渗透测试某大型集团企业内网

admin

+ p! `8 `3 W/ a' c2 o

0 d( G. @* o3 ~! q! m o

& x4 r! O& a* C% ~ x 1、弱口令扫描提权进服务器 / [! _, `$ }; d- h0 P' r) B

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: : |# g- a" ]" M! B7 D$ t

/ n! z2 F8 k8 q% C9 _

---

" ^, d5 O2 Q' D

1 \& v" P( G1 e' B% [

2 b/ p, Q, z$ R/ q% X( a

! D, R6 v1 R0 j+ z- v, }$ s O

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

* P b: h2 J0 |8 S4 i5 j 执行一下命令看看

Q, K4 o, l2 o6 W. p _8 z

$ p4 j g; H! W3 L

$ Z1 N* e6 o! m T, M5 D

---

4 d# ~/ u5 P/ f: }) H$ k ( M1 `2 _. {' p i) E

* j; L) [2 @5 K

开了3389 ，直接加账号进去

# Y( f, Q* ^% n. B+ Z& j: A/ X

! w3 {2 N5 b/ z- A

---

9 f( p4 ]: \4 z* x

+ j4 S' Q; P. o" M: \

- w3 O( C% W# M3 W, r0 Z1 G

; K9 z! D& A, `; V- F) Z' e6 _0 N& q 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

% g- U5 l& I+ l9 V& L: U i) t

---

( i* s# p0 S" D) s. H" s& ?" U

' W( d- p- K! s7 E, w& ~7 E" e

8 D# o3 M0 w3 W7 a/ D) L! O

( F v) P! v* I7 s6 |: v( U

直接加个后门，

! d P" ]4 G. G, X. Z 0 |2 p2 X }1 Q* O# }% [8 C- ?# P

---

$ Y% u% ^( e9 P0 z L# ~

' o+ h1 \2 T) M6 }& R9 V8 u

2 G! V5 i: `& T5 ~* \4 X ^0 p 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

2 、域环境下渗透搞定域内全部机器

7 o- F5 i, @- T1 y7 }+ j

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

---

7 a1 B, N) V. f5 V( R& j& T& ?. X; C 9 z0 P1 J0 K* P: a& t" F

" n R( g2 A2 z9 u# k: u( d6 u

n) N5 k$ d/ d( R. e8 E

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

7 h6 G- {; U# r) m

---

9 e' w, C( Y) e

2 x+ t& ~* ]" o6 u

5 E8 V$ Y1 ]; o) }

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： * N' k4 z- e; i8 H3 i- b

. n+ |& H- c7 B! N( C/ c* |

---

- U( ^. t- l- D4 r9 @# M# J7 ]+ T

! H2 m: Q' E, q3 @ ) e) p$ D7 k$ A# M

利用cluster 这个用户我们远程登录一下域服务器如图：

9 r8 S. W: l2 ^% Q6 }

---

+ S; n b! G! K. R: w& J( v- N 7 J. N" K& z6 o& A [

6 K# d; ^2 C, }* G, w4 l6 o

?5 o* P& Q, @) Q

* c: X, a" b. g3 k* ` X* U! ~& f4 d 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

7 ?* C! R$ [6 A( P1 E

0 j7 o3 b4 I& ~& x* ]3 k* P8 c . e3 J0 D) S, u3 h' u, c

---

3 ^9 M, _; |& c, B

3 ~3 J. M4 S* ?2 g% E' s

( f+ v0 R* ~$ I+ Y5 r; y8 }# C

7 F5 D, `, D, K0 D7 e6 Y

* B" Y. X! }+ ]9 k0 ~' d! N0 n 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

7 E w0 |0 O+ {7 e

$ L b9 O! [' D9 a# d. d 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping 3 \9 F: F1 w" [. J) B" e6 |

; X( G6 P& |- U! N; L u0 M2 `

* ]$ x6 U h/ [; x( S blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

. @( \4 B, C9 H# D7 H+ K 9 M2 G7 s/ I$ Y9 K" y3 e* y) a- ]

---

( q+ ^1 g' [7 P/ \ {- U- l- R

) U. s) B4 m5 n/ E, s! M ! ~( A- a) C6 W5 y* Q

) I5 L) J% ~' e6 l: L) B, }

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 , _ k& G/ |) d0 c4 k

, F* s1 U& Q/ c5 @, G% j. T: r

% y: R, f. d: \" ~# O# n

---

% X. w( Z% k2 Y* i8 F2 x7 c

( g9 ]# |/ C6 O% _, n( W2 ?

