|
. k8 W. z. v0 ~( l+ J* K
! q0 C8 e7 ^+ }1 z
% m) i0 ~. M/ X3 J/ `
* G7 i9 E/ b6 _: v8 I, G9 r 1、弱口令扫描提权进服务器 , e& V7 g ~. L
) X- ~" ]! y6 e" D4 M
5 B- D7 `6 m+ R( L) [3 c
首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:
) P- K! t; A, f+ L9 i ' _6 J1 }: P/ Z' B7 {1 G
! V7 [4 K, ]( O 6 O% ~8 t/ K) T& s" x
. H3 s' Y' _- f; z4 U
% l* n2 s1 F9 l0 b0 t) a
' P( v4 x9 v) l A# \7 U0 m2 u# }0 x; O/ _
 6 A* q0 p& p1 v+ m
: T4 W+ v1 l& v6 k5 z1 H
2 a- b8 P0 S5 R- @' s! c 
7 B4 ]' q8 |% E4 J- \: d1 x2 m
- ~& p& ]* o2 q
! `) Q& j0 x! e$ N8 L" n- Q ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1 ，sa 密码为空我们执行
- K5 F# C" M6 V
) Q, P/ y7 |/ w W& b& z0 S: ~0 j, g- P' y( `. B! V& b5 M; U$ r
执行一下命令看看 " M% ^3 b! b$ _: G" f7 y) r
) I9 U! x+ h* Y; W3 S$ r3 b
& a+ P1 J8 M8 v U) }+ V 
, I/ T. w( R. n& N' ^' {) v 9 @3 w/ ?( Z( ?
, w& J9 ~9 B; | $ q+ ]; U% r- w5 S
- \4 r* H7 v4 v
4 u7 ?9 b0 N* v5 O6 \' }& X: h4 z
6 N3 p- L+ ]9 J; f& K/ }+ Q$ [3 b& F4 l* f7 P! o
开了3389 ，直接加账号进去 8 [5 u+ R( U1 \1 u
3 J6 @5 G$ d7 |0 c8 { L5 J
( X+ [! _1 c# q$ r # G: v# i3 i) v' u& p1 ]( E& }/ T
: y" E$ y; J* |% v4 F& ~9 M
6 C2 y+ ~, L) w) K; ]9 r ! e5 R, {6 r; a# W6 Y
9 M; b2 e! @) E7 a, Z {1 d) ]( h# X& |  ! z. v: l8 [( x% u- J
# X' Z/ [2 M5 {& i6 _) m) s* v! o3 @# @3 [2 ~4 Z. W0 n
一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图
m, J$ G( B1 q2 S( p % B# r& F5 L) s" u
6 L, _: s1 a/ A1 y5 U# B! k
2 i; Y% m+ N4 q: v9 J( G' d0 ^
7 s# t. Y4 Q$ I& M+ u7 i
# p/ c1 P+ r3 k& @3 h0 c7 [ % A d0 z/ t% q3 n' e
7 I. h* {2 [4 s0 u) a
 8 V7 B3 v% g6 x! r0 g- i3 s; A' T9 X; U
- @" t6 X$ b1 O- G8 K8 L9 D; H5 z+ e* V3 W+ P( ? j- p
直接加个后门，
# }* W# r% y; X! b# h: S6 Z 9 ~6 p' x' A% ^6 j
& z, S9 A% k# ~0 i9 ` 
3 m0 m: _- U* Y3 s1 q* t3 H
0 J! j/ q% A0 M6 X) |5 o/ g8 ?8 Y
* ^& T4 s3 V% X( }% E/ @* u, [
0 M. q/ F! F- w7 }4 O1 R
, L; x, _, Q) |" c
Y" t) e( f0 X# m9 ~: r/ x L2 G& o* q' X
有管理员进去了，我就不登录了，以此类推拿下好几台服务器。
. D1 d& w& y) M u2 P' \# ^ ! J9 j0 n! Y" K6 V5 [% p
0 @ ]* S+ |3 d
2 、域环境下渗透搞定域内全部机器
2 E7 s! {& X$ m3 N
1 c% Z9 L. i7 ]& j8 \1 m
+ s* J }$ D( u, ~5 A) C7 D 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知
! v! H5 I& j8 V* U1 V' i9 X
$ q8 h9 p- t% k' Z0 X
1 F: E# g! O4 Z$ J. q, O 1 \: q; i9 ^1 N0 \1 Q5 ]
