渗透测试某大型集团企业内网

admin

" L3 t+ E5 f& G1 r* a: A

# b2 J) ~# N7 O0 k' U1 \( y

' l1 F# @, X( B 1、弱口令扫描提权进服务器 * x" [- W6 J1 ?8 w/ X4 B+ X

5 `1 k, V" o0 }! e3 P0 c 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: % J9 x" `$ x3 X! _- ^* Y/ M

. O: i1 W, t- K+ ~0 h. H* ?

, [' l! e) w" n6 D

---

' K) l& O/ a x6 G! R! i / H& c0 I1 j" p) E& \& c. T

8 T6 F5 ]% u% W! s h3 b' r# o, a

2 D6 c9 s+ f' r0 f8 n

& _5 O8 J5 t# z/ j6 H

% b+ |" I5 _, K ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

* s, X0 j7 a/ C5 F5 i y

执行一下命令看看 - M; _- l# Q8 D6 S% v. x) a5 O" o# z

o7 s0 v0 ^7 C& J+ O

; V7 D6 n# _1 ?2 b8 d) u9 @, Z

' _1 P4 h4 M1 C/ A# ~$ ^3 b

---

M1 V7 e$ g) F. ^ ) c- b" p- q" b7 S. f2 a: |; b

* n/ I# Y1 G0 L

8 w0 N0 V$ i7 ~! L1 K7 [" X" ^ e 开了3389 ，直接加账号进去 , d. V* \& k' E# y( K" }

7 K4 D/ c& ^ R. l, r

---

' }- f3 M6 N* B2 z

: I: H( k' I) C8 d

. @5 b- e' d2 e( H0 S

# r( j: p/ y$ @' g6 I0 E) o 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

: s( D/ X2 k* K 3 o3 v* Q/ D1 Q8 h. g, A, F

---

" C: _& z7 [- m+ D; `

! ?- n% K m" I* t+ V( z, O' n# K. s( n 直接加个后门，

7 O& S1 s9 }5 f' E: Z

; x5 a$ |4 {/ L2 B, z

6 i7 Y) \3 Y" _6 a2 n: J# R" b i ! D8 \5 P( k" X O& p* z" x

---

& p0 B3 Y, i6 q: \$ G# U1 v. n 3 N0 {- c$ s5 Z7 U. d

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 ( r- V6 d1 @3 v, A5 S

0 g% N' g# d: H d. ?

0 z; |2 D0 J1 m# B3 R 2 、域环境下渗透搞定域内全部机器

! m. A- Y1 M0 X4 m! S3 I! H

2 G' i$ \' S3 F) L7 H' h 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 7 F* W! i f1 H$ e

! P. b9 r% V, d. b3 G

' H$ q* M2 B6 K) E, f p" C% }

---

5 {6 Q; B9 U& H- S9 i; `

6 y! l4 j. x) O

# F' z5 ?4 b0 L9 }4 V5 H 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 7 y2 {1 M- A0 |% t' e/ B& C/ u2 |

4 S/ R6 c2 E' B0 }

---

0 `* u" M% q2 m( e

+ }8 I! O1 h- ?$ E* `

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

* Z, h9 j/ b' @7 P% ? & _# [, D0 h* @9 ]" r$ m9 Z

---

& d. E* N. Y" }% H# _ 8 W+ G$ A$ D. h1 C7 N- m5 A2 n

: ]1 Q# e& {: _3 u0 A" c* @3 E4 q

; z$ m5 M4 R, ^0 S% p0 l 利用cluster 这个用户我们远程登录一下域服务器如图： X; o6 Y9 i" r4 f6 W

---

% f% z1 s- D+ U6 A1 q

2 ^" _% ]. B/ Q. {* |! \! E

& m( T% G$ c+ {4 l$ q3 } x 0 D" q( f# M, K

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

% X4 \6 }3 `& C, z8 A) {4 _

---

- w; p& u' h" Y% A7 t

. F. g) X" f7 \, ?, T

/ p& U5 }) V1 k( d1 O3 S! N8 F 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

' b4 G' F- b5 [ W6 P: s

0 Y: K; T' t+ o

& O% N- x# Y% Y7 K* v

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

7 _1 N- R1 f6 Y( ?! C blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： 3 c+ Y3 ~; @; V: Q

8 X: l f1 D$ H( V- O. T

: `! Z" k8 q+ c' h5 b) M 6 {/ b8 r$ N G9 x

---

+ M9 k- G* Z5 D

% [ @) {3 z) G* T. r9 P# c6 h) k* C

0 ^) M+ _# n0 b" I

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

' z) j! q9 U& l) I 9 y. }# ?; {: e. Z6 r$ k

---

2 e3 q* I* S( W7 A

; R/ N. c9 S/ Y; I! B9 U 利用ms08067 成功溢出服务器，成功登录服务器 E7 ?) m( `/ `% ^+ |( U+ i

---

' W# U e( R( E, {( Y3 f& F

$ G0 F. V* `8 H& }7 H% Y& P- d, G

3 {) I+ _6 M% W; D t 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

这样两个域我们就全部拿下了。

4 Q+ S6 {3 I: T3 n- V3 O

3 、通过oa 系统入侵进服务器

- S3 _6 u0 z* u! ^% x

( {3 a$ w$ z! I# c$ A7 l. M" y2 F Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 ! g, e$ W9 v" I: H

