渗透测试某大型集团企业内网

admin

g/ Y8 o( D: C0 ?$ N! P8 i

1、弱口令扫描提权进服务器

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: % q- ?$ X0 z1 m1 V

0 W* d; X( I/ b9 q/ Y8 N; K6 H

---

/ Y6 {3 C+ O2 [3 c, k 1 U) k8 M3 J# E4 L6 m3 p

/ L8 e4 h5 y' r9 R # _8 J; h& t# N

6 r/ M; _8 P1 ^) z! Y& k& C: g0 d

1 `& b3 u7 H" Q p- z: Q# r$ n

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

- w! w' G, z" r* H! \' H 执行一下命令看看

: _& X, S- n! `9 e2 O, {7 W

---

1 Q5 Z3 e% s; s' m3 T # e: N( S3 n* I: Y& p4 R6 ]9 H

' G8 D; D5 m( T% X& C2 F

]9 L' D- g: R. P! l1 K, Y4 \ 开了3389 ，直接加账号进去 $ ^, d5 ~: v9 L; y- _

4 o* a/ k2 {3 p; S6 G5 K9 y

---

& T+ T, x+ S2 ?% V+ P6 r4 M( [# B " w# P& z9 C& w$ q6 K7 @: k7 b

; E2 u/ g7 _- _1 D, @

1 L# H: X/ z& W& k- g 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

! t. f$ D" Z! U5 V! {- x

" U; g. A/ {: d0 _

---

7 m6 w9 s: l" ]) k

8 i, U7 H3 M6 P& j: H/ x' \6 @

" G6 S& ^# ~7 D) v1 [8 V6 `4 l; F1 P 直接加个后门， ( a$ e+ Q9 V! ]' E5 U1 d5 i

. T+ Y+ o' J5 p" I% M9 c4 b7 c: c 7 w7 y6 P) ~; V( ]+ W

% ~3 a' r! P1 c' v

# N9 L4 w; X; u6 R4 F( Y 9 U# G9 G* d+ O& n' Q5 {

---

# M0 c, J1 k- x2 a7 ~( p

5 j& a' e- \% s& ~6 `

4 g. c0 Z; H0 R* c/ I; c 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

: X+ V: R+ i4 e. z

* y* K1 \4 ]# O4 n( x 2 、域环境下渗透搞定域内全部机器

5 z! P2 Y3 \$ k. P

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

+ x* y2 t" M% O5 \/ N

5 Z; c! W! p5 Z) J" _! Q

---

& A+ j% [2 Z8 E# Z* ^2 \, D

当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 9 d2 Q/ c) O* U; s" A

_* L2 y! H- A& M$ R

---

; H: w7 a6 Q5 M# H5 ]1 T

& X' a; r. H5 A% k9 z

+ S" ?+ S# F) f

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： , o5 R" T+ D& ^$ I+ O) e

6 ~7 q; T9 Y! V" Y& b4 U+ ~

5 L, X' B& R& Q$ V$ A- } % e @2 M& [; a

---

# F8 ?, e+ V6 S- e& h0 h' a " z# P) b/ @( G* f

1 ]2 {& x- ^7 p. t

4 N. @! ~6 f- {* t' H4 H& u

利用cluster 这个用户我们远程登录一下域服务器如图：

3 k# V' P1 D" g4 O9 k

2 r" m8 n* H# v* i/ X! G0 T

---

. r' ]. Q) n r: R

1 R: `# d" f- o! k8 U

5 w/ F' E1 S9 y6 ~ 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

& }4 H! C' U7 j1 G7 l) u

6 f6 a' P3 L! T& o) }) p

---

& }" P; a# @& {

4 C& W) n7 \: M+ d # f0 @( i8 @- y L

/ c f% O8 J, ]# H. p# {( i! C" d 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： $ b& g" w+ X- ?3 k% p

N' j" ?3 ~$ m+ e [+ q: O4 w5 m; q

" q( J- b8 Q" R" R5 q0 v3 C- k

: c. H( g* ~! j% k 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping 6 h8 ~, _0 ?! w0 ?

