: n( k1 N. E& F0 w 7 m0 e- _6 z# A( N/ L

7 n! N# Y! f. O! p# W

$ v/ S( o( ]- _1 h0 |

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

7 J" s. F- H( [ I6 U$ [% n, {

" d" b- ?" y M6 v; I" e9 V3 n! ^3 S

---

/ }5 e% d# ~: W, T1 I

" }/ R; B% B; [9 ~' @' k5 g

9 v1 |1 o1 p2 S' ` 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

* F& I( ^- ?# U4 G: w# C

0 Q! v: e$ `4 P. z2 Z2 e! | 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping 8 {+ L, h3 e/ {6 `+ m8 A. O7 K! n

' [0 K: v- k! K8 A5 y1 A

' |, H7 x, i- ~- X) ~ blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： 7 }' ^' f: {; ~

---

8 \0 ]4 f, u$ f

4 a6 e5 P+ f. z3 n

5 g4 l& E) } Z1 d- F8 c1 K) L 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

4 p+ {: @& P7 K& |& M 1 h' L% o) u" F4 c& r+ h ~

---

3 n4 H1 e; n6 V+ `: z

- b8 D. j, w" y% I2 X! V

: a5 N3 T8 {. b: P1 ^1 E

/ ]# t7 t0 I1 O3 t; Z' V: E 利用ms08067 成功溢出服务器，成功登录服务器 c1 f2 e" s3 E8 y* k

---

- W8 `2 b8 U) Q* c2 K

L) x: O) K% C+ k6 m! w

9 p$ U" x' [+ [2 {6 C 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

这样两个域我们就全部拿下了。

( e9 G* x: P" e) P3 c& [

3 、通过oa 系统入侵进服务器

( N* u; g3 k5 Y0 j7 Q0 l! ~

* R" V* { i. H5 W" J) w# ~6 H Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

[3 ?+ {: Y7 d1 m( Q

9 p# Y7 J3 R4 _2 R! C( Z6 B6 T 4 a7 T7 X& n6 f- b! p, W

---

( X6 Z$ Q2 Q. j, Q5 O* S0 _

+ Q) H" k; ?; I8 g1 y

$ H) p3 }- D/ ~8 S1 L! ~ 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 8 c: ]! U( s0 l- B* v

9 L/ D5 U3 W* n

- }0 T2 z8 L4 I( ?$ w# o , b! P' j( y( s% c

---

; T! m: B, u7 V1 Q

2 A9 d) B8 Q+ Z+ }. j& }9 v5 C, Z

填写错误标记开扫结果如下 ; }0 o' s T. I, @- }) E

8 c Q" {9 u) ^, M& Y" n7 S$ s

7 [' i* U& n; M8 m5 v4 j

---

9 [6 A4 s3 |7 G& o3 {. n5 ]1 B

8 s# Y( I, T) d# v+ v1 c

: Z9 i3 j% {# E5 c3 M 下面我们进OA : f' `4 r7 x# l

---

`# w" B; O, `! S + `! x. i% C* M

7 P- l/ _, \% P9 i

3 f# i' n; i5 B( N( D) X8 l

R" B3 ?: ]. V2 g 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 ) }- [7 Q' g" K; Z- P3 H

! I8 ^7 @- N. e, r, x5 A

---

4 ~+ k) }, g/ {/ v# A5 y3 q

; F- o3 Q, o* \ R6 ` . K- I, ]4 A, O7 ~

; V- A8 v7 |3 E& R

' Y4 v( S) a* y5 ]3 ~( B9 x0 F 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