" y* ^ P V6 @7 ]) X( T
: `, q" h5 J& r1 z; t
$ Y' a- k+ c- W8 ]" m3 v6 J
; D* l8 C( h# X8 [2 E& ^
. w3 m% Q% P2 Z: C- z
- Z w; d- d6 m% H2 z
, V a9 A; y" v9 z0 z 当前域为fsll.com ，ping 一下fsll.com 得知域服务器iP 为10.10.1.36 ，执行命令net user /domain 如图
* J! Q8 r6 M1 q! p ; k3 m; f) D5 [ ~8 `3 G
$ F! T9 d' [3 c
/ A+ U! N' k8 l5 p% I v6 Z& J
' E; K) I( q* k8 d. N" y
v- A2 Z+ ~0 q0 x8 S- i4 z
7 u. Z4 h+ E# W# Z! p1 I% N D9 z' F2 L, G
7 Y# p: E5 D, v8 Q/ R # N( S3 ]" e: Q0 v7 V$ x0 y3 q
% o% K$ g/ I# {, S. [* h 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：
- z) C" R4 X2 v E) p
3 L( M9 T7 ~& _: ^. C: W( T" q% P/ k. m7 N9 H
|" U3 p" l8 W+ f: d7 H* }( \7 T( ]. a
2 `, o: }) x1 n
+ e" n! `* g& A
9 X% D5 Y! G, n' \7 g8 z
+ M0 Q6 Q6 ]6 i. }2 V: v3 F1 _3 u
 9 I" E. K9 A" |" D& F4 c
" {' f( ^& E5 l: O( ~6 q
! w x* P/ v0 U9 N$ Y 利用cluster 这个用户我们远程登录一下域服务器如图：
5 R6 }; o* [7 j- { M
0 a, \8 t! p$ j5 W& o9 ]; @, M3 T- j& |
i; G6 i4 j0 s4 y9 A
8 A, d8 `1 c) a ' a; K* |/ ^: y, S: R# j
p# b) ~- P+ ~ `
: I5 ~: @3 ~) K( `2 V2 g2 b, | 
) D4 ~5 n% W4 g6 E, v / [. b9 Q2 T7 U
( V# J" I$ |- Q% E 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：
/ y4 h3 W0 V9 `" a& J- L 9 {' ]3 o* y4 G
# B n+ W4 n2 x2 C: \, P
2 t# M6 [; x& ^# O. d- D
+ N+ Q9 y& _# _8 h3 l
9 x" \ y* Y/ F- s
+ g" ]+ I2 X* ?
0 I f3 G$ {8 F  # ]# N# O Q1 N9 S( Q0 ?, N# H
- Y' D& v# J6 P$ S8 C k5 p
8 Q5 |; G0 C, K0 d% O+ R; I 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： : o& L8 T; K/ ^. u8 ^
; _$ l% v/ [, L- |4 O' s
( Z5 L! I/ o" U [& H 
# l& C* _5 E P' U& g6 }
; C3 Z) R. C$ b% S' l! d0 r, k' v* a3 g2 D+ ~- a8 c8 B! V s
域下有好几台服务器，我们可以ping 一下ip ，这里只ping 一台，ping
$ S1 e _$ {( c5 J, S2 ?: L
& X0 ] M) ~, L/ J, p6 j* D& ~ V; e z( _5 S) Q: t
blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：
7 V; o( C- r4 U) F* t6 I, D6 Q: u ; ~; C' N/ G% e3 j
; ~# q' e1 P1 a! r4 r$ ]/ e' N" ~
: [( A. m5 F! ?6 V, H/ W( [2 y
2 B: J, b* \2 \' f( U
" p' o* B% ~" O/ d Z/ Z
# g7 g2 D- N( G$ x- X. D* n+ p) T; v0 p D4 a& D: a
& t, R8 {6 e9 J( o1 C* L r
3 Z2 `; p" r; e! i9 [& T& l# D+ p* @' b" M; B9 V/ W
经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X 段，经扫描10.13.50.101 开了3389 ，我用nessus 扫描如下图
* @% r2 M/ a+ C " H* r. D" I: l
