找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 1412|回复: 0
打印 上一主题 下一主题

记一次APT攻击(简略)

[复制链接]
跳转到指定楼层
楼主
发表于 2014-1-7 19:01:09 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式
在这次APT中,笔者完全是吃饱了撑着没事做。因为来打国内的目标。
1 i9 v! J( Z1 |* I# P
, o9 L" C8 L; C1 w5 @5 A( t

$ \( l6 q$ [6 T: e& g如果你觉得我本文写的不好,你可以BYPASS或者不看我的文章。 当我是个SB,而我也会说是乱写的。
, g  n% b, Q. p2 ^- {6 c7 x  \8 I8 b) @( l: d% n
# W  d6 Y% J0 d2 k& @& y
因为对方公司比较敏感,而且我也怕事。所以以文本的方式来写把。4 T0 G4 p' C  z* c5 J# y8 T$ s9 x% W/ b

: i7 d) e( P* R------------------------------------------------------------------------------------
4 @5 g& ?6 I5 Y  W. D, e) j) \" F: Z/ b) v- ~7 p$ s$ u: `: b( b! Q
先前发现过国内最大的某社交网站的漏洞,得到了第一笔奖金以外。愈发不可收拾。" Q  I3 y7 c) y6 Y7 a6 s9 m/ P6 i

5 j7 f4 s) b" C& ~# G& Y第二次渗透维持在几个月前,通过社工进入了后台,拿到了WEBSHELL以及端掉了整个内网,在去那公司上报。7 t, m( ]6 k. a

, N. ]1 P0 g2 i$ _$ D' N! O
6 c+ s9 @2 O( ]9 Y7 c- _4 c7 X
毫无疑问,IPAD又奖励到了。* v8 H- A4 n: d% D' L' X

, v' Z" m6 ~9 f5 E$ c

. J/ A9 H+ o; d0 \1 }于是我和社交网站的主管说:你要啥时候才给我部iPhone。
, p5 ~3 n/ G9 d9 Y
! T- A: p+ j2 ~, G
. ]1 k+ Q' _7 i% C% s! {% X
主管回答:等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
! w% m% O$ `  Y
1 B6 D( M/ D. R3 a! I
. J4 V5 f7 ?: _0 M% W5 [3 F
于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)2 A0 |) r( M9 k! V

. i8 X) b% I3 V- i7 O3 y$ C
2 ]$ O: j4 @9 Q* T! C  H* ^
主管回答:那就来把.打下来了给你iPhone5..
/ M* y0 i. L/ _9 T: q8 ~! K! K2 T
8 O$ j# i) y& N- G8 E& ]----------------------------------------------------------------------------------------------------------( s  x) N. c6 s. a8 Q$ }  w
A公司的外部保密做的还行,找不到几个员工的公司邮件地址。
" g, x8 |! e' w0 ]
2 `) l$ i& n- @9 V( P$ M之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
/ ]: y1 x7 R' A: S: M4 A3 G) K4 F' \

! Q7 Y8 B* J" v好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
6 w5 |( ^: O/ p, _
7 m( Q' j8 Q) c! r
( o' Q6 m7 T7 Y' ^
直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
' G3 M. h. |7 g1 X8 M
/ v0 ~7 i% o. `) C2 l! Q% j+ L

) e1 Q6 x( O& }- Y) b; `" S对方对我丝毫没有防备,只想来和我请教和讨论一些问题。好把
4 N+ g- f# L  q6 H' N+ a1 d9 w/ k7 `: i' u
# f4 f! I2 p1 n' x9 b: Z0 [3 t/ a
思路:先搭建WEB,探测对方杀毒软件以及office版本以及系统的一些组建。
# A7 o/ v! p: A/ {6 S1 S# t* Z6 x+ X; U; h

* v8 P' I" D6 x于是我搭建了1个WEB,去找A公司的管理员,问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行,获取了对方的信任。尤其又爆了对方2次漏洞了。  }$ }% B# E' ]4 }

% f( J% h+ {2 b8 Y

! K. s9 M( i  R对方深信不疑。自然回去访问。
( d/ w) K1 @# C, |- G. F7 S: a0 @; Q# R& H3 l5 v
& e, C2 K7 [& [( V
好把,大概等了几秒钟,WEB那边有session是记录了。; d; Y$ v% i1 r' ^3 ^, ~
( T( S, f7 i2 a  j7 k* ^, D) u) ?
8 b3 g3 k2 G' C' U0 V% Y7 {
一看,出口IP为X.X.X.14,office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。
" |) v5 c$ }) e' T+ |
+ Y* A% O% q5 G2 j/ d. B1 l

; p' v6 p1 k+ T% q4 D' t0 N我很委婉的问了他office版本是多少,说我装的是office 2013  怕兼容不好 打不开。- I. k3 {, T$ g+ d) N

/ G; |( w& d: W7 b- m- h, G

, Z1 F8 p' w+ x. c/ QA管理员说是office2007 ,这样更加证明了我的探针是对的。1 p: X$ s1 }8 M8 @4 Y8 J
) T; \; R1 o* j& i' p
5 d* e. m6 `" g) ~& |
于是我和A管理员说,有封渗透测试的报告要发他,让他给我邮箱。
( Z4 W2 n8 Q! `7 _+ I$ z
! n1 y! n9 \1 L( B

: @& B, v: `) e) v/ _A管理自然就给了我,好把。 office 0day打之。/ v  Y5 ], u2 r+ n% K" R0 j
4 o  g; J+ s. W" u
" j- Z/ Z% H/ L4 Y
打开远控,等着上线,可是就是没上。 出问题了。
  p8 F8 y4 `2 a5 L. I% K$ L  I) V4 V2 v- `( b1 e- z* R
( A0 S& z# e+ A3 |+ N3 N; v
A管理员他office2007有问题,打不开。 但是我在给他发邮件的时候,探针早就加上了。确实是运行了。 好把 无语了。! F7 E+ A. O% d% `$ |/ {
) N/ S" J0 @' s9 N

