! D5 }0 r+ y( x# U. ?
' R3 ^" a6 D# T! n& r8 [" C7 b( p4 x4 L4 `
1 Q+ U+ C1 `+ U
2 w! P9 b i) p
1 、弱口令扫描提权进服务器 & B1 @, A- g" p. `- k& D
, R3 h2 ]6 X9 B; P
6 p w* p5 Q- |3 H 首先 ipconfig 自己的 ip 为 10.10.12.** ，得知要扫描的网段为 10.10.0.1-10.10.19.555 ，楼层总共为 19 层，所以为 19 ，扫描结果如下 :
% B7 S. b/ J; L) I1 C0 ~
, z$ x' b' H# `
0 S b& G6 H, u + G1 O) w' g9 a
# S$ K" K! E# @. t" o' V% L+ P
) f; l1 q& b! ^/ H' x) y
7 R& [ m7 T/ _& h( K: f6 m7 `
% }2 S' W/ ~- @! n6 }1 Y! ? 7 T2 a& |( s, ?) R4 E/ C
8 h/ e- e4 G4 i: U( E! a- O
. [' A4 Z4 ]& |6 l8 l) I l$ z" F0 t5 B) a$ k' l( f
; Y5 F. q, m$ H! f; |
. L/ F9 r, e3 V! J4 v: G2 I; S ipc 弱口令的就不截登录图了，我们看 mssql 弱口令，先看 10.10.9.1 ， sa 密码为空我们执行 & q* u3 k' j( P1 f- u1 q6 x: y
( V3 f0 E! x4 F& |. A/ Y
7 W. {3 N& V" `5 d 执行一下命令看看 " w" k) {* F* s+ t
# b' c. e" Z. @! O# z* S
; j* u2 R8 F1 ~9 p3 M % B7 M! }- G0 m5 ~
, c1 i5 D; r- k- W
) {3 H: ]& r# E/ W4 _ 1 d* {4 I+ ~- J
' T v8 ^* q7 C+ [* p4 b: N: w
E+ I- D* H; d2 r
- X+ W3 C# Z d6 ^; q ' V; l) {# c4 l( H9 S* U" N
开了 3389 ，直接加账号进去 0 i$ `# P6 w* D1 f% B. H
$ C' x6 z e4 i5 ]. v
' v1 l1 C0 d% k' A$ P# h7 G a
; w" J8 H9 I4 m# \8 e2 @8 a# { 4 d& Y" J" G" E x
: A: E' c( }! Y" t2 }- h' e
. c, S- x+ y4 ^) z5 W' T1 J
0 V% s; d& `6 S7 W; U$ M # A( i7 C8 @7 c1 v. T- s( C
9 i* A n" w9 y
+ q1 n9 P4 R ]4 D f; M- r 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 y9 p6 e. S( ~0 T, [ F) Q! x
/ O6 g/ A# q) t+ E0 p" Q, O
+ {, W+ r% @& ? `# c
- Y: J: Y6 z _3 y / s9 ~8 I4 G. l, b( o
2 I: h% U+ {7 t- f+ m1 T
3 ]* l! g) R b# j
5 x( l9 B& b+ O3 z# ` 7 w5 Y- ]/ L. ~5 l% M% J
0 P2 V5 [# I" b6 N
; B( o$ A3 I/ A$ @! x 直接加个后门， 4 r( H X* c5 J7 ]
! j. A' q: H9 v; w& K . [9 b& D X- w. l; ^3 v* a% X
, B x1 {) ]) W4 [
" l( T1 M+ V2 [3 ]
, h; \6 i. I( {- |+ r
9 ], k: H# g2 g+ h p
& Q V/ S2 o3 W: s- j. J % L t1 j! H; e) u9 l9 R( \
, j$ \5 Z- |: `0 ?* @% q
0 j9 R2 V9 k4 k2 n0 Y, G; O 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 , g& R4 T* d8 _/ c1 n2 [
1 g- [" T5 Z4 a3 U% Z
* a" E# M- q8 _; G
2 、域环境下渗透 搞定域内全部机器 4 F4 Z# j B' o( K0 N, g% k
6 O' P" E b7 r8 w, k" P% @1 Z
D0 j) M0 I! A, a
