找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 1986|回复: 0
打印 上一主题 下一主题

记一次某医院渗透(近源)

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 20:15:03 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

$ f ?; F2 z8 t+ D5 a 声明:文中涉及到的技术和工具,仅供学习使用,禁止从事任何非法活动,如因此造成的直接或间接损失,均由使用者自行承担责任。 * c+ t7 I5 s$ `8 ~; d

2 q7 y, `6 ]2 k- ]& @$ H

2 d2 _8 c4 o; j5 M. k, D4 D! |1 f$ d. \ 众亦信安,中意你啊!
% K! q; F5 q3 b( D
3 _( O5 X0 f B ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">
* Q, u( K9 g( @

, E( S/ Z. X4 H% [' |

' e4 H; i+ X0 A# k, a3 U' ?* ` ingFang SC,serif;"> g6 o' O' \+ Y. {

1 j! p$ b/ g1 i. k
, k# }) p$ C5 h$ M

. y; k/ w0 u$ B1 `' j6 T4 | 众亦信安 * Y+ u @# b, j, }) Q2 X& Z, B

. J* k1 w% t# c, {/ E+ u

2 E- U: e$ n2 \7 M* ?. H4 L5 Z4 U 红蓝对抗、内网渗透ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> $ _+ R: j- W; l- }* d

- O2 b. {0 ^3 f8 V

6 W. ]1 F- J) g* y4 G D9 Z ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> 8 \; d# a+ l d2 O3 Y6 I

/ Q6 C1 d% {9 q6 Q& g

# L$ b4 Y- H: t# u 公众号ingFang SC,serif;"> 5 ?5 l. J2 s8 j) R

/ K3 F3 ~1 y H) R7 A

6 R2 {1 J& m! e5 H) V9 r& M
3 m3 q3 ^( o' Q9 M0 n( W8 g; D9 D
- r) s8 }. e) Y9 y; Z% I; c
Q7 b4 |7 ~! I( j

y, w% F9 X6 O ]4 T1 a' R1 |6 l
点不了吃亏,点不了上当,设置星标,方能无恙! ; j$ h! B5 |$ c0 @4 H, `, f

6 l! _9 \5 t; C& T: @ ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">vshapes=ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">  0 R a o/ I: i0 B/ z( I/ B8 K

* p t0 q) `6 T# _

6 H) @6 b- ^- c2 Z+ K 背景:在某次地市攻防,外网给的资产基本上都打了,恰巧此时裁判说可以近源,我和伙伴直接就背上书包打车往医院跑。 1 n; d) \' x; B- \4 {

3 G' k t. w) N: `6 |8 n/ w

; k, h( i* s/ c& `% W' Z/ r! k   " k/ A A- m# b9 ]" p

6 \0 K* g+ E$ b7 S# X N7 D
z& r" _% y* U9 A0 D ( [' Y/ S* M; @% ?4 w" ^( ]

) h2 O0 z- K2 i 无线or有线1 I; @0 A7 q3 m- @' j* u

2 ? c X- E5 H* L8 p
$ @ q8 \# W; P H* g1 h* u9 I8 l2 R3 j
) g* X( g' P) r% q9 e 4 q2 }/ b/ }6 k+ ^ J

: u/ v5 w5 j- T6 R7 N 大致思路:近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 - p+ j" D Z- ~6 L! r H

4 s( K& H% Q7 P* i: S* Q' b

- e+ M; l8 J8 e/ N4 ~( u) T$ C4 S 一开始我们想的是找无线网络,左手wifi万能钥匙,右手fscan一把搓,摸了半天就一个TP-LINK路由器收场,显然和我尊贵的身份不符。 : R( v! C1 U. n, q T

6 T- M- F+ |2 q4 ]8 E

}( p2 g$ A/ j5 A vshapes= ; N1 U ?2 s' s0 b

" N; j; ]9 g! D3 P/ u4 g

' M% m9 K; R: _- |, i0 N/ V& s; h vshapes= 6 u7 b# d# c+ M# w4 U( T$ y: V

" a3 _1 n6 S$ L+ `; K4 w7 d. _. p" M

- U" }- L% @& p 这时候都到了主楼,不进去看一圈也不合适,在里边溜达了会,我的同伙注意到,地上有很多网线口。 8 q* h% H2 G, b$ A' ~/ W

. K: v7 t/ e+ l0 K/ O0 W" S

9 K3 x( }2 W: r$ N4 ?! m# B vshapes= # }9 g9 p4 K2 K5 t3 T0 E1 n2 v

, X2 Y; D$ z1 |2 M

& u3 y! ~" p# q* B- _' \ 很快啊,美团下个单,没得网线啥也不能干啊。(血亏21 " ?& q3 C2 ^- o- I

. O- m' P: \1 o, N$ ?

: \# x5 q" l8 r) d% r vshapes= % x9 l4 l' m4 o

" q& T- S* K) A1 G' w: g3 H: J

+ }$ i9 q& U- b( I3 x6 [; @ 插上网线后等了好一会都没有自动获取到ip,想了想这种网线接口基本上不会自动分配ip都得设置静态的。 ! X2 k' ~% L7 p2 r( R

" _+ U$ s( x( R% v4 v. K

) |6 }5 @! ?6 d# j/ b4 o 这时候同伙又来点子了,医院现在都有这种自助机器,他操作系统一般是windows,在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后,直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。vshapes= # G* w. |1 t8 U$ y/ u1 P

$ J2 z2 [6 C! J) d8 K, R

1 }: v! A; ]0 i, c 一顿操作后,电脑也是可以和自助机器通信了,fscan启动!(因为是地市hw,所以直接干) & x& \. K' e7 M# ?5 w