6 m" u' R- a9 O; O, E/ V2 q; H
. I7 \( A+ c7 T) H/ @6 ~
! s) V+ g3 O$ c G; B* q
1 a ^2 ~! I+ v* a7 p3 A* j( D
! W# C4 _% n; r
/ ~2 ?7 T* J7 P, F" R
 * b! c5 ]+ e% r `7 S$ }
) F, t0 v. j6 c' f) b
8 B; A- z& g5 {6 E6 } _5 B7 J 利用ms08067 成功溢出服务器，成功登录服务器 " L( L( J# j3 \) Y5 i9 q k
4 u5 c& Y+ L6 O" \
! J9 `( w" }8 k" B8 D* T
1 e& M1 z7 e8 {$ S7 Y
5 P: a# a. V; E* {
3 t7 t' m7 U9 I D1 w9 ^! U
% Q: {8 a0 Z( N4 O5 @, y
5 ~- l2 b7 ^0 ~! t( u. x 
7 U5 b1 h) N5 [3 o& ~, k ) N+ M9 ]. M R
( O+ ]4 p6 I. X7 m) H# z 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen
! l/ W* D! T7 i9 a2 S+ |& g: F ' b% j2 b6 O$ M/ [
- p2 i* T% H, F3 @
这样两个域我们就全部拿下了。
4 ]! J0 T: Y+ Q4 L) m
# W t+ Z9 ^7 C8 p$ T* ]; H* w* u* b: F& S
3 、通过oa 系统入侵进服务器
$ R l! t! `* L% t& N4 k; n
+ N$ }; k4 G% V! h) ]
4 B/ L/ B2 Y6 G2 e Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图
6 a7 Z" r" G* Z, \4 T3 ?% v
; O( O( u& u+ N" ?0 a4 g, R& Y: E: Q, W4 c) B) T
! O. Q5 u) ^1 E4 ?. P) F
; [* ]7 H* G! ~6 @8 d8 L
2 }" d- p+ _: H' f$ S
% W: \ v/ H$ I7 {8 u) t0 l
! Z3 Q8 o3 d) F2 s' u 
% \) `4 q0 U# b' D3 f* [( M0 r 0 U# ~- D( S" W; L% y
1 A: p4 k1 a- r) G$ p 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图
1 b5 L6 M; G, j, j* `
8 p$ S. i* T. e( X. [) E4 h8 h: p# ~
$ B: {8 D# i8 j5 M! T6 `5 B2 |% i
/ u, z1 ^7 U8 x' ^0 W! L
- E6 t+ D* W3 i3 S$ p 3 D7 i J* g) u* C q; w s
( j% q# h0 y$ M+ z- R' e9 M) G) {% c
 % {; R2 O" I* W7 Y% H' e+ i
6 _2 e3 X( @3 E8 r
( Z, z5 N U' v$ i 填写错误标记开扫结果如下
. ]$ {+ d' Q2 l
7 `- O; x& o/ o2 t
% l( s( z3 ~, h1 E * n, {: s+ a( G: ], H7 d
! g8 J1 S* Y! S" M. W, \5 _ ) W2 p" p0 s2 A1 Q; w( A
4 A4 C k& f& V/ @, M
" b, ]+ S* u }% x
 c _7 i8 p% [( g& I9 t) g" [
9 s$ c& s/ C- Y' @+ D& g# a9 }/ v8 O- m
下面我们进OA
3 ?2 x/ g9 G- h( Z/ V 4 u i6 ]! W2 |4 t2 V9 F! W
$ c5 z9 u7 q7 e& U+ r2 P 4 R& D+ J$ S/ v0 a$ t, M
) U) n+ ?3 e3 ?! i k( o
% E) ?7 ^8 v+ {
8 K) N0 t; \* e4 a
+ [, a6 A0 w$ ?  ! p) n" r8 @, G" ^0 _
. ? G! l5 k/ |, ~5 C% i9 G! x* c- C5 E
2 e( h8 |* B" ?! k8 \" B# ] 我们想办法拿webshell ，在一处上传地方上传jsp 马如图
3 b* q8 r$ s* B" T- G! e j1 M8 T ) X+ r( _4 t" ~. d2 P F0 C6 t
' l i" k; M7 \; H4 m+ X5 d
8 p7 {, k8 y% |2 ~( @% ^# L- r
- I3 X9 }% q0 z$ x3 C! a9 U
+ i) S! c( v2 J5 N3 M) O0 b% A4 ?