! H1 A6 Z. }% a/ }( H/ }

---

$ B( ~* F" J2 X, u8 l

9 k c* ~3 z' C9 i" O$ X

5 i7 x0 z. d* O; z. a6 b 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

. D# E; s6 b/ d3 I4 p# K

---

$ R q" d8 G; H & X; j2 c/ m; M2 j- t3 R* A

+ q$ c- m, U' ? @" i . L2 x6 g1 C G0 b" h9 n

. ?7 Z5 R4 o" n j# Z% H+ p

填写错误标记开扫结果如下

f( |8 P) A5 M6 `! J+ n6 p

---

3 f6 H- y7 B% }0 o, Z* S1 D9 C& B

8 g+ D/ Z/ I2 I7 E

下面我们进OA

) V( p2 g2 h( X& b& D! U& l+ w - g5 E" a1 E, e; O. d! N1 A

---

8 ] e, M" y4 _0 d

# b% d; X, A. F+ @& @" R# ~$ y3 d0 t& e

: t6 {6 ], Q5 A! M! b) M+ F 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 + @0 d9 R& y8 t* U: Z

( D" X3 B! t, ~% F' ?

---

% s9 t1 T3 n( v2 W" H: m

4 t% p) }0 G- w% k+ N. V- R$ M

3 M4 X8 R, c) ?* ?1 q" ]( R7 U& j

& i& Y7 n; m9 j" y8 e

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 8 C) o' j* p q

$ W4 |, q2 k6 d0 P! c, Y E 4 、利用tomcat 提权进服务器 ; G0 z2 H6 |- R' o5 [

用nessus 扫描目标ip 发现如图

5 V$ H# O, A% f% L- ^/ L) V0 A

' ~+ R5 _3 H q; P! r

---

* [) ~8 h0 S8 K, t. g m# ]

4 j# g) ]% A! k" V9 P& i

, S# z8 L2 c, I8 x" r

: r+ x0 ^! W4 P3 t, K

登录如图： : s- ]4 S6 T4 f, z6 E

2 w0 t8 b* f. w: M5 j1 \% z- a, N$ b

---

+ n Y7 {) ]; N; m" w y

0 {. w" U. P; M, ~, }

找个上传的地方上传如图：

( A% h# i* y/ B

---

: E2 G5 h8 p6 ]0 u4 p7 U5 w, M

# ]7 Z7 @, x4 q' n9 X6 U' o

& u4 U+ \ a% q7 i- `4 F. F8 D 1 s+ j4 N M% @+ J

然后就是同样执行命令提权，过程不在写了 0 s; M3 B J6 x' Z6 J: q

) U8 c0 |4 R4 Q+ {, D

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

u( m; V' b6 F" P9 f& n

$ {* W, Q6 J. c/ ] 首先测试ARP 嗅探如图

5 A# W/ G4 _$ {9 n; N& s* G

---

, n0 \: C: n) n" X9 b

" p' G& @9 L! a+ ~9 V. C, n

9 ?3 K* J2 k* p9 _ 测试结果如下图： - r, m+ {9 j! n6 Q5 P

) F* ~0 a: C- Y1 N. |: ~; s

---

8 e9 j+ {, E n' @

' i1 A( F( }, M9 v+ J' \; M

5 ]; H s# I @8 [( `5 {% Z3 J - c( q( I% h. S* {8 |1 s

哈哈嗅探到的东西少是因为这个域下才有几台机器

, T# [4 q r; d. e( r5 B

下面我们测试DNS欺骗，如图： , R4 N i1 U0 J% l3 l! q

3 H! ]% h1 Z( n# J

. J/ C. h9 S9 p9 R6 q- z* N, ~" C

---

$ U+ F7 E, p: [

: z; O% H" K' N/ G. G

8 k- x) F) L( E; C; z2 v

4 j, K) @1 B: \1 E2 B0 \ 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 0 |: {2 y( J' K: q% }

4 s9 d# z% E- T5 [/ z

- Y, `- \9 ]- g/ K f8 p

---

( @* M9 x3 S/ D- T

; U7 L% A& z# C" o$ p/ X

' j' w% a2 W6 I3 j. `2 W |

（注：欺骗这个过程由于我之前录制了教程，截图教程了） : d8 L: }. A9 @ {

6 、成功入侵交换机

$ W; n6 Y0 p$ Y3 z& |7 h, n 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

