渗透测试某大型集团企业内网

admin

% l4 ]; h) F+ q9 m6 [: q/ Y' {

1、弱口令扫描提权进服务器 0 E+ d3 v) q2 s" G' v

( N+ c- k3 ~' R) e# `0 N

2 R [ K R) ? 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

7 {: r3 X/ I2 c+ W; r

/ n% N* j |9 T4 ^& L2 q

---

) P# e. `' s7 }6 R* n1 f3 n

! K4 X& a3 k' G. Q

& l0 _% P# v% F ! j8 L. N0 O+ }# R# h' L _

/ B6 L# M% c1 a6 ?/ k* ]

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 ! L( Q% i+ d2 c6 d/ v3 o8 B

: T9 J T8 o0 M# m4 e/ } 执行一下命令看看 " R/ {. L" k+ F W6 V7 d

2 | y5 E q% t, ^' f' @

- F" v/ r0 [4 G6 Q7 B% W; X

+ }7 O2 u4 B, Z( k* _1 r% W

8 { C1 E t3 z8 [ , P }& m- m3 ]: V7 @* D2 `

---

/ }5 B* S9 j& h% e

Q9 o+ }# \! R6 N1 }6 ^( N

开了3389 ，直接加账号进去

( l0 H7 E0 M3 a# r X

---

0 a4 R. z0 A' b. E- d2 E, l G' Y$ L E

, r' b& }" Y: ^5 l3 R. H0 o- m3 p

4 S( e, \: a. z) a. q

1 X; B( p/ Q, H/ w# H 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

& _; k) R1 ]8 H

* W" J, x6 ^( P: i

---

9 W' r6 h8 }6 l+ @( G* ] " B" N; a0 q/ |8 I0 `( I/ ] w

' v$ R5 b8 p% H7 q7 i $ j5 J) ]8 e3 c4 V. e& j' N3 P6 V

, b; o @" G U& u# g$ m

h8 j- y# W( w2 L' L5 C 直接加个后门，

( p3 g" Y; K# |* }& Y$ t: ~/ c4 ]" @

3 a0 D, u2 S5 ]0 W2 I

# z6 J9 |0 v4 v+ G% T2 C

---

- | q1 q7 l' ?: x! q- b/ G7 P/ p, y $ N8 u" I/ m, B/ H- F( g

$ A/ Q9 X; L, t) D/ ]! H6 k

; ^( i0 F+ X5 U. [; q 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

, U- C3 F' z& u X7 j

2 、域环境下渗透搞定域内全部机器

, R/ |. U+ |+ w- R) [3 J

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 ) e& y7 p; x: a! c% J8 o/ K

$ l. d) E# r0 I0 d# y. m$ Z

---

! H2 M1 f! @2 {7 H! e ' f6 Z+ g, C" O1 T

% x1 c, W" V5 z+ w* W z- N7 L% c: P) L- f7 W, I

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 ! \$ k# l/ t R, C/ g- F

5 p+ D7 @ o- F& E% X+ @5 O

. J% L9 v' y& h- W0 ~

---

& U! ^% |7 N4 ]- J7 N: R 7 V- K0 g3 u3 s" a' C/ Z

% Y' j3 [( O* ?' y

% G0 O5 ^: {; P/ r/ x% L B# w$ I* S' S. u% U

0 H1 Q: Y& p; R

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

2 I6 p1 f6 D5 O) q

# [& q: P y2 p( M+ {9 u( T

---

. i+ N0 }% q! X9 n

7 ]1 P" q7 U2 s2 |

利用cluster 这个用户我们远程登录一下域服务器如图： 8 L! `9 H4 `# c) H j$ v

4 I# J% _- C) \7 J- ^

---

% }! v0 @. D: e1 |; B3 I* T* q " J: }* K9 i9 F1 t! l: x. B4 g

) v$ C" D/ e$ \4 `# v0 g 3 w: J; u) ?% y9 X# D8 R

l( Y, V4 @- t( k m; v6 }5 x

, f' z4 d. ?7 _* y$ b% N; Z 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： ( k) |# [9 d$ F" e7 r- G