, E e' {% m+ ^9 W

利用ms08067 成功溢出服务器，成功登录服务器 & W% f0 e1 d0 h/ r5 E7 \

" S, w4 g$ S6 D7 U

---

5 @1 j0 Z, x: Z9 b# Y

( [; ~2 q* F d9 S5 `! I

B5 M& O6 w' |$ r8 Z7 J8 G" Q 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen # M- ?0 {1 i4 o* W" P4 G4 X! } R- ~6 \

9 b2 h1 G4 g7 c3 q/ Y7 Q

这样两个域我们就全部拿下了。

: i( s D$ x( c* v: Z. B. A& ^. t 3 、通过oa 系统入侵进服务器

$ a0 x% A- f9 @+ z2 I

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 ( e9 d+ F4 i/ A

6 @5 ?8 [7 Z! E5 _. Y* q5 H, Z

( e& j4 o! A& Y9 c% t % x7 b( j: d, {* A7 c6 |8 m8 A, Z5 `

---

, @( E; S( I* U. k# V/ {" H6 H

$ M( \6 ^4 {$ V6 _' H

& l) q& Q" O' v# ?1 g$ a

2 B# `$ e3 b! Y: b 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 2 G, g) D4 r$ Q0 N6 t: V1 Z

- A# h: {+ B$ G( ` K( a. T5 R

---

9 D; c3 q2 \9 q& k; `

" p) C3 z8 B5 X4 z% v8 T

% W0 N& t/ S3 u4 W1 \) X% u

+ q3 c" u( H" N) c8 f* g$ Z8 _ 填写错误标记开扫结果如下

---

" e* {) w! R6 Q4 N3 N

) p( R# E. O8 s3 c( m 下面我们进OA . j" c1 _; P6 |9 `- R

8 c) M. R: ]5 u- U! Y2 b+ N

! B4 O1 z* O# I8 ]4 p

---

5 d4 M$ L: ]/ S4 ~4 Z! x

' t% r+ B, F6 l6 y: S. j

" m7 u! R9 m8 I$ [ 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

: o0 B: T8 G* k

% _+ `- L% u2 @& K1 u

---

6 c6 `. }5 P% O, ]$ `

# T0 B- G( a- n1 u, G9 b

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 : u% |0 b3 O" _' g) r1 r! H

4 、利用tomcat 提权进服务器

用nessus 扫描目标ip 发现如图 ) r2 J6 w* W: f7 J `1 D

/ y8 k& T9 O$ r 0 b" G: G2 O4 j' l

---

, \$ z+ C5 H: ^, U `$ Z/ L

" a$ @/ I. J) s& k. u3 F

) o; {2 J2 n1 i2 Z _

5 \8 F! V% c: [0 S 登录如图：

( t( d7 x3 A5 g" a- ^" O- }" b

* K5 f, w6 z$ g( q' p 1 u$ K1 E; \4 f4 j( @# K$ X

---

- x( S# b9 T3 J2 f* G" c $ S2 R& I- B; o. t! |

0 n! M! }4 r$ V5 b9 T, p2 s" K

) c7 c6 f- R" v/ E( D* N

, N. G+ i/ [! ^( D5 x' ]) y 找个上传的地方上传如图：

- C" Y3 V; y* g9 L9 d# A e

; P6 k2 j) i9 x$ I

---

; _' _1 N- ] \ o3 H+ A$ r+ S- ` * S6 C5 e( ]8 @% |5 [2 ?5 j

" m3 }" o4 W3 `- Y2 w8 T3 o& v

; k& v( M5 p8 I* |

' b' E! l5 v( J0 W3 b# ~

8 C2 `1 ~: o2 @% I3 ^1 Z. b 然后就是同样执行命令提权，过程不在写了

. ~# P' b* i& O6 i0 K8 }8 A4 x/ ?

" |+ @$ S4 n2 k4 V ^0 W& v 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 : l: p( Q4 i' f( f3 }6 G

2 o8 t% d* q2 Q

首先测试ARP 嗅探如图

7 K- @! l0 S/ Z: P0 }+ Q' _, r

7 N; w- w' t/ a/ z& k0 K1 I8 k* u

---

: C2 ^/ r3 ?4 T. q" f ) L) X) a9 g9 P( @! _0 }% ?, ^ ]9 I3 g

( a2 A# v* O K/ H9 K2 E

0 }( u1 m) h8 |6 {+ g

6 a8 R) {3 `8 X& ?! ~ 测试结果如下图：

& t; b" K; ~# ~8 w; G, K

---

* H3 j, Q9 y6 R7 r8 {# J, O# Q- j6 o i4 o! R2 d% w8 A/ H

. Q3 i/ u R! ~1 B5 q

/ `( Y+ v& Z5 `: a1 k" a0 |" Q

4 f7 v1 B3 @6 E+ H) e s 哈哈嗅探到的东西少是因为这个域下才有几台机器 , N8 ~. d5 d3 b8 K# T0 J

( S+ C0 E' W0 E H: X 下面我们测试DNS欺骗，如图： ~. z0 N8 \, z, } q W' i

t8 A& ]6 M' B' m! ^: t

---

# d5 ^( h; N h R) T; _

# T. \0 G. i! k! o6 t+ X/ ~

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： $ y; C# V* i5 t. I6 ?# d3 u

