记一次某医院渗透（近源）

admin

0 d1 y: ]: U# M 声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。 ; F1 d1 W. O7 Z4 K$ _

众亦信安，中意你啊！

F7 K( F# F/ w, ?- R% IingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> 5 @+ z% x4 }) n1 x ~5 ?

) g0 u; m* _$ D- Z, `

ingFang SC,serif;"> - Q E8 h! L. c6 ^ ?6 t

' t- A. Y( Y# E

8 o( J& Y2 g0 i1 V+ V

% N+ Z. t3 i/ X; T! Z/ X% V. S, l 众亦信安 4 K% R% C8 f) X: r9 ^: \% x

8 e4 V* y$ v( k2 y; B) o, f) S$ M# N 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> 8 W$ K/ N: S: k L0 m2 I* I

0 X' `; A0 n0 p2 r

$ Y; h$ \$ M, J! ^: I3 I$ |6 z ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> & R- S n7 `& G. B" ?

! M: i$ d0 T3 X7 n _" p9 j9 n

公众号ingFang SC,serif;">

( f* e# F) |0 O/ [/ d

5 j% \* ]: C* U r; \% n% G8 j % q8 m3 o1 `3 R* i

点不了吃亏，点不了上当，设置星标，方能无恙！

) ?% L6 f, N/ b" o) W. J* @ ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">  7 k$ B2 B% h1 G6 K5 {

5 y; q+ a2 G# ]6 j4 T

" p4 H- ?( [3 H 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 9 d4 x/ v8 J0 T8 `- \0 \! l) b: U

U4 w1 y4 `) D3 Q3 H. L% {! G3 X

' a: F& D6 _2 v" a5 o1 N7 z$ Z6 m  

/ c4 q5 r- m! z; D! x

; |( O4 x0 H3 P t4 x # ^, N( z1 t0 P) P0 |! ~7 z

2 ^8 M9 ]. \7 |; w$ I! w4 ? 无线or有线

$ x9 z1 v |, m& x# U b. E : s- y; n$ d& P, _" \/ q4 \+ V! u

, L9 y$ k' I0 ^ 9 ?, s2 J! O- k" i

: a6 T/ L2 X* {' Y" N+ q 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。

一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 4 z; g8 Y' G7 v

' E4 K% s' ?# W$ a

! t$ H* S, [* O: ?4 | ! \- ?+ Z' g/ C8 [3 i) ?( b* T& P

' @. c0 C3 \: P) j* G5 A 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 ) S: p7 R1 {" D5 k

5 [+ R2 W! A5 ~) f b9 D. ~

- {( Y8 v; _3 T: s8 G. @

6 E0 p5 d0 @# [

很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） . ~0 _5 C% C5 C

0 v3 `+ { j2 e2 Q) j

. R( R+ S+ ]* b2 Q7 ?' |2 j

2 D' a0 P- c) X2 O: k 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 " R. S6 P9 t" d% S* ~

6 B/ M9 x' u+ I8 w" t

这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 1 P3 R( P; b. `! w C1 t. s

9 l, X* ]0 Y4 d8 q9 G% d$ f

# E( ]6 {: d- d. r 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。

, |2 d( G5 s* a4 \ b9 C$ C

$ [7 J6 L' R0 G5 \

内网渗透 8 I/ g5 l9 P2 ?, L% C* M

" k9 h& Q4 l3 R% b

0 r7 w/ p) A' [8 j% I# C " p% l% y, b) b# i7 j8 j

8 H* R* _4 ~' Y# W win下搭建cs和linux类似。

$ t, |4 {# o" ~" a- Q1 `

teamserver.bat + ip + 密码

8 H$ @8 W4 M, _

3 [* R. E9 u9 P: O Q* {

fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的）

- G+ Y' u. z* I# K" y- c% ^2 ]( w J

: ^7 T) K* J! X z2 c7 R% V% S

. D( h0 |" K' B! O

9 a3 P4 r: t* O6 l5 }7 K

; X( R [1 P( ? 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
) s% |: a& l6 K2 q
X' q6 k6 G* E; a

fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 6 q! U8 g: r2 Z, a3 I1 x/ S

* P. R' S6 O: s/ D, v" t, b

PACS系统

9 j8 h o: U' }! Q9 |: k/ p # T5 o+ }) I, p" u- P" k& F

) ^5 Y% s4 r: t% A

0 i* ]" \" _6 I5 {4 ^" @

. J9 ?& a1 t' w& p* j i

. L( U6 B" v3 J" G HIS系统 4 w) i: A# z- ~% \2 ^

# i, h m2 u# g( E8 R5 y! {

+ N. L; u* @6 d0 v9 S$ b5 J: S # x) ?( x! B* E2 n& s6 T' J& @

" O5 J: s6 x& [   5 S0 F8 z/ b o' E ~

* Y& K0 I3 ]3 a+ R3 J

; H& e: f# e/ ?5 _. T! k9 ~9 H, m

" h* D" f& {0 z7 f/ T0 u

还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 - H2 p: }% `8 D8 d

9 a4 {/ ]& x- f* N8 K4 o

+ P4 @ q+ X2 t" D! [4 w8 L. @ " L8 f' W9 w* G: {7 L

后话 0 V* ]) b; W; X1 e7 I/ J# j) C6 x

* e4 A% ?9 r+ J, \! V& [5 j

0 q* Y+ _6 d; O& O$ U% V 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 ( j) y6 q* q( A+ k) l8 N

---

, C! g3 O1 t9 c# F) T3 Q1 ~: B

" r9 i/ d5 E) ?; K% ^' ^# ^! ^( _9 Y. ^

( B3 f- \: ~9 y3 c0 ]" M 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。

; g9 D2 S* P, A9 V2 f3 O  

& @) P5 N2 r# U+ W! O