经测试 10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行 ipconfig /all 得知 - c$ W N! l4 n* {$ @6 O
2 p6 W0 C, o: M8 K
) S8 C4 E# s) J2 M1 ^8 E/ ~ # e1 g4 s, O( @. R; e7 y) V
x9 [4 h2 P/ o( l
$ N6 S j( r1 ^0 \+ V, ^/ \
! u4 N) R. n3 M5 V) ~8 q. o: C
( Q+ P- L+ h. M8 Y9 J) ] 6 _$ W7 z6 b9 n) F% v4 _8 {
) W( d+ A; f1 |5 q- P# v' m 9 r4 ^$ l8 H: s; c/ A3 w
当前域为 fsll.com ， ping 一下 fsll.com 得知域服务器 iP 为 10.10.1.36 ，执行命令 net user /domain 如图 5 G5 a9 z5 k+ k/ [5 Z$ X* I
* _# `) e! T2 n$ x) s1 v
" ?" n$ X. O T6 u6 F3 Y! c ; g/ [1 w' ^& j0 n$ T
4 R0 n' `) W4 e Y5 _+ q6 q$ ~# Z
/ n7 U- d, h* g5 H4 s- x
6 _; s" V; r! _6 R: V
9 a2 z: R3 D: h4 _. {5 c
/ G" G# M+ [4 C$ c/ \4 ?+ J
2 H d5 P b" K( M: M ' H- m1 G2 o: s3 Z' ]' ?7 L
我们需要拿下域服务器，我们的思路是抓 hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行 PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c c:\s.exe ，这句命令的意思是利用当前控制的服务器抓取域服务器 ip 的 hash,10.10.1.36 为域服务器，如图： 3 _% I& U% p/ U( F- A1 m0 O2 L) D
6 \/ }" e6 ?: y1 v5 f, W
- r! X3 K0 i5 i4 X( G( [ 9 N) k+ P0 e: j7 j- l& s1 J
- z1 U: T. J k
4 ]' e" ~9 M* H! ^: h
$ C3 B6 O R1 `5 M5 z 3 y; z" t- ? m4 n) E1 ?
0 \2 F, {: ?" G/ w! g% w* Y8 N' O9 I
. i* R( @( h4 U7 A% E4 d4 E 7 t8 [4 L1 {. u# J4 X
利用 cluster 这个用户我们远程登录一下域服务器如图： 1 e, ^3 G- w" ]$ n, W
/ k3 T; e7 u7 W- M& y8 t0 ^( j+ g
8 i4 w F& q: [/ V0 j" Q. q
9 s" |7 J! p, N7 R5 C: h
3 P* U. q9 P: e- p& C. |
% T8 B2 z3 s( \6 q
/ k, B+ z* q B# Q. \1 E + h5 |& N6 w/ J) p3 \ P
) m7 z8 E# q0 y0 K
: T$ u1 u" Z5 e: E1 C: p* p1 B, {
# V# l' _9 s2 u+ G2 F9 v" q+ e 尽管我们抓的不是 administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了 administrator 的密码如图： 0 @" O; O1 V0 m/ X) m
w$ O; s0 n7 g, _
3 |" f4 v" \8 A* h! ]) O2 r1 T ( V7 A5 E4 E/ X3 j. E B$ y; J
7 U6 L5 h+ R- W8 I. ~! D. q; d6 y* L 9 f6 j% Y7 d$ Q7 [. }. L
- l6 P; C S- S9 f5 J4 t
0 b+ q! v5 H& n% Z9 @
! c4 M# A2 K) P h) y
" o% d& k" l' `/ t7 a
3 }' j4 n" A$ I- N: B 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓 hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： + t: ]' h% F; ~) M5 L
- C+ U3 B, v7 | ( N3 [/ s6 e( `& ^5 m
