渗透测试某大型集团企业内网

admin

4 b# K" k2 S$ b: p, l+ H- a
% T) w5 l$ s1 K$ m

- E2 l5 F% H! y/ Z6 ^. {" A 1、弱口令扫描提权进服务器 2 j' D# A# Z9 p! x- Z. q

1 E' Y7 f* x8 l3 @ s 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

+ }5 t- y+ T$ z

---

/ g3 p; E9 v; ~+ y1 h r5 o

1 k" }7 ^ C; c' U/ X $ {# L" o0 w- S7 K/ A& | M/ J

4 Z4 ~" J/ h- z% l ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 / P/ X' W' Z: a; V9 o* o. y

; F, ^' ^. x. j1 G 执行一下命令看看

. X+ X, m) j. D: n# v

' S$ R% s4 Y$ o5 ~4 ]

---

3 e5 n# D0 f1 L! ?5 ~8 k 2 Q3 G6 H. ^; T) h

& D, E4 \+ x. S& S! m2 N 开了3389 ，直接加账号进去

6 K* L- L! ~' ^5 I$ `

---

8 Z: \# F& |) C+ h& D+ d

; V: ]2 n) K' a

& l! F, ^8 B& T# k4 o" m3 b6 E3 _4 p

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 5 r. O2 c5 K' t* G1 }

' `; [: @6 M3 v; y9 j# g9 S

: O2 f/ x+ E0 p3 J

---

; i3 z7 t; [- d! z

" o/ e8 i m8 E5 K- b

5 X2 ?7 Z$ _' P- j2 a7 V' S# U

4 v0 E w" l# | 直接加个后门， : h9 }* t T3 t6 Y- K9 v3 N

& }& ?) x! H: A( g' {4 ]6 `

. P( I# z9 q5 H9 I

- v# R L! N9 H8 y8 ~

0 H9 P r- }0 ]. X

---

8 y( V# o, ? `% n. u! S - C# ?$ d; T! v

s `5 I- i3 @& d9 h

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

2 、域环境下渗透搞定域内全部机器

( y- V' K2 g" l, [0 a

5 T+ B) q4 W/ x) }/ ?* f. h' B 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

' q! X% V6 A% O1 e; Y

|) o' g& z; L3 x' U- {$ P

---

! U4 ^6 K0 H: u% J Z, T+ r

# L0 F, q9 u" n2 }- } v7 P" H% I

/ V" ~2 Y& H) |

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 " b0 L% M9 M0 l$ {8 K) Q

9 @: J( z" t a

/ V' s0 A% I0 P) Y6 I6 {3 J

---

: i2 n4 t h- \8 d S 4 `/ o0 y# T0 M$ l( f, @

; O, d8 D/ c! d. q, e8 ~

' G4 z: [/ o$ r 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

\/ [! S0 n+ j) x( ?+ F) h

---

) a9 b% q% `/ ?- G M' `5 l/ Q / ?6 B& N1 Y: [. H+ l

# _$ {) ?+ J; ~$ m! W( c) r& j" `) B

% d# f( \) Y- u4 _, s

, E0 D( Q, p) R

/ F7 s( b: F) P ^: c 利用cluster 这个用户我们远程登录一下域服务器如图： ; T j$ @0 }/ i5 s& K

---

5 @1 L5 T8 `; f

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

0 p. Z5 c$ n: v8 Y8 v5 e

9 ?. g( _! |8 y1 g; }7 Q& w7 M! }

---

5 ?, ^8 l" i9 ~6 C. g

$ S% R1 n" l" p( i- p 6 T! O$ ~0 Y8 o, q9 ~- p0 L$ y

- X% s' ^6 r4 Z8 ~ 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： 3 ?! e g \5 U' m# e9 j# W

" I, f8 l9 @9 B' \: E7 P- h& T

2 I$ `8 {' }4 w

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping 7 M# ^1 A5 s; J, S) `" O/ \

M% b/ {$ X8 f: Z0 j4 V" v8 L2 I blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

* ~4 W7 x) z% o7 e8 h, c% X

---

8 Y$ ?7 N$ n2 _. k/ Q 8 P4 w! a- s$ m3 d3 }. z$ V

6 e0 T9 Y$ O' |6 N7 V1 W( M- L 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

# f) V: n q( h1 s; G$ _

---

2 \# s0 ~" R6 c. R; W' M

3 u- d3 o0 j* c8 g; o3 D% @

- N/ Q* ~4 S# A6 V1 S $ t4 V8 s* _$ G

利用ms08067 成功溢出服务器，成功登录服务器 1 o% p; f$ O5 c

---

- _! |; E$ D9 p7 J

% n/ C, j, A) ^1 V* f5 g

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

- n7 t4 I @' Q* Z9 W- E- r 这样两个域我们就全部拿下了。

e" \1 D( E+ J6 A7 x6 I. V( y 3 、通过oa 系统入侵进服务器 + x( _! y5 ?6 f: [1 F1 N1 U* l

" }8 x n8 c$ f. T6 d ?7 [6 F( A Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

: E7 n* }: u0 q+ C* E7 H5 s, g

---

+ j( Z' h$ d2 z2 @, r9 {

" D: U) V: O; G2 f8 F7 l, ^ . B2 F% V6 a$ |

8 V* A( L3 S. M, L1 v# x

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

( |. @% z8 Z/ I8 z

: F# w1 R- t+ k1 h$ u% ~& [ ' \( ~# P! @4 D7 Q! X' W+ P

---

& M& C8 k/ a8 K, T8 s

( K8 c; p1 j# R% e# D4 ?