4 、利用tomcat 提权进服务器

" _& P6 H3 f( o 用nessus 扫描目标ip 发现如图 - u% R+ ]$ a' h2 U

, j8 L0 B, }" A/ P& \2 m8 x

---

- m8 L- [) R$ v3 r4 Y6 `

, W! W, T& r+ s

) ^1 g3 b* V1 b6 f 登录如图：

---

/ N) d6 t. D+ a& K

- \, u& b, A9 ^2 ]% n

* {$ E1 [7 z% g, O& @

! f+ U* T1 n5 N4 I

找个上传的地方上传如图： 6 L" S$ g* ^- U. H/ u% p! @) v

( S0 Y9 s- ~$ q- M0 b6 u0 V

/ f6 M1 J t. y

---

6 y3 p4 w2 a. J! [* a* I

) m) }1 ]7 W k$ l# Y

" a3 m8 D2 O3 @# K: r/ l

$ f& u* g$ U; [+ B; k: @5 T 然后就是同样执行命令提权，过程不在写了

. x2 D7 s% l9 n, k# o8 V+ @; n

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

4 a8 A1 y* h9 i; f, ^# i

# b: G( F! L' W 首先测试ARP 嗅探如图

3 U. j+ k! V8 Z- B

. C$ Y) L2 g9 E 2 L- r; T" X2 r6 a" W8 B# y# L) N

---

- T2 G$ Y3 Y! O# i. d+ D, g" W 3 f- _0 E" v H4 {+ _& u

) K% y# d% }6 Y% \! e

0 q; t# W7 {0 n. x9 n. ] 2 I8 g4 r' M7 m/ x

测试结果如下图：

8 r' t% P! Y) G

6 s6 e1 Z6 u6 z! c $ Z9 {; w& X0 y% \7 u$ t. y

---

( K9 J( X7 R5 @* k

1 F% D9 Z4 r" |0 D7 A6 Q, l, q

哈哈嗅探到的东西少是因为这个域下才有几台机器 9 a t* I9 C* k. m) ^

( F n, T, r; O' l 下面我们测试DNS欺骗，如图： , q" E4 o5 j0 X

$ f- q, I- B% J) z3 z

---

6 s8 h4 c2 C. z* g* Y- ?! }5 G

- z! ~% M# K0 l& b! F7 v) d

1 A, c5 G: C- x6 {: c/ O8 a 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

---

O$ X; d7 M% j$ Z

$ i, e$ u0 \8 J6 P9 p

% Q3 r* S+ i) Q9 n5 `! h

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

6 、成功入侵交换机 ) [3 k6 w; z4 R& |

3 W9 [: e' h3 B/ w

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 0 }" g9 m4 x M; q: k

我们进服务器看看，插有福吧看着面熟吧 8 u; j4 M4 x2 N% I. z2 ^3 z

---

6 U( f) O* O: U9 C' W* P6 w

+ T# t: T5 T# D3 l0 m7 f& B; B

装了思科交换机管理系统，我们继续看，有两个 管理员 : R1 D1 T: k( S' ?4 ~/ M$ [

0 X {( p6 o/ ?. w5 n9 [

---

3 Z7 q9 M4 d; |: M, n

: X B4 j6 T/ }- S* \* \

$ u! X% E9 D+ P/ x! |8 J

8 r2 x$ W9 O2 Z( O& H4 N, v3 |

: S- v: I) g E5 M: S 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 , J! X- s: ^& a/ X! t0 Q2 H

* ]% L; Q2 ~3 F% P7 g m1 G

9 {' m$ y% u2 I1 P n! |6 s8 X 2 v" d' Y% w: l1 N) |

---

+ O7 D6 |; P( n. r) C

1 V6 ?1 y9 n* K! Z$ N# L2 U 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

/ z: x1 N$ V/ I- i" y# J

. Z8 H" K& ^5 t& }7 q! O5 i. R

---

9 w) q6 A( i8 h% @

7 ?# S, Y: T, E5 y: Y

) k) k8 p2 O; L

! i/ o0 \8 e( N 点config ，必须写好对应的communuity string 值，如图： / F3 f! [3 }6 o% M

; t. {) C- ^8 J" o' d2 [' D) i

---

+ d. d" m- m& {7 ?