0 k+ L9 v; \0 w9 f+ Z
# p5 X" ?8 n1 v+ o6 A k
1 q4 c/ N% p! g9 D8 E 域下有好几台服务器，我们可以 ping 一下 ip ，这里只 ping 一台， ping 8 u& ^! }" u) B/ \9 a3 E
# z( {$ Y# k$ |+ Z7 C
, Z. j. m7 `( c* X blade9 得知 iP 为 10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： 5 O: R, E) @3 W1 v2 t2 }
) ?4 m/ z9 s" k
( k) H( L4 p/ \: R ; q7 ?& A7 J& x4 K1 ~! L
/ Z* X. ^3 j4 U* V- Q6 b
- Z; T/ Q7 Z5 F/ X; e4 E
, T5 `; P; J, {& e2 E% C , C% \9 L1 [7 [- ^
% n8 a( T* ?& ~. R
9 U: H8 `- \4 X5 Y
% G) T, H& j5 g+ c* w 经过的提前扫描，服务器主要集中到 10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有 10.13.50.X 段，经扫描 10.13.50.101 开了 3389 ，我用 nessus 扫描如下图 * j7 S, k6 b* h6 l' }6 q, Z& e
! w4 M5 m; _5 y6 E1 N7 L: x0 _
( h2 l' J; E! \& W/ _7 T2 g# a 6 V: A, C& f2 V. Q0 `
' t0 _! F/ Z: u9 C ' h3 t9 }% {1 `6 S
7 X7 E, O$ m$ R ; w% U$ x4 H6 _: w) A: T r2 [
2 f+ ]; \5 L2 |, T: |& b8 E: E; ~& A
7 R+ M; t5 g# X/ \* k
" g' A9 P0 [3 r& Y" _ 利用 ms08067 成功溢出服务器，成功登录服务器 1 X6 p* Z; C, K& v [8 K/ ?
4 h: u" b5 ~) s9 E / |# Q' j1 H0 j2 }+ Y" ]& v3 T' A
3 s# C9 n' L+ w$ T* v) p/ G0 t
6 O' D+ ]0 U( e( {# L$ F; D
2 D$ J/ z3 p# j5 t. M% Y X2 G! [
0 x9 u7 L; z# P7 o7 R5 p, L; e4 `6 H L + Q2 Q; Q! H3 |' j
4 b0 z8 e- b( o/ Q
! t8 z% q$ J7 n6 Z- R7 T5 w* V' {
& v4 S9 [$ _4 h8 ]
我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓 hash 得知 administrator 密码为 zydlasen 8 _' {: ], h, x% i
/ G% r' J: g9 W9 a9 M- U5 x
# E% ^6 T" N! D/ O: O
这样两个域我们就全部拿下了。 4 ?4 r `5 I0 Z
1 L3 o M3 G# t Z4 a% X
9 N1 }' d9 L1 E$ j- L5 X; n 3 、通过 oa 系统入侵 进服务器 ( |: @) m- L; \* |
) J, A* T& h* f0 r
2 z& I0 D" f+ m( ` Oa 系统的地址是 http://10.10.1.21:8060/oa/login.vm 如图 / G: } \8 i8 u4 }3 r$ z
2 g9 m$ S7 p$ B F8 `+ S# g7 P 7 V4 O' T P! g2 s7 Y3 {9 H
. Q* i$ I8 x k& A: G: @6 X : \: p; P- I$ ^1 M( ?) q# h9 V 4 h7 H3 C3 h0 }
, C1 ^! d* @% _$ f, S
" V8 R# b6 G4 B7 n- C" i
# m& q7 Z" M: u# l! a, [
5 s( \8 d6 ~% i8 ~4 R& W
5 N4 j9 j9 G+ \* e4 r) A2 v, g+ d 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 . Z7 V8 i5 m! m6 x' L+ N
& B' p- t5 l! E' C3 w3 h7 [1 F ( ~7 E, K% ]$ K
/ J' T% O; ~% {4 s9 E # Y0 K* t9 E5 Q % c1 r: g! @6 A. C1 u7 V