---

. [* f$ Q i0 Z: z) ^( R2 M5 C

# K& ~- R& A7 s% E; p8 Q' V & J- B: v9 e* I2 u# n) u' ?

4 g% S1 y, ?" b& W5 C3 M

' H- S; B7 E: c% X( z0 p4 ]7 @: h! M 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

# R) h- n4 N7 M5 Z3 z7 I4 ~1 d

4 f+ K& G) {1 J9 Y) D

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping 0 b; V9 ~2 o h H7 y

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

% I3 G! G; E) o# W5 i

---

+ d- R: `6 B4 f+ h$ y. F d ; y6 Y; a F& f& f

+ `. D. U" s4 K7 y 9 ?, i& P9 c; I' }( F7 a

2 s2 w. P4 a9 H% V4 b6 x

! Y/ j8 F" N! M8 }" \) v 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

! T- q7 G7 r3 x( F/ c

---

$ q! x+ z$ v: o. _, h' [ ^) Q- w/ ^ I" [

9 L* T! I) J8 {2 B# s

# F- L. O Q' p' s

利用ms08067 成功溢出服务器，成功登录服务器 , s& p, F* @* ~& f. t6 T) }+ \/ R W

---

( U M' q( \1 L2 _3 ?

$ p( k8 o/ R/ d5 c5 f: m. w) h& H

6 S1 E! D9 A8 B9 f; p Q " X& {% Z [- X4 H7 V. H

) t n- }. t: ~1 f! \ 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

, ?! G. b% h8 t! R8 O# e' T 这样两个域我们就全部拿下了。 ) ^! k" Z* x8 G0 c1 P

- J7 ]3 ~. [ S+ A

3 、通过oa 系统入侵进服务器

9 n) X, T% |5 t$ Z9 q0 O. G Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

: y- E! g$ X) J# q- A* T

---

6 m' V! T5 C7 r" I( v$ t. C# |) | g6 |: ^' d, ^! A$ f

; a# a. S6 |0 a

M- q+ D2 z4 ? 0 h/ T) r8 T9 H/ E% H2 h

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 8 U" L: R$ V' n1 V7 E4 q y1 \

0 l! S$ W9 [/ E7 N" j# K9 O: `

8 u2 m, ]( L% }) D, A

---

8 x& G# _) w# s) @& ?

+ g P9 s' L% i: e7 M+ K

填写错误标记开扫结果如下 . A& Y- I5 }! X4 m' B

---

) I8 A. y! t& H# N4 O4 C7 z' i) y

: O e" g1 w6 Y: C* H

下面我们进OA

( O2 k2 R" G" ~; Q& h9 J* s

---

9 @, l& e( Y1 R" h: r& X

我们想办法拿webshell ，在一处上传地方上传jsp 马如图

- Y. \( R* `+ a, u9 l( Q

0 z9 T7 C7 V3 C* g! C+ _ " r5 O4 k- Y0 Q- y% W9 _

---

: P# L, M. }% K- \# \5 R: ^

1 \$ {) ?+ O. s/ ]

