记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
0 b; x$ q7 j1 c4 {1 H7 Q2 k. {/ ?

如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。


因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
5 S+ v2 c# {. ^! P8 F' J
( b  Z4 l- z8 t% Z3 M------------------------------------------------------------------------------------
/ p' n. L0 a% F& l. @0 O) F
+ `3 S- @+ G* `. s5 ^$ E先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。
3 ]2 T2 V; A% V
2 v/ m- E: F. H6 H, Q) L# e+ t: f第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
% m/ \2 x4 T: q. W% G2 K4 p# a2 ]

% f/ ^0 A) \1 W毫无疑问，IPAD又奖励到了。
: a: s, R1 Q7 s) M3 A" X* M4 Z

; m" Y' Y; K; N; ~# E8 V于是我和社交网站的主管说：你要啥时候才给我部iPhone。
+ W1 t" }- |- _8 [5 r) L
  Y1 r% F6 o  V$ R, {0 {) M+ A
, |+ ]% n$ [' I* o9 A/ G* r主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.


9 n1 w) U0 M$ g) O- t/ ^  J: r# o于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)


: M( Y% _& h4 v" C( r主管回答:那就来把.打下来了给你iPhone5..

----------------------------------------------------------------------------------------------------------
" S; L. P% u$ s& }/ iA公司的外部保密做的还行，找不到几个员工的公司邮件地址。
# n4 d" `$ w3 q$ j" b. L
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.


! \- O. ]9 B, D0 x好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
8 M- Q( ?- D' y+ `
( S- V! C' b; ^3 l
# {3 k& R0 a. h9 H直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
* h+ ~) f- k$ U. ^& g
! K! h' m2 w! o( i
" D8 y: d- }  k" V对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
: V  |& |/ d" [. w
' _. l6 b2 N# v& z' `
! C' i/ F# K* A: X0 Q思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。

! q" Q- J% Q6 P9 ^- E$ X
于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。

4 I% L5 A* B) a7 m' c6 S  L+ H' E
, g" ]! X1 f+ U  g5 ^" N  i6 R对方深信不疑。自然回去访问。

$ `9 O5 `* W4 j4 G
: v9 N) @# G% E8 m  o3 x5 z6 {, k好把，大概等了几秒钟，WEB那边有session是记录了。
" b3 U+ L9 A+ J( ~
' i; f( u6 ~+ x6 n) O" B
一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。
7 G$ U1 u5 C) ?; e% Z

. @. h( x1 N& M/ ^我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
: S: [, _+ R( D5 U2 J3 m% g

A管理员说是office2007 ，这样更加证明了我的探针是对的。


于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
1 ^( T( b# p3 z; n3 h* z
7 T2 \1 f  d$ |
! O, `6 }( V# U% }3 h3 a" QA管理自然就给了我，好把。 office 0day打之。
, w5 P$ \# d9 w2 r8 v/ B5 |, A+ K5 z

打开远控，等着上线，可是就是没上。 出问题了。
' E  W; W$ e0 O. m( l, @

9 s1 `7 r, ]# k" S1 H$ hA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
- J: L' I1 [) J
# U6 F7 l* g4 g5 T" m+ o9 y3 V; o
& A/ `) [4 F9 L' `4 c5 v) ]为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
1 k; j( F' n0 s2 I: Z
% V  p5 h6 g& j$ d1 Y( A
2 j: k( }. E3 ~9 w; g6 \+ A同样的对方去访问了，系统应用很多被探测到了。
( P9 K- V0 k+ ^% o
% U* G+ s" B$ H8 m* C' j
好把，出口IP也是.14.
4 C8 D, L* L# P% D$ X4 E# x& y
: z5 \/ o; K/ e9 v2 d. X
没问题了。出口IP确定了。

2 o  ~: v0 b4 l$ C
于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
0 A$ W9 Z2 W) C3 ?

  P6 O! a$ K- ?# S; ^: i马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。

) _: B  @& W% ~
马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
9 @# Q0 b$ _8 i) M

net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
( U" K# y: P. Z/ K( ^

6 A. z/ Q0 u4 t/ g# u) v; M同时间通过密码记录，得到了内部Linux服务器的账户密码等。
* R& S) S$ g$ O8 {

8 {9 M7 U# S5 q  N% Z* |# o( o向主管个人PC机进攻。
5 b; `2 d( v- L
; i6 m7 j. K1 s简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
2 O/ m) Z1 V0 r

1 E7 k/ d# y0 p! F  K于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。


2 f; }5 X, }4 i, f---------------------------------------------------------------------------------

- K9 s& p( C$ R6 }! h  g3 P0 z
晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
+ i% s: t+ k8 t6 }* i) L  s) r

+ ~& Y" C' F6 `+ }# s1 U1 B: r晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone


我觉得人还是别太贪心了好。贪心会出事。

1 l3 x- b$ Y7 T/ R$ ~
于是我坚决的把马给卸载了。

( W/ T4 q# h" i) f! c: s; a6 i' g
  j8 n' R$ ^3 D+ d---------------------------------------------------------------------------------
4 w$ ^' ]7 C6 C! j( a对于后续攻击，我的思路如下了：
& ]3 v9 o0 P8 W( Y' ~

! _; d# a" v. Y/ I* v  g' s搜集内部员工的EMAIL，探针+office打之。
$ ?( A9 |; l' g& w
- C& W9 g5 r' d5 C8 @: A
9 R8 }' Z9 @2 A  A7 a" g内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码

& D1 E# p  a7 x
通过登录A管理员公司邮箱发邮件下手。


, Z3 f! I$ u( r+ J* [* c. K0 v内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
. f+ P4 W! D$ F, ]. B
厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
-------------------------------------------------------------------------------
  n4 {2 ~& V( n6 L
最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
- B* X$ U. `7 W