/ ^! z+ x. F: c7 h+ V0 ]
0 c. j5 f* m$ A% F- a, h4 v1 X- g, b
4 i2 M0 [/ u' D8 \" B
3 K3 s& O" @9 M$ Q# q1 h
0 Z) _7 B1 _2 Y$ C0 n3 A0 P9 v
填写错误标记开扫结果如下 . ~) Y+ ?% f; g- n$ k' p% G+ v( x
6 g! m9 n2 N5 x& F 6 L: M' t% B6 t4 O# z l
# ^; o( c- r# v; o
% ?/ @6 I5 W+ z @
) h6 p( t" D" l4 B, U+ z
& P' h6 {" F# A: y 5 @& ?, E, x+ O v- K, V
; B1 d! s, a& ]" C+ [' p+ O$ k1 P. K
4 L, W- n3 n" }. P* p3 C
$ E" K8 I9 e% w( n 下面我们进 OA 4 j" {- ]9 U2 T/ F
& D3 J* b9 h* x6 X 7 L: B+ v x) N7 R% d9 L
7 S1 W8 m% \3 F6 z ! {: [; D& v& P7 t2 ~ 7 ?9 `2 ]! o, v8 q- s% w
. D+ ^5 k0 H$ s1 k; @/ H : U& M6 R- ^4 }' o* L$ t' k7 R
& l \5 V2 D) P5 n5 `0 T
0 B& T# k9 E! w: T: ? N
4 m: ^* H8 T3 M( X6 R9 m$ B 我们想办法拿 webshell ，在一处上传地方上传 jsp 马如图 . Y' @- V' z9 w; O8 R- C) A
7 L, g, X- c) h8 u" \
& [% G# y3 V( W; J, |% u2 i& z# q' y
/ Q0 e% b* m0 N/ E 5 l' g" T4 @! x# l
9 j8 Z Z6 M; e5 H1 A
2 G- J( ?0 t6 R ' Z3 H( R. W" L" j
1 l- K3 g H) s: W# M% m
0 `" s3 {! N7 Q
6 f( x; b# p f0 L0 v
, X6 r- G9 T; b- \3 ^2 m# E7 p
7 x$ i( i/ ?6 ]1 i6 L9 V
( ~' w0 l2 o2 p& l: U- H1 ? 利用 jsp 的大马同样提权 ok ，哈哈其实这台服务器之前已经拿好了 " f6 w" [% C h
& L$ A/ e/ F2 [; u4 e, e+ N
3 H; O: n: a, |. O
4 、利用 tomcat 提权进服务器 8 b2 o3 a: ~/ W) _ ~5 o
* {* Y" r) Q% x4 g 6 f- Q5 w" }* Y- q
用 nessus 扫描目标 ip 发现如图 4 K5 c8 L2 x/ v+ n3 c; D
1 f9 Z- W2 o% F. {
; r, B' i9 y; k, e
, P6 h$ V# p0 e) f$ B
. j. J3 {7 R! N2 L( W4 J
3 X. r" o# ?& B* R2 L) S7 }
% O7 s5 h! d G8 t: ~# m( u
+ j8 o% m: g B$ } 2 U) f, M! k! T, J
* \3 S* q7 r8 b8 L# P4 C* F
9 ]- |. G4 t# ]) S
登录如图： ! U9 p; V# Q% d/ {" K7 B" p3 n
+ U. p" b8 ^ D& g% v4 Z
/ ]" f9 l, h; G" @* ^/ Z% k) m2 G
' {4 H7 X4 T1 j; o+ p8 a3 b 1 l4 H* f7 X9 }1 E$ `5 y, H+ K 7 g1 j4 }, G1 h1 t* ?. X; Q+ o
6 k& S& Z' F1 E2 s; O
; g* L2 ]* a4 B4 V9 k
6 j+ H, S3 E8 t+ v; G+ |* c( K
. Z9 p! B, w' M) @1 Z7 y) V( z
( x+ ~7 v/ _ u8 E7 U 找个上传的地方上传如图： 0 g- i9 @' m. c4 M: r* \9 X
; F3 c& C+ X7 X4 P9 [: f
& I! S" u" |& d! ]$ Q& m * y2 O8 \- U5 A# I5 d
' H9 W6 n- d ]
9 }) B6 m. H# a$ _
3 P& h4 f( m0 B c0 a+ k( c
0 U2 g3 l* O _: m ; g0 p( z# o5 T/ r
. B8 m* p/ t `. p5 f $ u1 t" t5 |/ {& U& [6 B
