渗透测试某大型集团企业内网

admin

; g- i$ b) u n+ k( {

1、弱口令扫描提权进服务器 8 v3 L. A; c' s) F

( q$ i7 T/ B1 o 首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

9 D6 ~% o9 \ A1 v* W, U% l

- }5 W- Z$ }( N) a5 M6 l

---

3 i x; s0 C+ [. E+ o; h7 p " d+ ~9 [. @% M: S' S6 o

+ `! f* R+ z. Y7 q; Y

% Y$ A/ l) G# Y; V, `( Y: R

" ?' K: |6 W7 G" ~3 M) s' a5 j 4 O$ D+ {( R: f5 E; o+ i: C

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 8 b `) @. V& b, c4 v. }

}! g: T& ?+ X3 u

# ?- X, q. v( P6 A- K- Q( W' Z8 V 执行一下命令看看

4 [4 B4 W( Q+ E2 i9 M

9 ^% S5 D8 b5 E5 U- h! y& Y & e9 p: Q+ z- s

" U, {! I; l w1 h, z( D }9 l

; x' B0 S9 \: H8 o6 ]( i

---

" B' E$ T% \2 h+ ]/ f ! u% L( w7 a; F6 Y2 B3 a3 g7 A

' u+ l( _( i! t) P; n 开了3389 ，直接加账号进去 5 b/ e a k7 h

/ x- W. ~. A: g3 k7 i9 T* ]' M

---

. d2 V) H! a/ E! u3 {7 W1 l6 K, v

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 + q- X3 G. D0 ]! _8 h% w

_' _5 E. ^ u7 I$ D

X2 w' {! s8 L8 ^7 R6 P" \, M

---

6 ^1 B$ j# o6 x; Z9 p+ y7 s 9 @+ v- q# l) y9 k2 t9 c

9 e# K/ [- o2 n

+ G' L% T; K/ N. V5 O. z , {% F9 I( s& @) K% C* I1 m9 b

* v( D, I" U( v: I& W5 V7 D: N( l: {9 E

9 w, N) l. u) \0 U. N 直接加个后门， ; W6 P6 y: I- s6 ?9 I

3 ` L h, p4 A* W1 {$ A

---

% G% u$ l) _. M

4 D% _4 M) ?/ }6 d. k5 e 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

! ~) g& O4 F. y0 L2 g 2 、域环境下渗透搞定域内全部机器

( ]% x+ ]8 U; G7 H) i/ v

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 ( B6 ?! A1 }! {, G' x" |

. u- d( B) D# \: v/ j3 B( f

' U& ~4 A; x8 \- L' \9 X

---

! o9 | }3 m/ ~7 m$ k) ~

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 ; T% |/ S+ `: M, C) q0 G

7 n* n K; z, l$ p, j5 {# f

& g8 m9 i% M" B3 E$ F! U

---

; V, s% ]5 _0 ]3 N& [/ K3 K7 f

' E O6 }$ J* F! K6 V 2 E1 v" F6 ^9 X6 f+ W

' |) d8 ^1 K/ \ 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

+ O9 j0 O8 T1 ]1 V

---

& L. q# r4 ^; Q7 d+ L + q4 m+ ~0 p$ N, K! l/ ?

5 l( S. D% w/ G7 r

% f7 `7 o0 H6 U

利用cluster 这个用户我们远程登录一下域服务器如图： 0 V+ q l8 H9 d+ ^- I; e# N

+ B9 N2 Q* E, k \0 P

/ _ q! s! n8 T/ I% t! h* d . [; s$ W- w) w& W l! G

---

. p7 m% S7 W; g; r) ^

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

+ m( K k Y$ S8 Q5 L! ^

---

/ s% Q! P0 b9 }' P

$ Y- ~2 Y- {1 M; n: [- {

" r2 y5 r" ^# t- A" J

; k. Z; f" D h* x9 ~( R2 }* \& o 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

! e* \0 m4 i2 @# U( e0 o3 h) \( C. ]