6 O. b( N7 `' T& _3 E2 d! i 1 j4 D$ ^; O% W( o' G' L

. M: i- X; G' a4 c

7 c8 r* s3 D. M$ }0 s T5 [6 p

$ ~8 E/ t, x: E, }; j& K 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

+ w' @; F7 Z) z% X8 S" k 4 、利用tomcat 提权进服务器 " I, J/ g" |2 \* M" L2 N

用nessus 扫描目标ip 发现如图 2 j. n/ ~" @0 Y

% p g u ?0 h) y! y) X& r! W

---

3 ]% ^3 U( [! G* ^9 L 8 N4 N; A* z% q, W" w& h& R! E

; m P0 s! o* k7 a U; v& }% _8 m : K. r/ L/ O5 M' C1 Y: {

& L- j9 q- s1 H5 Y0 z# K* g 登录如图： , U- B6 j" ~0 d% m% \$ s

, Q" q7 f4 ~' e* E0 c

2 e/ U* w# t# C7 v+ x5 v

---

0 A+ b8 l/ w1 e( C; G

3 C% Z( N$ U: ^; G) j

( B A4 v7 ]: g7 g0 U

找个上传的地方上传如图：

/ k/ h/ x# Q5 [4 K7 J

; S3 z _5 _' B+ i; Y2 J+ X1 V ; q- v, z0 Q, M0 T' L0 i

---

) `1 X4 L6 D) h: d

% V1 s/ E# W/ D$ V, X. C

" F) t% M! L# W5 Y2 Z

& q6 S1 ]& o( w5 j1 f$ Y2 u

4 u3 Q% B! v4 m. } 然后就是同样执行命令提权，过程不在写了

* x: E$ G' W- z% \* D# j

( S4 H& z8 X/ o5 j H, L/ P 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

首先测试ARP 嗅探如图

. ?: E& g8 f# B1 A

---

C2 i- k9 M& D! n% j) Z! q $ T g- D$ P4 H1 d

7 f! Q( ?# t5 A$ I$ z( Z7 C

测试结果如下图： ; L& V8 F$ K0 p" @! [$ k

- ?3 D; Y5 z$ s7 f * r4 H' e: O+ \

---

' G0 o; L+ w. R& v( S4 o( O

( G& Q& \- ]7 S2 q+ {% {

6 [; L4 J% I( }0 k# J( F( ~( w 7 w4 O( e6 e+ F( h% J

哈哈嗅探到的东西少是因为这个域下才有几台机器

3 U) {& g2 C+ `; F5 C3 u

下面我们测试DNS欺骗，如图： * p+ ^8 w9 X9 S' c

! t" h2 F* j( {# c4 I! F

---

& P8 Q" L) v2 f- C

% S/ x% v/ Z1 s# P* R: p9 v/ s) K

$ d( F8 T4 _( G0 r T _1 _& q, G8 w

10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

( @3 s, o1 w; B! y- s7 e, J

---

+ m. N6 Z0 ^0 h, W3 v , p! Q) T; k3 V9 A) h# J. T" [

% E$ Y% E9 E" l4 I! b/ R

2 F' P/ a2 M. H) o3 h

（注：欺骗这个过程由于我之前录制了教程，截图教程了） % Y5 C& Q& _! i+ }, G

$ N {1 g: ^. \4 X5 W! j0 i! z5 g% D 6 、成功入侵交换机 + }" H4 w1 p7 }- w( O. u

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 1 Y9 m; Y" Z' X. p. G' b

2 t0 c' j y% J6 n' ` i r 我们进服务器看看，插有福吧看着面熟吧 ! k& X3 ?9 J. ^. Y, O; V: |

+ e! G& q% B5 O8 ^0 K6 o

---

4 G) d* b( F6 ?' A6 v

, l+ O$ y0 `3 _9 E. S4 Z

7 g9 q& Q8 j' g8 D$ ]

3 f; K6 W7 w! |/ ~; e; W0 L+ y

. m$ H; I, z: l, Q! r+ t$ L2 X# J 装了思科交换机管理系统，我们继续看，有两个 管理员

+ P- L+ H, ]' B- G: h+ w

---

2 k A8 S7 X2 c: Y8 M* ~+ ~6 f! u' d

* Q% p8 Y- ?. z" K9 s2 t% H. H

8 `' s) G! R9 F; x

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 ; k6 |: S) N% ]/ J' N8 y) X

: R+ p3 M+ |, Y/ G% O' w

---

) d2 Y& U& W- i( f: O: [% _- H* @/ {8 |

, x& x) S, O! ]