1 U) g5 n2 W' v7 W- P! N6 k# Z0 W6 K/ I
 F+ g- Y6 r& D( x) U. r5 ~
$ \- R8 v R/ d% Z$ n
' F1 U3 P, p1 ~& w' ~ 
6 U/ F; ~# A2 u+ k" z) t
& K3 w2 w. E* _$ w9 o c) n6 T- S0 o# @6 E5 V# T( A; s
利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 9 J: y& i& ]/ X V; R5 M4 k) B
( o5 K' e8 B. k3 ~+ Y
9 P& L, [) n/ T0 D) K8 _/ s
4 、利用tomcat 提权进服务器 # t$ U. K, e8 h2 o" y
% |" v2 \# y1 M1 L
. J/ K. \! F- e" L1 S
用nessus 扫描目标ip 发现如图
! l. q3 s9 I# k0 P5 o. v
, V! o2 h' X* {$ D& Z5 F/ y+ s$ `- ], T) W) K/ O1 p
+ n4 s' k2 m8 q+ \* j; O& u
+ Y; \/ }2 t, ~0 p* p4 S4 }2 c
* B9 c7 B" w2 E$ d( K3 X- S
0 W% A k4 R D3 v& M2 @4 C
2 p" v* S% a- ^( z8 N" N5 w% b# R 
$ _; _7 R: `& S/ L! s
# M+ D. `7 i' `+ ^: X
$ t; x+ q$ f; T @2 m, h" ` e 登录如图： - } n# c1 f3 w4 K+ O6 H/ z r/ M
[, x/ l {* G' e" q
! x, o9 p, M- v8 b& E% T$ |8 d
0 B$ f+ m( [! Q) L/ s9 y
8 ]% P7 {: ~) ?# |4 t. ?
5 V' z% e# S# [! ~- w5 Q
4 @+ L2 k/ V/ F# f% |+ ~. r( A6 H8 j) Q8 U3 S6 ]% s1 G+ I2 k
8 v/ d- r1 `" T+ y2 p $ _* X3 l' X" U! Y }
# H9 Y) _" G1 O4 t1 K+ V
找个上传的地方上传如图：
% K% p6 f2 o, ^6 j- ?6 v
% f4 P) N; z, U! ^! {: l i/ \ \- ?. p& d
+ r" A+ s: z: }' K1 M- c( s
2 k" g% k* W2 l' p0 o% U ' Q8 U" K: G$ Z4 I
1 k' y1 R4 @& i, ^7 I9 Q s6 H/ p' l# {
; }3 q9 f% D; q/ m& \  3 X! a( _) o0 h# h: z
9 D# x' I I9 n+ ~; w; a7 J
$ @: `7 Y. l( p, ~3 m3 }1 c# c$ z 然后就是同样执行命令提权，过程不在写了
2 ]+ j: d- ^& d4 Z" [) ]2 e# Q
- w) H# P. U2 w+ A% ]* ]
B! g2 L, G+ u5 p# S7 n 5 、利用cain 对局域网进行ARP 嗅探和DNS 欺骗
6 b/ q& r: e; C4 d/ i! W
+ ~7 L" k# Z; c% c0 p- b2 z
9 J4 f4 l1 m& i: }; ` 首先测试ARP 嗅探如图 ' }9 q* w1 }9 a5 B9 A: m
, ^/ Q% t: A% i2 X& A& Z
/ t$ w9 @( W' h5 t) ~1 G8 X 7 \0 Z: k7 F( R5 _! K
4 S; u( j9 u4 j5 o q
! }' P! x6 X& X$ \3 E0 a
$ d; @. B* ^7 j; [1 A& X) \8 ?" o8 b4 u& d3 ~& E, h
 4 a4 I& [. o& Z8 P5 Z& D
/ q/ R/ ~+ ^; ?% U: e ^. N" g$ e, y4 c& f, o% X/ T- P: s
测试结果如下图：
6 h3 G' `9 X) b& r4 `# Y( [ 3 z9 r2 `* l p- D8 q/ `, ?