, u- {6 k8 y+ x) i- Y' i

# n1 Z% w1 V# }* M0 i 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

! y7 T5 \" ~! x# V" g R9 i blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

$ b2 T" H% m3 S' N2 _, P4 |

" r' P4 n( N+ o% E; e7 W8 | C

---

$ Q) r* [6 W7 n8 X2 Y9 `& I' M# s

9 j3 w' s# a6 y2 u8 D# c

, q* l, m5 D8 R* ? 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

$ v% Q% u& ~. G

---

) f2 ~8 }/ ?% \, L7 Z) L& `

' n) ~% v3 ^ P! D

2 F9 w8 X) D& k a; J- U# Z

; Y% k# O7 e3 r9 V

利用ms08067 成功溢出服务器，成功登录服务器

, j( f; D! E/ s# J; y

9 {( I q( O, U! ^

---

) U# O" |1 b6 \1 @' A

/ H+ g3 ?3 D4 l. S9 |9 D: m) u

6 ^" U/ C) W: G$ q) I2 B

- p1 D8 X5 J$ m. k3 |# U 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

) h/ K" S$ i& I9 q( w0 g2 K( c

% r0 _7 k2 _$ U) Z [) K2 S1 G 这样两个域我们就全部拿下了。 0 k+ e. u* ^# X8 f d+ c' p

3 、通过oa 系统入侵进服务器 9 |# N& G+ V6 e7 t6 F

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

9 v* d; q0 F/ t' h$ z5 b. {$ y, B $ [% c( J$ X0 Y9 } x* V) J

---

3 K8 k: q+ f, ]6 H. U, D5 K" [# i

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

0 F* d8 q9 S% ]0 O: [ 5 n+ I4 M4 S8 t9 S% _

---

3 p, O1 o2 m4 p4 A; S- N! h3 @ ) @5 U/ y5 ~, y! y, E) `2 q

填写错误标记开扫结果如下

5 h1 s. ]* _% z5 h o, g5 b. x

---

h# W1 K( V" L3 y" U: F) t

$ A( v! i, j# q5 Y$ K

, v- O8 U0 a$ s V2 a

2 q5 w4 ]: k& Y$ }% b, ~ 下面我们进OA ' g; u6 H" h/ J1 g# r

) W% p) Q7 O' s: q

---

# l- W" P/ T0 y, P" t

' A r& k, j i6 w; L

我们想办法拿webshell ，在一处上传地方上传jsp 马如图 ' G' Y* _7 @( d" r

- h& }2 x, D# o7 b; |; U9 X

---

- a- } M8 w3 M$ R5 ?; \. C& `

( `* X: S! X0 @( i4 h+ o* R

1 M# R$ g9 x* S! i7 @

9 I) ~; h" |5 g h, A

$ o- D+ j1 D3 u4 o" C3 a7 _ `( k ( d* s) Z6 k! w6 B, M, G

8 j, V9 g- G; I) j/ @

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 ' P3 x( S' y U4 x" N

4 、利用tomcat 提权进服务器 % C2 ]9 j, i: @8 U9 e+ f3 t

9 e" V ], f9 P0 X; }( ]. x

/ B4 s& ^: `9 ?; q 用nessus 扫描目标ip 发现如图

& O+ R' t: a% w1 R" d9 ]

---

" q6 N _: {) B9 e, k

, K$ V& N4 a4 z1 c5 h0 n# a

登录如图： % o7 Z( c$ K; L: U% e! I* I6 O# W

% M) k3 v) O' b6 `# A

---

. V* @5 o7 q4 U7 F6 F! N3 H

7 o& M) {6 P* a4 N

5 ?, [ G& ^2 C; n' X' ]