然后就是同样执行命令提权，过程不在写了 ; n" N- f& G: n* L6 e8 J9 o
; c" e1 Q9 P6 t ! v4 L2 v5 K+ W$ b
5 、利用 cain 对局域网进行 ARP 嗅探和 DNS 欺骗 2 ]% z# A1 g. g+ n0 l0 o3 a
2 {. V7 w0 f( i" ~* \! l' ]/ t
) o# m5 G+ s! T+ L- I 首先测试 ARP 嗅探如图 % }% @8 A6 X1 R/ V6 N* E, h
5 O9 i# c$ b" G. `, v! s3 \
6 F. n: `2 x6 L
4 g, v/ Y0 \7 [1 w5 [: O$ K! a' y! m
) ]. Y- A& X' B6 _& S, D& ?
8 ^1 ], t% E6 o2 P
2 g- O: ?+ E7 F# {- i; `
) t* D( B% T4 {
3 f: P# F$ e3 Y/ V* `
/ l9 a0 x" K4 o
) ?3 n& K+ b0 ~* w! p. ~7 Y 测试结果如下图： $ q, b$ p! z s0 L: M
# U5 i* R e. l5 Q+ x" F# W
0 m9 I. a& Z# u) w% f
8 T1 m) h+ Q9 y3 |1 v $ l! |8 K: a4 X
7 i+ o/ a- M& ~, A
( i9 p* S6 c$ o5 f
2 W @6 @+ c: g! w, ^9 o , T$ f/ v% C& N: F1 c
+ [1 \7 \9 }$ C) t: n+ H % T$ G! m' g0 e
哈哈嗅探到的东西少是因为这个域下才有几台机器 ( l' |1 F, l8 j/ p3 l. c" G
( w" L$ J! Q( H- N+ e3 S+ D
& R; o. r- j) F: G
下面我们测试 DNS 欺骗，如图： 1 o$ c. v, L- r+ ?# ~
3 r" [, l- V9 ?
8 \4 s' ^; @2 S7 r$ {8 L4 k) Y; F
# K# y% W3 n9 N- t2 W* [4 |, Z / h4 {: _5 L9 w8 Y) C: {+ I 8 X$ @& h& o5 w9 H, y6 w( ^0 C0 t
8 B, p W" c) [5 Z, a( `
, R) l( ?- J |6 K1 O, T
) t( M2 t& o& U9 y* V* T
- V" X4 {$ {' n% v% X
" c1 f* `: v$ _2 W2 e" X# W9 ?& O 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： , x( W) v4 W+ P3 r8 Z$ |
! D4 E. ]5 w# B - p" V9 `$ t* s9 h7 K
/ ^2 M! }% I3 G, u2 o
( u7 D7 h6 ^9 P) F1 t - C+ `+ X, {' n, c
) R6 u9 r" @1 U% _9 h& z2 R& h
" c: Y0 M+ S# v5 V- t 2 j( h3 E( c% k7 F; Z0 L
8 s0 ]0 M0 D7 b% x) w
# Q+ T; O: V% p- t! q& Q
（注：欺骗这个过程由于我之前录制了教程，截图教程了） * y: D( o& r3 e4 l& \& l
+ Q' C' G; Z4 S8 K# U4 t 1 |: ~. k# M0 d% J2 x
6 、成功入侵交换机 5 [ ?9 C9 q. ]: V8 g- u, X
* {- v. n7 A7 p1 B# E9 { " f/ e9 w# T, g( K
我在扫描 10.10.0. 段的时候发现有个 3389 好可疑地址是 10.10.0.65 ，经过 nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓 hash 得到这台服务器的密码为 lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 ' P$ r# n/ I: B4 i
' O3 Z8 O0 r2 z
' t, }& i" z/ R3 L% v+ _% b1 s 我们进服务器看看，插有福吧看着面熟吧 # q7 X. P* F" X
! [: c' _1 M+ `6 v3 o& N/ i4 g
# F8 V) w5 J2 [: t
% k% n" l0 U: M+ e3 n% \1 L$ Z" n & ]% I, D2 d- c2 W6 t
9 V* H4 \ F0 r7 r7 f# _! s
" ^+ r2 U+ J- B. b7 ^7 l4 N