" L& a+ q) C4 Y, k. z 填写错误标记开扫结果如下

% I3 N& q$ [2 c8 [5 O! b p& o

---

! b s2 l8 ^2 N4 @) \" v- z% P- ^# E # {6 `; I# _# w: w6 V0 w

9 g. S0 r% S; m2 x

) I/ q- ]3 l3 L3 S. `/ X+ K: o 下面我们进OA # \# F' C( p* l: M3 I

9 t6 \3 P2 ?+ w5 J

/ A x- f0 e4 {! ~

---

9 b. @: u6 A: \: t

+ D- } M* P9 X6 b+ V* }& W 2 w+ ?/ ]; ^. ?# R3 w+ a

! }9 g! N/ `5 m$ v' G6 k( j, |6 y$ a x

我们想办法拿webshell ，在一处上传地方上传jsp 马如图 " q. k3 b, w* S) D% q) C7 L

/ j( P9 o% B6 ?& ~$ g' T: J& x

! t, n1 m/ |+ p& b3 S5 j

---

) E& B) p1 l% {8 X

5 M3 t) n/ W( n# ]1 Y- A+ d9 b! i 1 H6 Z" v! f0 |6 V

, C% j `% q' ]7 d9 }

" F# _6 k/ A) g5 @ {7 c

+ s/ ]; f0 K; W* i, A( [

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

4 、利用tomcat 提权进服务器

用nessus 扫描目标ip 发现如图 2 d- C0 k! e" B5 v

) c0 M& x0 P2 W

3 a9 U+ E t1 X0 a3 v4 Q9 q

---

" h W! Z. s, w/ E' h 6 p' t8 h u0 i: ]: a: }$ m0 \

1 c' g0 c$ I4 B; f

' S% I+ D8 x* f9 a5 ^2 c

登录如图： 9 W$ ~) N( X2 ~" O0 V- Y: q

2 {* E: g' S% p# k

, c. u" R& O b: S* B, |) b8 h $ F6 v3 v" k4 z) H( p

---

6 c: I) O* x% M( f( S

3 _+ @& Y" v6 f

5 X S+ B# {: c% J8 { ) ~+ F) {5 |* W

+ x, e! a! Y) q! s, B. { 找个上传的地方上传如图： " N3 b! i s+ L+ w. A; t

6 o+ ]4 r6 C. ~, q& J

4 @# x) N( A6 b7 m

---

& N$ {! O2 ^2 s 3 w4 a" q2 T) _# I: `

$ B$ l% e, F* Z, l* y, s

然后就是同样执行命令提权，过程不在写了

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 + h q; g* `7 D9 d- k. Z3 h

# x0 j1 p5 J7 z7 t

首先测试ARP 嗅探如图 ( P& R& V8 q/ e4 o# R

; ]- `9 b# s, r& R

) i" e6 K3 ]6 B1 W& m/ j ) B# B& Z( M& a# l" m9 l

---

) F/ y* G, D. B7 H

4 h6 m( S7 ^8 ^' N& p0 _: @. x

6 p! u- L7 U1 Y1 m, g! ]; q

0 r: b4 X. V$ e' k( }% \

: r H, i3 {" o& s4 h* o" M: b 测试结果如下图： $ r2 W( y$ }. N# {

---

; m( o$ q8 [: m {- x8 Q( R# |0 z+ E f- N! C& c* C

' a' T9 R2 ^' b6 c/ d3 I

+ \2 S9 t# H) a" c

+ S) f: N, M% _( V) m 哈哈嗅探到的东西少是因为这个域下才有几台机器 - r7 r) l, h% ]' i

' |! z5 g, [/ N7 J

0 ~% `" o% t& R. ]/ _' O/ \ 下面我们测试DNS欺骗，如图： % @! r: D6 b9 A' k& B j/ B% Z

0 Z. ^8 Z' g9 \ M/ E( S" a

---

5 `% L: }, M9 Z! j1 A8 H1 e ; {3 S! e. v8 @0 j, G( k0 O

1 T7 B h& p5 P 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

& @0 B# K5 d, `9 Q ; Y0 _8 g6 p/ S) F, y5 q

---

( E: ?; N, F5 i6 J+ W

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

, ]/ C+ J5 |! v1 E4 |1 ^

6 、成功入侵交换机

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

, t; R# j# b7 y, K 我们进服务器看看，插有福吧看着面熟吧

4 m. W- f9 n% r% [# G- u

---

2 H1 i! C! u: v+ z- E5 t

2 f1 ^8 s( I# f( m

6 C+ v7 F6 ?& o) ^/ M u

* I+ f N4 A% W* r `1 h 装了思科交换机管理系统，我们继续看，有两个 管理员

" E7 }% |7 l6 ?( s: d" z

* ~" f# q3 S) ?# f6 @

---

/ f t# n; g8 V8 p4 N9 k% T4 b

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 ! p. |1 j) j1 e; m* S

+ y" {5 O: h% p9 x

---

1 c" d# X/ x! L5 v! _' u$ ~5 Y , k+ z7 T+ p/ H3 Z