0 t! e) Z6 \1 G" h/ P- B

8 C' Y2 u5 v( F

# ~- }' u( Z+ g( v 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： 0 z# y# @) S; I' b

! ?0 g$ O" b. ? ^3 C

---

/ H& N/ v. E x' E( _% T0 V1 `

8 B c7 I7 @+ k$ u$ G) \

. s U* k5 e1 G7 C x* [" J

* f: c: R }/ G. C7 B# u

点config ，必须写好对应的communuity string 值，如图： , _. X- \! W9 @0 M0 {; ` l

9 N. e+ F/ V D8 b4 S2 v9 R6 ]

---

( L+ }5 C3 j- w+ B

3 L& w4 \, s6 R2 ]: V# J! S6 R8 K' I

, w' `( A% `; e" b

远程登录看看，如图：

, |6 f% L" }- B2 M* |' p3 u2 O7 L

, j, d6 W5 L( Y

---

8 W) X |9 ^$ |/ ~4 B7 {4 }

/ R: A- e& h% o, t& Q' D8 O$ X

1 ?/ D5 l R, J4 v7 c

直接进入特权模式，以此类推搞了将近70 台交换机如图：

3 X9 J) ~1 u f0 p$ D! z

---

$ b/ Y6 @3 T! h3 D" ~5 q 6 H) i; k& _8 ^) C; L4 K' H9 s7 l

- F& t6 p- W% G, z

) q, ^' j) O$ k( ?

% D0 X* p6 ^, V. N& u5 d * M" n2 E% G2 v) v: O

6 A6 _) N7 c8 _: r# Z 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 4 L9 g' P1 {7 X

* `7 X' u1 M) ]# m9 E: a* n

7 D$ O7 W: O) s/ M' s 0 H" x+ M3 U# l, \; t

---

, o1 q# f$ Y+ @) M+ d9 G

v) H) B: y1 b5 [1 {* Q

2 A+ [, Z( z6 t

# e2 r/ n4 O! U1 s, a3 g 确实可以读取配置文件的。

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

: Q1 C& a( ^3 i8 j

" Z) y* t) A8 y9 ]' c: v6 f7 Q' V

---

4 c$ \! ]: \3 o( v8 C$ l6 D

! E3 j/ y% S7 F1 G! S ^ 1 A' {# d. [9 n9 M& `( Q0 w% \

. {- {& B% z, b6 U; E1 H ! l- y4 T' t3 A

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

( q" v9 Z$ Y! Q! s! d

, h4 Q) |: `( X5 m, Q- A 2 k0 ^. P; v1 w

---

- J2 c+ M6 e$ L1 p x 1 S, I- K x1 W5 M

4 W* [- j5 A8 [! F, e; t

上图千兆交换机管理系统。

m* O* A: a/ I+ i6 j; V

7 、入侵山石网关防火墙 0 G& O% t2 S) z: q

; ^* z l2 D, D/ x; \% U7 W

$ l7 E- C$ A' G& `6 o4 l 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

5 C+ D \$ G- T( c

---

' i) F+ A1 ~# [. W. R8 y4 W: S

+ N( d+ j+ j. C$ H( c) |

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： / x/ Y: O1 v) d8 ?$ o) [9 r: p7 c% m

& X( l. ]( [5 K* n6 S

3 R0 Z# u! s& @' Z" ]- j

---

) r( J$ W3 S0 i: S6 w# H! M: T$ x$ h

然后登陆网关如图：**

8 B, v4 h# I: V4 p

---

& ^+ O V8 U3 Z2 g. P b# e+ h5 i! x

9 v! V* Z$ c+ i/ s8 t9 W/ u 9 A6 q/ n" @# n( K

7 R% r: m9 p. U/ v& ~6 `1 X1 Y

7 j0 j0 p! s2 L# }

---

3 T0 G/ y6 c: B6 ]0 r

& X6 W6 }7 P. m. D

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** $ a+ l% c: l0 m

Q' U+ z; u3 Q+ f0 b( Z% E

: L) ^9 ^1 R% d; k 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 " N( s& \& V1 Y

6 i3 s, C- t) j4 E 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

/ E+ C2 E4 \5 {, W% b5 I

---

$ n* R8 Z( R: H1 ^: W3 b3 m8 D, A 6 S B5 U* C. ]

& q# O( X' |/ F) |

4 o* w5 U, @- y: a- b+ b% }

5 Y6 q6 g) \: y( ~4 b+ Z- o6 N# a3 ] 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

( ~5 ^, A, G( e$ Z" j( _" L

  * l" e: {$ q, e

, M: X. j! x1 b7 h

# U+ z1 A+ U- u

/ y; N3 w, [0 Q: ]$ x, m' P $ N: e3 y5 _9 A9 ~3 e! W9 g7 U1 O$ l