`& c( q( Y8 G- X: r, t 2 p! w0 K; L! C6 W" n% m( L7 v0 X; F
4 P1 S9 m. l" |; x8 k" b
8 R1 a; D. f1 r4 ?6 k0 e* z: r 装了思科交换机管理系统，我们继续看，有两个 管理员 ! x; h" |- }1 c: Y
; V! u0 d0 N! b4 T3 k- x8 t8 ~+ C
. ~( I: @* E/ _0 g 1 |5 v, [. Y7 Q0 K- o+ z1 Y
; Q8 D2 H/ R& b6 L* {4 N% x, X4 t 4 u. C1 s A" S5 Q
8 }* p9 F0 u5 i1 \0 S- i9 P! _, J8 j
# y" S+ @; W l2 u7 D: {3 q8 l/ T1 d
7 ?& ^4 B: _+ U5 K- L
2 Y3 V* O9 T+ C+ _4 U0 P) x8 h1 B
8 U d& o2 X! b R2 r3 C# P3 Q6 q 这程序功能老强大了，可以直接配置个管理员登陆 N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 * g( I/ [" r; T! Y
7 W- N7 p9 ~% u# ^2 u3 [
$ `8 ?, p0 K6 T5 K; \+ ?- Y
, r4 y$ h) O7 ~! X& l & a/ E( Y+ n" c' z5 @' l 1 F3 v. L' h5 q! l3 F! {& f6 p
& _$ U- v* Z4 R7 K3 V- ]
0 r) Y) o& L; X& W# [
* Y2 z. I% O& q
, I- F j1 N/ s
- K( p; K6 S7 e, ~5 X1 |- I2 k7 k 172.16.4.1,172.16.20.1 密码分别为： @lasenjjz ， @lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用 communuity string 读取，得知已知的值为 lasenjtw * ，下面我们利用 IP Network Browser 读取配置文件如图： ' Y! l3 W7 Z. K
# T7 o" O$ j- Q R
6 _! w* I- g4 m
! k0 i9 f4 A2 l: v # q. V2 w7 w; y1 y; ~* I q
( p: e' i8 G, k5 I0 d. m. z" \4 {; s
' ~7 P; V7 M1 t, k9 J# H: E
. @* y4 p; r+ W3 C1 X2 D% a 7 b( P* t8 Z" Y J* T
( t1 v, K T# M4 _1 p
3 K9 t: ]3 P: C8 S9 p 点 config ，必须写好对应的 communuity string 值，如图： 0 Z3 S& m4 ?8 R0 R) K8 c* X8 w/ b
2 g4 {' O/ l N& b+ H+ h' o
( v, x) v" a' L( S0 P
. K }1 J4 L" B6 Q0 u3 I/ O , Z. D% `3 H J! Q
" r% ]! e1 R% d, O
' @3 B/ ^! f5 m; q* k0 M5 E
) }7 G+ L( B& j
, S+ j* X+ L) R
# ]; X6 d$ C+ N; D9 ?' J- J
4 G0 D/ q. u' p3 x 远程登录看看，如图： . u6 a; e0 U6 R1 q o
. V# Z/ I& Q* s# t' V& L ; H$ |, q$ ^2 F% t9 _5 s' Z! G0 s
, E: a S# u4 `8 \ ! Z0 N4 [/ z) o1 q& n- E9 c
! g7 [2 g9 H. _1 P6 ^ R( h) [( S
! s9 S/ q; Y# X9 _ M
: E7 `2 p% j2 D4 C0 b9 D
! a+ U( d! R( y' R
0 i z5 C' f4 o2 d$ V, V
_, V6 k# l% Q$ k; b 直接进入特权模式，以此类推搞了将近 70 台交换机如图： - N' U1 m* k: `# I* n& T. m
" r* }- C* q( O9 Q; B
9 h7 f. R. A9 H5 w ` t% C # F9 a5 V: R$ F. I! K- z
0 n- B9 K! w1 H9 [( B) ~# }5 z4 { 6 r# m2 ^! n: x! U9 |
) X" r3 M0 g' `
+ q' Y) {. n' T1 O7 i
, j/ h" ]# N0 B% X# ?