( K0 g+ P/ ^% n" L. i+ X" G: E

9 U6 r+ V3 D1 b n- E3 l

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

5 S- K# V% D! I9 d1 x2 ]' H3 s) ` 1 y0 F0 K1 J5 a# E& p

---

& U* K' d( Q5 S

* w5 P/ ]/ j# |, k# U

. [+ x# J' f6 {4 R! o" N0 [

" e' n+ x2 {5 e# y: L- x. y( V @

# G" [& U! n5 [$ I 点config ，必须写好对应的communuity string 值，如图：

* k3 w7 q" F8 }; _

) o( |& s# X9 y! M1 ?

---

; d6 W6 y& a8 Q6 F& s6 Z

S) ?: J8 L- s

# v3 \- S3 E& g5 |! T0 P# Q9 e 远程登录看看，如图：

8 V) @( q# }$ x" \

---

+ @6 Q! Y- _; Z+ O" F ' I. g% U3 t4 r6 x, ^6 [6 n

' O9 O' S- l- S1 z# l8 g

! d, T {9 e; l! l0 f8 ` F

' h3 z Q, w1 J/ h, T; z7 L 直接进入特权模式，以此类推搞了将近70 台交换机如图： : }" M. ^( c4 f% m" x

---

! w* n# ~0 K& J

1 K+ d6 U+ u# k0 O& n

& {0 U3 M& _! x : F2 Z r/ r t8 Q1 ?. Q

- g- p0 ?' s* P7 Y) `

7 M# b9 O1 U) ]% c

8 N, W# ^% B; N' ^4 K

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** ' v1 _0 W$ k' l7 B

- l5 H+ L2 H& C8 {2 ~+ O

---

/ g! x+ b( O; }- t( K

( q+ K4 v8 O/ N 1 r. D, F4 `) O! @2 J7 a

: q7 P+ d. t6 f" V8 S/ f) J. ] 确实可以读取配置文件的。

8 `& J0 }: O2 Q* W# D/ R

: D6 Z7 Q! U2 c9 ^1 p# U, {/ A 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

; s# \' O" J" [1 \5 e& u

4 G! w" v& g: c# l' A7 \

---

3 w2 n( {5 \1 o. s0 V$ K

- p' {8 M, I1 g4 U# Q" k- N6 G

6 F& T4 U1 p* S# g8 o) H9 |

2 @/ i) v+ G# W% T 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 . C B2 P" ~( K. L T6 ^2 c

! y4 S: y: r+ c1 a: V

---

7 v7 I5 r1 F; W* M& `. Z: y

% Q$ }4 C# K& R' ~4 p 上图千兆交换机管理系统。 0 K/ n Q; z: T; [8 H- E- z. r

& ] \( V& {' x* E8 l( ]. c5 e0 _

7 、入侵山石网关防火墙 3 p9 i$ C; D9 f. r. L7 f

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： # h7 u" Q( q- F4 C+ R

/ Z5 A; G! J' A/ |' i; {

---

- l$ P' N+ U; P4 L8 @$ ?% S

% P& D- d" j% W8 a }2 W, H

# q+ x; B9 t9 z0 Y5 S( T . Z0 H0 @' I* \; v

4 J- u5 S7 b; I f

! W1 I7 A4 U6 f% Z: {, e- J6 \ 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： # G8 E4 y G% ?4 N7 W: \) K

' x) T3 k1 y- \0 \0 m

, i/ [. _0 k4 `$ O

---

5 G0 l$ F! m% r( r3 @

4 Z2 E* D6 J$ ~ k; L' \/ w; W

% @$ I, C) K A

然后登陆网关如图：**

) g% M9 u4 u; v' `8 I7 W

---

Z7 |3 L" d( q4 }/ ]! d$ C 3 j* Z6 P% ^6 R9 I8 e1 p

6 [& E, R- U$ b. ^& o9 g) W" R3 k

. N" J& w6 s, ]' D# I6 F6 B

( a* v6 ?: X" p( ]# O; I7 G

---

( E7 Q! R/ l- ]2 r" @/ `6 m9 ~1 j: N

4 P) W% k/ V: K$ I2 d3 O6 p/ m7 j

" i z' m( K, g u5 ?1 T 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 # w+ J4 R9 J/ i: ]$ Y5 r6 n

, Y) B( b' w# J# h 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

+ E$ w0 L4 A5 W- `( b

---

/ R. B- N7 S6 V9 L6 ~

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

: B' s: P U7 b6 q! I& |. Z  

, T/ Z( G$ u2 S* M8 U1 F

3 V5 @4 l* U1 \3 Y6 M
' d' }, t* i7 H3 s" V2 Z

) Y: I# f- Z' q8 Y, K4 O