! O/ n3 x# S2 \ v9 v
( B' ~" `! ~5 n4 }! B( Z/ T
: S( L% P* G+ x* h# j% { , ^( j8 N; V" J" b3 t9 q# d1 {
! {9 n9 u& T. Y5 x9 t$ ]0 f1 v* j& i
1 }$ H+ }& v# c
2 I% ]+ X7 F6 w2 c- R' j: E2 c 7 z3 _* x1 J3 i3 d' B9 X
& H; g, `2 r q9 Z# P! M 哈哈嗅探到的东西少是因为这个域下才有几台机器
7 y' R! c2 h4 a* ^
~. Z* h) e4 |: a
0 T: Q9 i9 f: J# o0 g2 S$ l2 g$ e# [ 下面我们测试DNS欺骗，如图：
9 }: s# H, Q2 d, I( Z9 a / z" m# Z6 \" T% y' e; w. |
- F \ C5 Y* [3 ~/ l- F
0 K" z2 t C1 H u+ ^8 r x5 u$ v
k$ s* \( j; Z) f
5 Z9 x: w" k0 F* c* G P& h
" m. n, ?/ N. b7 x9 t
0 s, o2 \3 W3 n. [, {+ T" n9 C
Y. C$ L4 _4 c( [( ]% z 0 M. U5 P* H) b3 h3 {
2 O( K. s8 N8 Q, I! V- j 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 4 o" ~+ J/ r; I( l$ e- x0 x
+ I* v+ v8 g1 d+ v5 v b
8 r* ?) d& K& ?+ M- D2 K+ n , I) w& Y& L! q" Y. K' ]
% Y- G: e# V- a- `: w7 k
2 }" e5 b* p! J9 H% Y
u# l' S! a* X0 [/ J$ F
, |5 ^% Z8 x4 j8 z- e$ B 
; I, N: |# p9 H+ Y# D 8 d& A+ ~. w6 v$ G% d: @ g
% c% g& Z5 E% X8 z2 Y
（注：欺骗这个过程由于我之前录制了教程，截图教程了） 6 N2 g F! b; J2 S+ q5 C! `( s
0 g: ~- i2 g( `$ Z8 Q6 V
4 t% {( k: @2 X \. s& Y$ i 6 、成功入侵交换机
1 C1 R4 ~8 i) u) i 8 d% o3 p: T. ~$ a5 y( L
( j8 e/ J" i4 l) H" c; ?" F7 k 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 4 S: ^+ i& s0 G6 n t
8 d: z; ?* N( G; J
8 B. D2 O) E) } 我们进服务器看看，插有福吧看着面熟吧
) ]2 i" g5 n8 L `& d0 L! V% Q& U $ c% u+ H9 Z m2 w; Q8 J% v5 E
* i4 M8 I! F( {: W+ } }; g3 @
; J7 i X. j4 Y) u3 [! f
6 h" ?2 T. R) C% a9 g$ H H- I
" A, G9 \1 p% l
! V% A. F) d2 @) i$ r" s/ Q
! W/ U7 B3 V2 @/ M5 @9 \  ( P7 s& Z: q( ]3 r7 E
9 {. z- i/ k' e: ]- E q# T
+ ]- R( O7 Q9 ^1 V
装了思科交换机管理系统，我们继续看，有两个 管理员
& I( @1 W) s& n' S2 v ( I; d. _6 v$ D& Q' K, q
9 y1 h; a/ n# m
8 U( A& `, [* g2 a9 O4 {% w. `
1 l8 ^: E# ?4 q; N" i% g % G; z D: L0 }5 O/ Z
5 L: m- t( Y L; n
+ D6 E$ {' l, H7 g2 y, V6 M. ~: p ~
3 _. {. }5 P7 C % i/ g: M6 }" u; w V2 V$ U0 I5 T
" M+ _; v7 F# j% F& j
这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图
- n% s& ?; f% b, j) U& _
0 f1 G' Y7 a+ e7 h" R9 w6 W5 T
4 z" x0 Y) R( ~# T& ?& E " @& p! B ^% y+ d' R3 }
$ d3 N/ _5 @, L" z* T* i
3 r) O$ h% M* T! h+ k0 [+ @ / W, W2 \" k; q0 b, j6 f0 [* S' Q
3 c( ]" k0 ?; K" y: j9 n 
& F, M M# R w3 e0 g) h, c9 t 0 F5 K, _8 j$ G `0 o
" @' s& r, k t9 t 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： - a! w! J; O8 T3 n5 r& i
7 W) \2 j) _) `/ ^; A% Y
) S. D3 Z, B R# D$ T
; @: y$ }, p- z6 m' A
2 L6 r3 Q+ y/ s {6 L# K
& {" O) \5 } U" m$ Y M0 i) n " A% z% @% t- I( M8 [
9 ^ W# X; {* r8 w5 p4 r8 i8 \9 a6 O 
6 N3 V; `( n i9 U+ P 1 j0 w9 i9 D$ z
. a' A3 v; Z, a
点config ，必须写好对应的communuity string 值，如图：
- \! s8 r, Z2 t" y . M% B5 B I7 l) u
: J( t3 U; ]9 O Z$ h
# ^$ p$ I4 k- ]8 M' ]
# o* z, w) ]* q( k* |) y 5 I/ I7 ^( \* O/ K. Q# d: Y+ S
* B4 i8 Z! p$ R1 B2 _5 h
8 \) }; G; m+ ^( t* {$ W  9 \* x3 s6 L# ~( o: t4 T' V
8 z/ L' X5 J6 \
L8 ^" T9 e% O' U4 R X# R9 F
远程登录看看，如图： $ T: i$ p3 a+ C
5 x3 Z* D) U6 l) V- j- m# D5 ?