6 q5 Y! m# g" l$ v/ x6 A

---

! z/ V4 H7 k& L/ l5 |+ w0 f ! [+ S* N7 A5 f4 s

7 }0 [& Q' W+ k# |' `* b

. W: m. K) E! Y4 m1 p

. J7 U( L2 g( U" R; P

% D# m) g8 M. a# X6 l （注：欺骗这个过程由于我之前录制了教程，截图教程了） 6 v- ?. T O3 W/ e

( m0 S0 d* K0 N N% U# A4 L 6 、成功入侵交换机 4 b3 O- G+ |& F8 V% J; f

( v8 J# K; a! g) S) m# [0 H

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 8 { D5 K$ O, B& ]3 X

}8 X' x3 S6 B5 \$ N

我们进服务器看看，插有福吧看着面熟吧 $ X: L0 `6 u" d j% m( W) S' ]

/ E N$ `" x; M) t4 t) X: [4 ~

---

4 x+ d9 X8 S* J$ V

6 E9 V s R) t8 |0 |) R9 T

! s1 w6 n. k. R8 i1 O

装了思科交换机管理系统，我们继续看，有两个 管理员 ( g5 k& q, _) O5 d

3 g6 K' i/ M( G g+ [

5 U/ C4 w7 `6 w" w! w & I. F0 ~, z6 x. G. D

---

( }: F' [1 M3 s8 L9 Z* I

/ l3 L, J& [. b. V

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 1 \. x- F+ c4 P$ t. V+ P4 Y3 A4 b

% Y F; A6 S+ }6 f2 W- T9 E

---

5 l5 L! w& ?- O0 G$ P/ Q5 k: ^ " u& q" {, B& X2 t- F+ x/ u3 q

. ^; e1 D. ]5 K: @6 q' w

6 |) I' U; y8 K

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

/ e/ |6 L- D6 q) Y

---

6 y3 }/ o* S7 }; T! y

# V& \4 U! K0 V

点config ，必须写好对应的communuity string 值，如图：

4 R# H; b6 j+ o* E

# g+ ~; U3 m9 q( _' a$ ?

---

. b4 u' N3 q7 C; `) a

& [9 W# i- n1 b6 h. R, W: z' C

9 }. Z1 N0 g7 i& x 远程登录看看，如图：

---

* i; F! t; ~. ~5 N

直接进入特权模式，以此类推搞了将近70 台交换机如图：

# i$ K9 v6 J& D9 e9 E3 {! u

; r- Z7 W* s( a5 F

---

; g+ z( {3 n* `& B ; |' W. l! c. Z; D

1 Y0 k: a [, V7 h' I. r# N

: d' f0 [7 w( b8 t+ E

8 y2 R5 C1 u9 L) G$ E8 Y

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** & a# w ?* ~! Y

---

$ o$ C: O( U8 l; q$ [& }; ?" O9 V

, X, c2 U/ d! ~5 Z8 ^& t

* \1 E3 y/ f. d6 K; I2 ^7 v

确实可以读取配置文件的。

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 # h6 @4 \) H0 @( J& Q, k t

6 F4 N8 u5 p' K# i8 A4 ]8 H' b

6 A5 N0 k0 i8 U: t2 d 1 [- E" H7 X/ G

---

# {# ]6 c8 W, J& F1 L2 U

# P/ s2 v; U7 g+ e( |, Y/ s! w

6 K2 M# M3 ?2 N0 A 1 ?; X* }1 B- _0 ^- C+ |

, O! a1 S' E* X

- ], G' K5 h8 K, I2 r 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

7 w h) R/ l1 a& k

---

' \5 G% E' G! k3 }0 H

' P3 q. E7 N+ d: u

8 _5 z' @+ \) L, h) ^ 上图千兆交换机管理系统。

7 、入侵山石网关防火墙

( N0 y) L! t, q" V6 o

1 t3 ~& }& C: m+ G4 `3 y 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

) `$ I; g L& g8 E! p+ @

0 T1 p$ R4 l4 S5 x' S5 I / n' l& }7 {4 b3 e1 P2 {7 ?; r# g

---

/ i* D% X6 _0 G( r & Y, e* E* N) |! q* L0 E8 |5 f

' D( R" F7 D5 ^6 ?

, Z3 [+ @: G0 X5 W2 K8 n1 K

) u# r* V/ ^- B) S

7 E3 n; m$ z' ]& c4 [1 M. P4 S 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 4 `, p6 f" @& F1 g

---

, j. w5 u9 ~8 y( j. v3 O4 m

9 _# M6 M R% O/ d9 m8 a$ k" G& y

然后登陆网关如图：** 2 x* T5 N# i& \- ^9 h4 S

1 u* I/ r8 S7 \6 t1 h

---

$ [$ g( y8 K9 V% C( E ' v; g& `* J3 X9 |# K, r$ @

0 H( B* G* W m3 D# @. U

6 Z/ l0 @7 T/ V/ b, n0 M7 |2 e

7 S8 v, P5 g! {5 _ h

---

8 l4 G9 r2 Q/ h/ `* T- I9 f

. w2 `6 h5 l% n/ X 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

# h& ]# z2 ~) \, O; p5 T' B

---

3 O/ x/ E9 ^! q0 k( ]- f$ u

6 d2 h/ o* T1 f6 w

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

# j! Y) x3 ^1 P0 T# H

  " |4 o6 T6 E% {" q B

8 l2 b* J# P7 ]* `

" [5 X& J7 m/ a5 O& N* d% S