* b- X; k5 y1 {* b8 i. ^为了判断是否同一出口IP,找了A主管,继续诱骗,问我搭建的WEB是不是他们的应用。3 E  `3 s$ |5 o" u
* Q0 j3 t! L3 B9 r- K" g! g
  g0 g' g$ e* n$ I+ J
同样的对方去访问了,系统应用很多被探测到了。
- @+ B8 h" R+ l7 s- G: r" [, f  J# Y5 V9 Z9 G- H) H5 z0 j

) c! A) ], Z7 s0 B+ n  i好把,出口IP也是.14.' R$ O7 {5 U/ t

& L7 \& T! ?2 _

: h, ~$ q+ {: ?2 [6 p没问题了。出口IP确定了。
0 G$ f: P$ N6 o* M! p# F) N$ e5 Q) d6 z* y+ \  X, y3 a6 s* P
9 U5 f; f% w5 S7 S$ @, _0 h
于是A管理说要学反弹,让我教他。 好的,我非常乐意教他。- T  m+ z- N; l) a
) R% J" W9 v4 H; P/ F
& `8 }7 R6 Q  `1 K- |2 I' A; z
马绑之,一会就上线了。 之后很耐心的教了A管理反弹的一些方式。5 D  Z  A6 _6 o7 O$ I" f

/ P1 m  r/ n9 Y+ y7 o- X) r

8 Q( F* I7 o$ @) D$ t* N马上线之后,速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等,同时也获取到了内部大量员工的个人联系方式。/ W9 Q1 _& k! M& ~% O

; D2 J* s' [- Y
4 u2 K/ a5 j  J+ B( @9 ^8 t
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比,确定了当前工作组下的XXXPC就是A主管的电脑。
8 u; {9 K5 ~3 q# I$ Y" L. K. L4 N3 W) d. T( B% [8 h

. x: K% V3 |2 }1 V$ |! `同时间通过密码记录,得到了内部Linux服务器的账户密码等。
& ?% z7 ?+ Z0 a
& w/ V3 \- U8 d% _5 E( W

" O6 f% {0 C" l! u; A7 \" h向主管个人PC机进攻。; k0 p5 |3 ^% _7 ^+ X0 D
" G0 K; T4 ]. J# y7 Y' `
简单的判断了一些,发现对方电脑是WIN7,开了防火墙。 IPC共享也建立不了。
3 x: e3 }2 |9 Z- x
. n9 u' v0 C9 L% d2 Q' `+ X$ a4 u
- z; }, U( A% p, z/ ~5 a* _9 `
于是想,难道又给他发封渗透测试的邮件? 暂时搁浅。- u0 {' b, p. E8 \* ?

8 P; n0 P( F4 N# `8 K
, a9 F' k' ~7 F$ G  O2 p6 v/ F) p
---------------------------------------------------------------------------------, h* k) C1 p: P- ?

/ p/ Z# c+ c; g% Z1 m% Y
2 y: R) w* O# g, I1 {8 O# v
晚上和朋友聊的时候,说别人会不会给我iPhone, 几个朋友劝我。 别被弄去捡肥皂了。  R; @2 h" D; w, T- N: N

& I  ?/ Y! C9 O! P( n+ |
+ R. n  Z5 p2 ]0 ~# j1 k5 y4 L
晚上睡觉的时候想了想,虽然媳妇快生日了。我舍不得拿5K买个iPhone
. L. V7 s  Z( b  V  Z' |& {) f6 S( \( e* N% q" U8 |/ H
! _! V3 V+ L1 J* R
我觉得人还是别太贪心了好。贪心会出事。% ^+ P1 U6 N" P0 D( k  ^) M5 ^
9 c* Y  e) B9 j8 X! L+ K" M

4 Y2 S! R. H/ |, e8 D4 }于是我坚决的把马给卸载了。
- J6 a) @4 v8 r, m( _3 i" ]
$ a/ W+ X) U9 C# `$ g
  S: q7 r. z- U
---------------------------------------------------------------------------------
9 `+ t/ l' D4 @+ H对于后续攻击,我的思路如下了:
# G  b: i6 X% D+ A0 _; ~2 y0 Z
5 t5 Q2 Y7 a3 X' F  T# k: T

+ G% I4 M0 n4 |6 E搜集内部员工的EMAIL,探针+office打之。
: N, D7 E8 w6 u) b9 k! }/ f  B* G
) m5 p  D0 q( I* M
1 N. d5 }! u5 T- g3 t
内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
2 R: n0 w3 O1 W6 N% P' |5 s# f4 C- [5 d" f7 S% g+ L. O: j: u
1 K" b7 S# F, g9 O/ _* T3 d& \
通过登录A管理员公司邮箱发邮件下手。
5 z3 c* f: c3 e  \- ]
" `# f% K2 n" g' G. ~
0 w7 E& x- g8 a- j7 R5 `' X$ @4 r
内网工作组渗透很恶心,都是WIN7。防火墙开着。 扯淡去把。。。5 a; \) M1 C! H) j
4 h' v2 C* m, r- \2 H/ o
厉时很长,但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。

: u+ I, b+ X9 K" V& S6 F/ G+ r-------------------------------------------------------------------------------
8 v( H4 G3 k1 `* x: x3 [
0 F  I, K3 W0 {5 p3 m0 X$ P
最后:我也学着玩微博了 :http://t.qq.com/Axis_2  求关注, 谢谢。
  Y, x' T* Y3 N* k8 X, U
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表