/ }% [5 K( p0 \
( l2 Z. J8 B, r 8 r$ Q* j3 ~0 z9 |" p# f. v
5 j' _) {/ d; v# c# K & E$ v4 I. Q& t3 M( f1 o# h* x
总结交换机的渗透这块，主要是拿到了 cisco 交换机的管理系统直接查看特权密码和直接用 communuity string 读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠 nessus 扫描了，只要是 public 权限就能读取配置文件了，之前扫描到一个 nessus 的结果为 public ，这里上一张图， ** ' X$ F |7 Z9 K- E! z
/ x' n3 f( {( z
# [4 A& L0 T6 V$ g% _
+ u; Q6 x1 ?! z; k) I 3 s& A$ E% b1 ]* o+ ^8 e4 Z
7 t4 H" F4 `1 C. k0 {
( D- @' U, G/ U* }
' _4 k* |: ^1 N# J, s ) H7 N2 H( T3 C# L! ~2 ^' ^; k, P
9 z/ I# [% [6 I Z' \( q- `
+ _; O, t' j0 ]) V* |9 d4 ? 确实可以读取配置文件的。 ) j8 V/ V& s5 E c5 r' Y$ b
$ G8 o7 A. L7 {5 L ( H( @7 x$ F& z2 O
除此之外还渗进了一些 web 登录交换机和一个远程管理控制系统如下图 : ?. }, v' x3 |1 R- m
1 R( l5 @, I" w3 K% q4 ?6 W! S
- E; \. |& u4 @2 l! a' l7 t, t
4 O6 x. y5 p0 K9 h) K , F3 Y! o+ `. X1 c! W8 x9 i6 r ( c2 D) H! H; R0 b/ k. J& j
8 v1 h0 Q2 s$ I2 x9 J F9 T* o6 l" C o S' G
) v$ Q! \6 ?2 t% m4 J1 p
6 {& I8 z; }9 ~% _
4 n3 ^+ @" ~) v. J" w2 z+ L 7 |" g, i0 _- V) R; t
1 J; Y0 y3 N7 S5 V
0 x4 l9 }/ r: C1 v 直接用 UID 是 USERID ，默认 PW 是 PASSW0RD( 注意是数字 0 不是字母 O) 登录了，可以远程管理所有的 3389 。 , a7 _# j8 H8 p9 g% r/ X
/ b! u7 y, Q; X# H- k" A
- x: t# P9 c5 ]; r q0 p* h3 e) _, x2 ?- C0 \3 V) |
6 Z( l& N. @' H! K# [" d W/ E( `) L. L' E% X( W) o3 B" p
, K8 w' W9 ~9 g& p6 \$ y , u a1 M& `6 U2 `/ R- O* G
6 L* k2 T! W- P, ?6 B
3 u/ \0 @/ |- @4 R3 M4 B
! N5 F6 ?# W1 s5 F 上图千兆交换机管理系统。 ( `# z. x) o( H$ @; x
, _" z3 d- f5 C# |8 z
7 d( w3 D! V. x# ]1 U& V 7 、入侵山石网关防火墙 , \+ @% {& a* s, n, ~
) d( \2 R1 `2 t: |7 H
9 [2 Q. D: v$ p+ ?. i# w 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： + O" h) {& f2 s: {
2 S: Q: V% d/ G% P0 Q" \, H 7 q1 P8 I1 J; W$ ]0 g% b3 O
, L8 v5 s: K" ~+ \. ` 7 D, J$ R( p K( O' ?; Q7 u
: X( C6 }2 G0 z( n$ \3 c+ L& L
4 d, M$ I% C9 w( s$ c* ]* i3 i + k T& v9 L9 I
4 s: G( [* Z( |$ z' c
) k6 [$ L2 L; o! }1 P
- k Z% }+ P5 }4 s$ B* ?: @+ C" @+ n
网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 5 W- b/ T* M! p' P
+ D0 F6 Y) i( |. f/ [! m+ Q4 D