4 u) ?3 d- n/ W* s" u/ r j; O
3 B" a7 Q8 H( I1 Y$ I' l" L
. j; I2 T( @. Y
8 A3 Y3 i+ e% s1 [! n
# J+ R0 z, G: u5 M( ^# Z5 D) l% N6 z b9 \% U) [9 N: N! }6 I; I
 % M5 ?% Q( I( g
, z) Z) p" y. ?0 E c
* B: T# H% m0 r9 ~ 直接进入特权模式，以此类推搞了将近70 台交换机如图： 6 F1 h, f* ? s& w
' d2 D& [, r2 v. ^
0 R, v0 {% @$ y0 {2 @
1 U" m' T: W& X# p* v1 B" a" E
& U( G4 V, B1 n- Y3 r' b
: M' n% \& n1 G: _* E3 R; K+ E
- W1 h- ?9 B* D- m0 M, X9 N0 n3 s
5 X1 {% p0 u+ v) ~3 I7 E
! E. ?# f# b+ [0 s
, D+ M& s2 p1 q" e8 ?+ k/ c  ( g! d1 s% B6 H, S% Q, _
1 M. K p! f: P3 ^* l+ N
/ r) e) O! G% E6 [2 A
总结交换机的渗透这块，主要是拿到了cisco 交换机的管理系统直接查看特权密码和直接用communuity string 读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus 扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus 的结果为public ，这里上一张图，**
- Z5 \+ l, `2 U1 R# D; a7 a4 q
- o8 x6 a; Y4 s! Y1 m; w! h& C6 r% @( n9 X- O' k, t
$ T' X" }7 `3 n+ s# r, r
: m% Y. ~& a6 V2 [' w1 P * \" @- U+ v% V1 d- z7 `+ r" c
) w' q5 M$ \4 f' Z- v, F
( z' H/ M( r5 v5 { ^( P1 B 
L9 ?/ B: ?% t( E# w+ ^ . k( L' c* [; `; ~
! g3 p( z# G9 Z p$ X) E" s 确实可以读取配置文件的。
- ^$ x3 Z/ l9 w3 \5 l# W% z + `3 Z2 H0 B3 d0 z
1 ^! X$ |( Y+ {. b 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 , z6 |2 j" E) [# Y. {
( D* Q9 {7 f1 z3 F; M8 y" \
4 B# F: H3 G2 a) J: A) \ , C- n' v) d5 q% l0 V" o- w# Z& V
8 B; A n9 s: S2 w0 |! [
! k$ Y2 k( G5 x- C + r5 q+ U( }5 A) J- ^$ a
+ o* P. F7 K7 l: N$ G* Q
4 ^5 t1 g2 l) i, W" B& O9 A9 X : Z2 T# ]7 a9 l6 h* g
/ e" G9 L; S8 ~% T, w! K8 Q2 G; m
1 S' n0 M5 q5 W! k* |
2 s# _2 w5 D5 \) z, W3 q* d1 O. j( L, ?+ z: y# g* `
直接用UID 是USERID ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 * {- b- u( z; C% M" P, i
( C1 p$ ^5 e7 L, ^1 Q! v3 q% p% w0 N; V- x8 T) o
* _1 C9 i+ Z$ h. x
1 b: K9 L6 G9 ]& H2 a1 V: k F! w3 y4 V; x' r6 Z3 N! ~
5 Q0 I: y! c3 k- }5 ?! V! i5 R7 E! S& p+ g
 2 s4 d7 \7 H" n
) k, c/ v4 `4 v. y" ~) u3 D% t5 M) L9 K r$ N( b4 v$ h
上图千兆交换机管理系统。 7 K. R4 ~+ H9 A- Z+ v( D
: b V. w0 ]7 O& ?7 O- |; G' ^/ b8 i
7 、入侵山石网关防火墙 Z+ q2 S( ?! Q- D2 {