$ F# @8 r. ?7 u

我们进服务器看看，插有福吧看着面熟吧 / }0 X/ A( c! x) } W$ |7 P& J

h7 v- \: x6 U

---

, |: m. f4 w! G* H/ O& l

3 A1 a9 @$ ?. J. V

4 D' R7 Z+ c% T' R: x" p

, M* } W3 e$ [5 l( O 装了思科交换机管理系统，我们继续看，有两个 管理员 : d9 m; J; e2 q

. `$ Z/ Q4 _6 F$ j) W5 i

4 X( J6 c- U' N4 ~+ S$ u + i% w2 P3 Y- v t7 w! `

---

) ]; j* e/ y& k) ]" G/ T7 w; E

, K+ A' V/ B+ a5 C |0 X

: q% Q0 |8 @! q! K4 ~. v % }/ O( s. h* E/ W

5 ?/ R% H( W% h3 j1 z$ X, u 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 9 {& `4 k3 G6 ^7 R

---

& g& t# W5 s* K! J( _+ z6 n8 ]# e

. V& e" N8 X' G

/ P: }% @+ t9 ]8 _- X8 F8 v / r! i" C# \0 l; Y. F/ E* Q

p ?! f$ F& a 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

u: v) V3 l4 f* m + {& H* W! x' _; `$ `2 k# W; D

---

3 @& U6 e- q. ?

z% m; E* \8 P2 e& u$ |9 H

* o4 e0 z1 A6 x% R & T& ^$ k% E# T4 m

, n- t& q- a$ u# U" T# j" T# s 点config ，必须写好对应的communuity string 值，如图： 8 I6 }+ K) `1 P) g1 R! N4 H2 R

1 k: S( A3 [7 c. {1 I

! ^1 _4 i0 N5 m. V7 h" G, q# E 2 ^9 `% Q8 y, T* w

---

. t U* i+ G- S5 W1 z* }+ [

. V+ x3 N' U. v$ x T9 V: ~ : D7 W: \! a% b" A1 }3 N

- {+ J8 s, U- D/ b0 U# w6 b 远程登录看看，如图：

---

: x6 ~8 d4 l8 P5 Y* S2 q6 U - b* J& ?& U5 y9 A4 u

; l6 N/ C D$ R* u

5 Q1 ]; K3 s( B3 Y) b- B / K, o5 L) S" p

直接进入特权模式，以此类推搞了将近70 台交换机如图：

% p+ A8 I! \- C7 N6 W

* r+ @- p: f6 n: x- f& M & X5 P# W. {$ c

---

3 K" P) I' O- b

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

' t1 `: Z6 b5 A' } O" T8 e5 Q7 U% P, I

---

b, u& @2 x; F1 V s0 e

+ O" X: @* i% P& H/ }8 s

确实可以读取配置文件的。

8 Q8 H- I/ F5 t' J2 m

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 2 ^+ M1 W! V, a! d( N* i

8 f( }6 O) Y& J: q

/ i" E- c8 V( R1 Y# m" {, l2 C 3 |8 v1 T- g6 v& e

---

6 j U/ w* _, D

0 R2 c+ u& f: a# Y- j

4 d% O- X) g H8 Y: v0 t4 }

% C2 Y/ @% R, e% Y n' r, g

% G" [* b0 b5 V* T( o 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

8 R4 B9 Z, C0 e1 n# H" J- ^

! o/ U5 M T3 [8 o: ?! b

---

+ M) h: b7 v$ K; Q 1 I$ H; q. w/ y+ Z9 r3 o

) K2 b; X3 H4 g+ D9 c0 b5 L% X& F

) R, h# j. h2 M; S 上图千兆交换机管理系统。 \0 ?. h7 F B2 @, d

) r& u7 W- A) V2 \1 B& C

1 ]1 [5 j" X6 G9 N$ d 7 、入侵山石网关防火墙 . @* [" ?8 e# l

, {5 M3 l$ \9 W7 d0 B: Q0 ^ 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

---

3 K! {* P0 ]+ }& s # m/ W! U- @5 t! `+ Z, [4 W

& I- Y- c1 k! ~6 o- `- M/ C; Z: S

! ? ^! h/ @, p, k9 O: m- k

% i/ t1 L! e6 Z. q 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： ! I# ^7 |7 k) T7 ]7 c) e5 V4 h5 o

- I* h: O0 ~. u9 c

---

6 m7 u* l. Y) X

l7 @: A7 x- C: I. J 1 H1 ?9 j5 ^, {% J+ Y8 \3 d

然后登陆网关如图：** 3 x1 Y. i+ `3 ]3 ~, y

4 \' x% K6 {4 m0 P9 a

---

: P- Q+ c1 l( V0 j. x , ^. j) A C0 l& k8 G7 ~$ u

5 _: K8 k$ |$ m7 q- I, k" d

---

0 d4 b1 A% F/ N* ^, r6 N

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 5 X% R: V5 M4 u

1 j; u5 X, e) w* i# u8 I

! j8 L3 G- O8 _1 t 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 8 i+ X5 g; M$ \* A& L

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** 8 d2 k( J& j$ a0 C8 |8 H

3 Z( E! H* }) z+ _$ b0 u , _8 `8 A* C! ^* m* \) ?+ o+ v; [

---

$ O- B/ G$ [* m4 A$ n% A

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

  3 H8 O8 C+ D9 j9 q

5 |; v& i6 _+ z