$ f6 O% ^9 q1 x& K a! a- f 找个上传的地方上传如图： * C5 x7 \9 H2 ]: F, k# c' }) y% q

+ q a1 d, k9 ?$ w$ w( X

! P9 t3 _8 k" v1 q. ^: O

---

! b# \ a! v) q/ C

( @7 e |4 l+ M) ^

1 A8 Q0 ~. e1 L* R " m* H. ]! x! `. X5 v+ G# Y

0 D8 Q0 i4 ^ j6 r* T 然后就是同样执行命令提权，过程不在写了

; ^9 C: a% `- o9 @ O7 B% \; K: T

1 \9 c& A+ L1 k5 f 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 8 A. [& [! O+ M! A/ e

首先测试ARP 嗅探如图 1 `+ i6 ~+ J9 C' v. }" z

+ I6 @8 \" ?/ V- w* s

---

" B8 l/ q; ?9 ` g

$ y* z2 `" O# k

; O: V; U+ s. F. j k1 K5 D. w# h% n3 h& Q

1 b6 S. j& E" u

; c% x# ^3 }0 ]5 M T 测试结果如下图： 1 F: K$ R5 y3 R6 N

; ]4 x/ y2 }* V9 U% B: g $ ^/ [: B* d4 P1 ]! w

---

/ I# C* s X5 l% I. |

8 I5 U( J! w1 y$ J1 K" M

5 ]) m% `" u. z0 Y! ~6 p, S* Q

|4 Z5 e$ }: f3 G 哈哈嗅探到的东西少是因为这个域下才有几台机器

: m! Y' r0 C, [1 Q. A! O1 } 下面我们测试DNS欺骗，如图： + |3 a- g! c) u/ O0 T

$ ~( W2 C. }! b

" i- T! u( J; X$ H7 x $ q9 J+ ^% c# ~. T% U" s& x

---

7 m C! Q8 @) _: m$ S8 W8 ]) v $ p% m( ~6 P! h( K4 o

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： ) P& b6 r& Q& b' d, O4 r$ X

# n: c& R% }, n* n

# v2 f2 @4 B5 G* F1 c0 V2 E ! i w6 P# _9 k& x5 W

---

9 S3 m7 E) ~* l

N3 n$ W1 X6 T- `! r

3 K* j2 n7 u! k+ y/ @3 }! c' a

2 V2 N' g) d7 r I! ~* g: e （注：欺骗这个过程由于我之前录制了教程，截图教程了）

6 、成功入侵交换机 - A3 P9 I$ \8 J$ L! e

! ?$ O$ h7 ~" B4 A/ A 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 & l6 O6 K4 E0 M: e2 N7 @

我们进服务器看看，插有福吧看着面熟吧 2 S: ^0 c$ Q5 H7 A: a- \9 C- f9 _

/ K2 B( g8 Y) F7 r) N+ M

0 e' Z/ J' f ?0 |7 k# C$ f 6 q* C' k- o7 T2 q! l% W

---

3 g( |0 i/ a3 A) \5 A % r% c5 p; u- u

5 C. k7 r, {7 @' v

& I/ a3 X _$ r1 G/ J# _

装了思科交换机管理系统，我们继续看，有两个 管理员

) ^$ c; i, x+ f, B

- n/ v' t% w# P0 e ! ?" `1 W9 o% f8 ]7 m

---

8 c" L( s8 B8 Z) Q* k

& S7 j g6 c+ Z6 Z+ T

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 0 c8 E7 ]- U. h. }* p1 h

_9 K k1 @7 r& o2 |

, h$ N1 O. _5 d - z! v) g6 y; b& U: X) Z

---

" p8 @) v: n2 R7 e) a! x

& Q U- K7 I( j# P# e

0 N: l: G1 v, i' D/ o

O, W, D' M" |' f; T5 [/ u! b 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： - {) O& L. @5 p% {8 v