/ _4 j' g" L% m3 Z( b0 y; n6 S% @
" h- S1 z( M7 [! M" S2 K7 x 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 6 I( k, P d+ k; L- B) T4 C
- t+ g8 X! i$ l, k" [: R
$ D( u5 {9 f( t- a O + M/ S) R/ [& q7 \1 P5 e# i
" A7 x2 l9 Z b1 n3 `
f( C/ ]0 `. Z7 |1 M 9 }1 l% p0 p8 L' [4 K
5 L9 u" R8 k' ~5 E! D
; H2 _; K* N3 B% s0 O5 v ! x% ~7 u5 r7 L3 M; u
5 q+ n- m6 Z4 ~3 A* d
网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 4 V0 T% B$ ^2 F% O+ `
7 k$ K( U8 H6 e( p# h2 n e0 h$ o7 Z' {& x! p) ^& E4 J$ f
2 P, z. Z+ k- z& ?7 Y# r
/ p! _! k# F% M6 }* K3 U; p 1 e0 X. q( ~; D9 U
& z; `& {) i9 l. D3 k, n
3 F( L; L) ]( ?- c; D# O3 ~! u5 I  F1 p. O" M$ t9 P* f
8 k/ g. e! D- A, }1 Q+ `3 k
/ \! M4 O. H x; M
然后登陆网关如图：** 2 s& J5 M& y4 U# _3 U, |
3 L0 L1 n! Q" l" g7 y2 X# C& q4 m
# S; X( [9 h- i) k B. ~# A. P3 x & R' G. I U7 x1 ?; y
4 K. d0 t1 x6 @! b$ o/ i
: ?6 J/ O: D/ p( v
, V; T0 V4 ^% Z( {- N' S
' D9 G( D9 B, o9 d
0 J6 x6 U) u* v, ?* R& N ) g; T+ ?" O' F8 U
( ?# D( M/ q4 w5 T; R* Y- Q . f3 W+ n& F; @% X, R, r
- P7 R2 h: @( k9 Y0 O5 _! C & W5 ]* k3 Y- W
2 Y/ i, E# V5 I' Q! h1 j' O K0 l9 L
经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** , }$ {) z+ f, s: P
% O, g- x" T% D& k9 Y# K* ^. W) c! F& K& }
总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。
) g }1 ?% N) U
; E9 \( A0 o5 L8 D; }4 @4 `/ K% b
" F" r' D; l' d 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** 7 O6 w4 o4 s; B z3 \
9 y. ~8 \7 ?) @( m! ~* {/ f. m0 A1 x8 f
/ f' W( `! l- ^6 z1 ?, B
* {( V' G# Y* F) u. r3 U$ C. [- m ! s6 L+ u4 {% Z9 _
# l# c/ o/ y5 u! A4 R
, u: B3 u# `: U" K: m# w3 C
# b7 [ m# W3 {' i# U ; Z$ z; c/ P; f; Y+ d! m) F+ u( O, j
8 Q4 G' E- h" I
注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。
0 E* N5 w" t/ q3 h" k " e9 }% V' k/ n9 O
% s0 T2 A# @' \7 h6 Y/ b6 k " {3 W9 h* `: E
/ J! ` i3 X/ p' N+ R y* l- |$ H( B$ C$ M C% ?" L' U* x2 ^
' d D$ D# |- k0 l1 B5 ?3 H
; I3 c, }* \* Z: O1 M
! t9 m5 f- Y# n# _, d | 
发表于 2018-10-20 20:19:10
收藏
支持
反对