1 A, i! |. Q J5 e; q- A. W

& S2 @- b4 h! F$ ` ) R! } c% P d

5 A f) B: x$ h; s5 J+ P+ D [9 H

远程登录看看，如图： ' R. {. Z9 o, X+ P8 _" q

5 _7 E M# P1 A9 {$ T

3 a3 ]9 E9 f3 q6 _' N* N# P# I

---

! I6 u( n* n4 U$ o

. Y% H' \# I* I) I7 j 直接进入特权模式，以此类推搞了将近70 台交换机如图： / M- ~8 e/ T/ P6 }6 S: g/ o/ l

. J5 f h3 z9 z9 A

---

4 H8 n* u) R! i5 D' x5 I2 o

& n3 ^& `9 l$ w- r4 l' R. E

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** L# ^7 S& m/ F. u) v9 w

---

; P% w( ]5 n: }# H! W ? . }3 G G: u2 b

- r/ g7 L: h& o, H7 ?

7 J5 L6 T' \6 z1 j

" X6 k }' A' g$ e8 s6 I 确实可以读取配置文件的。

1 [6 p2 ]# v U; ]) Z2 p) r* x2 R& ^ 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 4 L' u4 E& ]- ^+ y s& k

---

7 R4 s+ n* b/ `1 j8 c9 B' e 9 O& g+ q2 n4 f" z& [$ Z

" ^" X( q8 ?7 b4 p4 r. B; r

: x- f$ T; }- ^5 r5 c j

; u) Z/ H. p0 C1 v- E& v- I

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

9 ]! V1 ^) q# d4 N

---

* x3 T5 k5 S$ I5 G; i9 n ?: ~ $ c. U) A$ b P7 V, E9 J7 \8 t6 P

# e' l+ L* K& E' Z& d$ c2 t2 Q0 o3 D

5 P, E) Y1 f- b# p0 Z

- W0 `+ q* `* z' X2 k$ P3 D

上图千兆交换机管理系统。 E3 h- m6 d# S4 u8 p! K* z8 `0 n

7 、入侵山石网关防火墙 + B' ~( X* x/ Y6 a

& S+ W5 h6 x) N& Y6 b; Y5 ~ 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 0 ^% B u8 G" h* ~$ E

, w" p6 F, s: L! f$ `3 _+ ]! B ; ^ V1 _3 U) ^% P2 _

---

% t4 r4 @; [) V) `/ y9 r; _

' J9 J- V2 h- ?5 ^0 Q$ w) H

1 J. K& U8 A5 \0 D( x9 }

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 9 F2 m# ~1 ^# F

9 w* }, q2 P9 Q: S

0 M2 l' d0 W9 d3 N 0 H+ W1 V$ N; I5 X1 [6 y: c' E5 [' U

---

$ H# [3 Q5 q+ G+ U. K/ J2 z ! f6 w2 b- z7 r3 F2 ? m0 W& M

' o& P( g9 I' c0 d$ T

, R) E) X8 C& b" b6 p- N! e0 `

" y4 o; X# b* X) }, P

0 x. ]$ c. G6 I- x3 `' M6 ?) e. r" k 然后登陆网关如图：** ! U+ O; f0 o4 B, ~6 l* {

---

, U) ] p9 k) n" M

7 c; [/ D" Z- m" y9 B2 t- F

( |* C; W' \7 e# ~ h2 Y; S; k8 X ! P' V1 ]" \! `& L

- E' g7 h' p7 ~/ _+ F! j

; b% R5 A4 {6 k# R* G + Z5 j9 `, ~0 N3 Z! H

---

" J8 x4 g) S! y+ C1 G) [, Z* T

/ ~9 I& k) d& T0 V: T. b

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 ! [& C. @' y. x" ]% z' a; q! O

1 X3 U6 }4 E& v# T& F2 P w8 Q" y, s 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

$ g2 J! B; D; d- S" f

---

- [" V l: v3 K

' I/ N. E3 m* A9 I

5 f$ f. l+ ^! r1 Y" g

+ D# |' g# S) h5 F

; H8 W! B# p8 @. y 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 9 n+ K' ^9 d- x+ ^$ A9 N

 

! W& H0 K' S+ j! }! ]/ G

) P6 ?+ T2 [3 | v9 I