$ N! ^* ^. n4 f& d5 ^; a1 d3 x

% h& @3 _+ J8 z: Y# v9 ]' z

---

' j8 s0 q3 u0 |; ?. V $ {/ D# w; D e3 I- x

" B$ u5 q2 g9 l/ N8 L1 q; @$ M5 B ) G( F/ t' [- O$ p& ~

& _" ?7 e2 b" a$ V1 \, X 点config ，必须写好对应的communuity string 值，如图：

0 n- d7 n: P1 e' ?0 Q/ |6 S

---

) a: W5 i1 Q2 K

G4 e, Z% u( J8 m

+ {* u+ e Y0 P) V9 d8 g: Q0 c 远程登录看看，如图：

/ {' F7 L7 p) m$ ]( @' R

---

8 ]; Y- ]5 D) Q/ p $ ?4 C; s. Z& j& r

( z& U# {7 M/ c6 F0 i" q

& w% h, O" k) b5 c* ^3 i' `

2 _9 d9 S2 x/ K9 s: l/ L2 G

直接进入特权模式，以此类推搞了将近70 台交换机如图：

/ Z- k& s7 j3 G+ y( T% ]6 E

0 J& t0 P! [/ u! E0 x O

---

& H$ j; N/ J9 G- @/ k

8 S( M; n* m/ Z+ m

$ g) v! Z, F, L' ^

- l2 L4 [/ l9 L' D ) W5 K8 ]9 `8 h4 Q7 D/ A- b! K

1 L4 u8 |! F2 @3 k1 L7 }

: K7 p R' c R7 @ 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

8 x# x& h( V2 B8 o* ~/ T

---

2 r( K% s* N1 v, ?) I/ C8 L9 m

# q- y5 D2 x, s

- ?& m* \9 ]4 Y6 Z: m2 \

确实可以读取配置文件的。 4 U1 U" R' I" W7 H ^7 a/ X

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 \' Z$ S2 m3 z

& x, n- B: N& M3 E) E

---

$ P- L C/ C: Y# S/ s. e 5 t7 ^3 v7 N2 d

# U# s$ W8 L; q7 s, M$ ~

6 W) B" e0 H0 w' o) n Y F! R8 D

) G* ~# o. t0 j* X; S8 H& c 9 o0 p+ W- q- a1 I8 K9 T

$ I$ y. D2 `: t/ A2 t9 t% T/ w+ U! m

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

6 C; E1 e+ s! _ + w8 @6 i8 g# S0 h/ Z$ G0 w

---

5 w3 \& w: C& r! x- C2 [

, F1 C1 _/ l r# S0 L) w

上图千兆交换机管理系统。 # o" F1 o' l( V. F" I% ~

7 、入侵山石网关防火墙

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： , I* r2 h8 a, i% Y. |" t

6 U9 z X# E# E4 S

1 i2 F* x. _% g) |$ F3 ] # u O, b- k4 Z3 _0 S

---

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： # @; E$ o# V8 g

$ z9 u2 U% q8 d0 B6 d4 G

---

' U& K3 w* D2 P8 ~$ V. N, e

$ p7 M) W/ C, a. \. c: |) W$ n

! J# p; K8 }+ m

然后登陆网关如图：** 7 w8 m& l# W g: W$ l

9 y. N1 n( T- P

- s( c- t% I P: S2 e7 P 3 W) e# f" l6 u! T5 J, q. X! `

---

# s% s7 s7 F) |5 @* k

2 h% S, H* f! Y1 H. C1 R

- S) e2 q9 H% G6 y+ T

5 s5 i8 O$ p; o% e- n W ! m- K: p7 {& ]

---

: d* r, S3 K" K

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** ! |9 Z) O/ a# ^$ s) _" `6 L* s7 m

, ]0 H' H4 M) ~) z7 |7 w 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 * w: R; q6 J: \" I4 j1 _

3 r" x7 m0 c9 N" y X' e" n9 N. H 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** 3 ~" E# v9 K4 K5 M

X; c: T9 i; a8 J7 V+ q9 o

---

+ D6 }$ V. [4 X$ \ , Y. j) q4 X" d: n N. Y5 |

8 B' d/ Z$ K4 v

) |# M. K+ R k* k! [

5 a) R: @# I( A( ]# S! {/ [- m

" o. b/ }. J S' |: l 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

 

7 f4 V: n1 m$ F8 r, r

5 h9 W" B( t0 _. C