' @& U$ f2 a8 P; `. O0 h " l" n- B# \- a3 c4 v
# m4 V) p( o8 Z9 [; G
J( o% b$ H% ]0 a, ]# a7 a$ W5 y
" ?( c9 b& N' \+ ?8 H
8 K5 c( P+ b9 [7 Z j
/ [/ u! [2 b9 x }( L2 B8 Q
3 d8 v5 V- D( ?" w0 z L
8 S" Z& O* K3 c/ `6 c% b4 j8 e 然后登陆网关如图： ** 1 a) A3 |+ T( Q6 h2 j3 J
( C. y/ M! ~% r w/ Y
% m& W8 E" k8 k7 j* H; |$ ~' y ! K4 Z8 g, T6 U$ Q
" v5 o2 R& x( k2 F/ e; Q' X8 a : m m4 f$ E4 ~8 c7 j
6 r2 e1 k; S" X' T; p2 b" q: {
8 ?2 _4 b' u1 W8 R9 H . x6 n$ V% t# L) g4 ~
, }2 L- {, ~# f( o! p$ z
- ~0 u& ~7 f1 S$ x% B3 V( e' |' [
$ g. ~" E6 D z8 Q. v( S & r" g2 }2 V, H. G& H( v7 ]( Z
% P) F. V2 s5 {0 P6 R
4 A. z$ @1 e3 G, S7 `" g! t
' k) W$ m* N3 a 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里 ** ie 家里里 172.16.251.254 ，这不就是网关的地址么，所以我就用 administrator 登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用 IE 密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码， 73 台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封 IP 好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用 nessus 扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！ ** + _7 w7 x' C# a' }* G) a% w4 p* R
7 s. Y/ Q/ G( G2 q
9 s$ L" U7 z; e 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人 PC 还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人 QQ ： 635833 ，欢迎进行技术交流。 6 K1 Y' J$ \) U5 [
6 X, \ L$ q1 p9 o3 b8 T8 H3 W: N
- G+ r' W) t" N- F1 `0 P4 f0 I
补充：最近公司换领导，本来想搞搞端口镜像，嗅探和 dns** 欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图： ** 2 T8 n% P# |9 M5 b: }2 R
& O% w# k6 U/ ?- K4 s) g
6 ?5 p5 E, ?6 P
4 t4 T3 l' Q0 y1 Q# U7 o5 l) W
: Z9 U$ W' t3 d/ J8 d3 P, x; ^9 ?: E 2 j% Y1 E9 n" I8 |& g
* b3 p5 E* b5 H8 V
7 ]9 G- E# V: g8 T / g3 }6 @ @$ z8 ^# ^+ L+ Y
1 T. v+ P2 j; w9 @0 b4 M) r
0 O7 R$ G9 n3 o, H
注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 & W: R$ \ @5 A" b
, s) D0 e5 k+ c& D9 y D - S+ A1 Q: q8 [; H
/ n1 Y8 g+ D( k" G+ |& Y3 c! f5 c& P
5 W3 Y" _+ l" K+ ]1 j- q
; P+ r8 ?1 ~; w( T 0 v- g* N! p z; J, g7 X- \
' x! T# ?: i; f+ q" ~/ w" W
+ i: |: z; D3 V6 s
发表于 2018-10-20 20:19:10
收藏
支持
反对