6 }2 u4 p$ K. D7 |! P0 q
) ~1 l% ~% | {- \+ P 0 S% e. ?0 W! N

7 U0 d. u/ U( g' q" F0 r7 p 内网渗透 8 y9 l! n! }5 s; E& w+ s- J

4 I+ _7 n9 c$ R- C" S7 L
# K2 [! f6 X3 `: w
+ a5 b( e$ w$ r6 d; Z ) N2 R# h" {3 \; M* W2 R3 |

( s1 S, p8 H' B: { win下搭建cslinux类似。 $ B3 s$ p& D, P( P" L

/ I, ]- B. B, L
F. F: |! O+ E$ J! z
teamserver.bat + ip + 密码
0 t1 q0 q/ T' C; b0 K+ M. Z
0 ~9 X( d0 h0 n1 ^. J; P. ]5 d

7 w! e" a6 ^7 Y) ? vshapes= # ]) }/ }# z; r1 F

/ U. b8 e& v( t+ c& b3 v9 h

3 l; R$ F* O/ h" H% J# i fscan扫出来一个mssql弱口令,翻了下目录像是pacs服务器(关于pacs,百度上是这样解释的) + E7 r! z; ]# S+ e4 g# |* ?' F& h

: I- C `' O- r% P. _7 Q5 }6 i! W

$ [/ t6 I- l5 o1 h6 j vshapes= , p( l$ X/ T1 l2 |% O

j2 g Q: a# |" u0 a

' y! i" u7 p7 L0 ^: t! o vshapes= 1 {( e! X+ b4 O% {+ @

) x: e! ^1 K, j9 v( d. R, V

5 j3 s+ z' F' K' k/ q' i6 P 通过mdut工具链接后,执行系统命令上线cs,然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据,该主机是172段的,但是看到很多和10段的连接。
3 h. a7 ~6 Q" `7 u: i' x
3 x+ Y& ~5 w* M3 l" [5 X J
. ^. T$ g, _4 F: l! m$ K' _

8 @* u7 r+ y, B$ `# P

0 q, D& ~* i6 e5 O, Q vshapes= + }6 t% e ?: o! Z- \$ ]3 h

5 G- o5 a- H" x$ {

. S5 U1 g( k+ `, S+ k# {1 S5 Z+ v fscan再来一遍,直接拿到pacshis,互联互通系统的权限,但后边听移动的师傅说,互联互通没有建设完毕,不然还能通其他的医院。 9 m. }$ z( U4 z! d7 x

9 {: V$ ~; S8 v; }' n) I

) g! H8 X. V1 C" |& M0 V" q PACS系统 3 l8 G% B9 `* b$ | ?' \

( `3 J# v: D: c) w5 Q

# X* q& W1 d' B! `1 `) s vshapes= 4 e% [( Z: l0 e Q4 O5 T1 ?3 p

) ]0 P% o+ b9 S% j

( X3 g0 b: f2 P vshapes=
: w& u% f) I( [4 j+ r7 d% L( p
5 T8 M. u9 E5 G, j8 \( E
2 ]$ A$ z0 R$ r) S3 U; R' `

- M1 _7 j! U4 r

. }2 g# n+ N, \7 j, y HIS系统 + Q: f) k6 A1 i7 Y

6 B5 H) [" [$ K' W% E0 ^

) u8 o4 w T/ l6 z+ U4 v7 `7 R: [- d vshapes= 9 l2 p/ s/ K& t

3 ?7 f$ i' [ N+ ~& e

" i# V) u: A! M; D+ b' y! Y   8 t6 t. B# _4 g* C

& `9 ?) W5 A" t& N

' I4 H) M% E# F vshapes= 5 v1 { ~" }! @. y/ X# u

, R. f7 W, @2 ~3 P

, |$ ]3 q9 t, g 还有几个重要系统的数据库,摸到了几十万的敏感数据,对一个地市的医院也差不多了,这里就不放图了。 9 W* E: q3 D* ~* N5 W1 j

/ r9 v* i$ Z! Y- A2 X; b' h; `

2 z/ K) e1 o7 }
) F+ f1 w1 \! U
: H+ H9 V$ H! ^3 q' T2 [6 o0 w
+ g" o4 K7 y$ Q0 W0 q* v

/ }+ e* O# M7 L2 y( P

" y- ?. L/ {/ W1 h% d0 ] 后话 3 ^7 a; O5 {: c% R3 V! ?

7 n, A( H# M# R/ H

; B! t& ]( |! a3 e 算是趣事,后边还和同伙去了另外一家医院,开始不知道这家医院是治疗精神的医院,在住院部门口和保安叔叔对线了很久说我是上去看朋友的,能感觉到大叔看我的眼神中有疑惑、困惑到理解,用亲身经历提醒各位师傅,干活前先调查清楚情况,不然会被当成奇怪的人,怎么进去的都不知道。 E G) A; O: C" b

% |- K# c- K1 n/ l3 P4 K, A1 G
# Z+ {. C( b% w ' z: q; ^' G% t2 B) m$ a- H
/ J4 D& @- t8 ^7 N8 f1 }
& k$ ^: l1 Q, N+ G6 ~0 u
/ `+ W8 b7 @* ~+ { % f" d* Z6 o% Y, x% Q

{" {2 ~" r$ {- `# n" W! ~- n 点点关注不迷路,每周不定时持续分享各种干货。可关注公众号回复"进群",也可添加管理微信拉你入群。 # i: Q: E8 k' ]/ r! A

! D3 d7 d3 s7 q K f8 m$ p

8 T" D% {/ R; u2 v, H0 g   4 c) A* b' Z1 j

5 c" _ Y# ^. i% n+ j/ h6 b$ h
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表