* h) ~/ h2 @ h' N

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

; B) U9 j8 r- ~/ S$ y4 c

# K5 H# b U! o1 J

---

# I; a* B4 W+ |2 N

1 K [% Y& t/ v% D

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 ; G) v- L9 B! q# T3 t% g

1 V0 S6 i) i+ o1 o

---

# w" J- {4 U" L7 r: }. n

. }' Y6 \0 g6 z& t: E 8 `/ q' B% X4 b9 d3 m D( h) d

0 N1 N# w. k& M6 X7 K- U 利用ms08067 成功溢出服务器，成功登录服务器

# K% ?' h+ a6 b. s( I! f

---

. }. j$ i m% | : V* O! s0 q& S0 {" h9 c6 F

5 ?% C( O* y1 ^2 V f

5 O, \9 O: |( h: [! G 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

- L& @' s. m' e8 N" l# x" I

! Q- x \! v7 v& Q, b' T* m 这样两个域我们就全部拿下了。 : p, U' O0 u0 c/ X$ K# d

! C/ E3 n2 F# H, g

- _/ v6 h1 V( K) Z, q3 [3 H) Z 3 、通过oa 系统入侵进服务器

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

4 e# U. U, [8 v: Y7 H% X3 x

8 r- o7 [2 A6 b! ~

---

, _" B! N# c* V& y

" Y/ U6 p: t8 U. G7 K5 Q

# q1 j6 f5 Z/ I9 I7 |

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

6 ]- \8 [* h: I, V- M! E

---

" P; `7 h) e, z, W1 z2 {; N& N

1 r' J! u/ F8 L2 Y" S3 d$ y 0 U7 i& M7 ]0 n' u$ [4 h7 I4 A

& w% K/ s6 S- o) G

3 Y& r" @9 W C* Z' @% a 填写错误标记开扫结果如下 4 m" u q% N8 x/ W$ J

---

0 p( Y; L! q0 K: k! a# j

. j- O+ c$ \1 {- k R

G, |7 C0 H1 F& Y

$ d" M) i, j3 x) m, k% U% w0 e

下面我们进OA $ L+ K6 c' }7 J0 D$ O* f

9 w! L8 \* J1 w) L; X( I( \ Y! c

8 B \! K5 ~* U# O5 x% c4 O6 |

---

, ^4 {- e, B3 H% Z

2 f# ^6 z, [3 [' Z . j3 v0 B6 y) `' o

, ?/ f# `* p4 f, Z 我们想办法拿webshell ，在一处上传地方上传jsp 马如图

! u' I! r. \8 p5 J \: B

---

% u! \8 r ?9 t0 O. L% b2 K

: S/ G# i7 X. u3 R7 a" \" j, r6 e

5 F( m9 S4 H. p/ I 4 s, U/ _: Y3 X, _4 f0 Z

, x5 |. W1 \+ ]6 a7 H! ^1 B

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 ) _9 _+ O! [# t; t

4 、利用tomcat 提权进服务器

用nessus 扫描目标ip 发现如图

7 p! t2 V6 z, t* P: @% z; Z8 S. K

3 z) z! Y& d+ @3 Q+ k+ t 7 N8 U$ j' F# Y

---

. B3 c& H6 b7 w* d, J! \' s9 V

- x9 C w9 L3 v1 j& Y3 z- ]

登录如图： $ e! v4 Q( g" M @% N

% I. j. Y. d7 t7 }3 m" S& O' |

, A, t+ R% r# S; a

---

找个上传的地方上传如图：

---

, u6 r6 X9 @9 \- ?- ^

& y" k m* V# @& r1 s2 K* v + s' |- A _7 L3 U" i7 m' f

, R, h6 |$ T, O4 n, {0 D3 Z) X/ Z

% f* [1 {! g! o- L" [- o 然后就是同样执行命令提权，过程不在写了

7 i& F: z% h$ i" E) h

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 # c! _+ ?6 ^+ t, `) s5 ?7 T

首先测试ARP 嗅探如图 $ F5 C# b; H; v' j- v4 e8 i

/ j: j' g7 p9 P- b% M/ I# [# J

---

. k- J, b9 y( V6 U9 }0 x) V, ]! _, ?4 P

& n* D/ B$ J( w) h$ b + R6 V; M# D0 R7 Q0 u7 x& R0 R

$ W& ], M$ j9 b) B. K

测试结果如下图： 1 d+ _! o2 Y/ |$ ?) t

5 Q* J3 v3 U2 n5 z& V& |) { I! g8 q

---

* ?/ B& y7 j4 s& x

5 H3 v7 V5 h* H 哈哈嗅探到的东西少是因为这个域下才有几台机器

$ R$ I8 C( t0 z6 m4 b c

下面我们测试DNS欺骗，如图：

---

% S, U$ ^& A% G( A; O" {

! @7 n4 T" X, _ # n4 c8 l$ A* a H5 \( V+ @

3 o- A9 q# s7 W/ T

0 D7 o/ ^- X) Y3 H( u! U: Q( n 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

& ~( ~1 @# B% d y3 }) R 0 o) @# D; A& e9 b% u

---

2 n! b1 t$ W& F" K

9 ?) j D- V! @) ], s: d

（注：欺骗这个过程由于我之前录制了教程，截图教程了） 3 o& l6 C+ ~. p' {. E

2 y- [3 ]" Z0 T' f 6 、成功入侵交换机

. u& @% S* ]1 K/ E

+ Y9 |. t7 x! B6 J2 s, I, ]( H8 v 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 % F( S9 _6 S, J/ X5 \2 Y# ~( P

% l6 M$ H3 Y* u7 B9 ` 我们进服务器看看，插有福吧看着面熟吧

5 c9 S+ x# q( u/ j+ }

---

2 w; L a# y! Z* F

$ [6 V t6 @- J% h

$ h; M6 ^2 ^# N2 ^- {0 Q 装了思科交换机管理系统，我们继续看，有两个 管理员 7 `& U# [+ \( N4 T$ z8 ?' l

+ D# D8 d/ } D9 e

& J9 d2 z) o" y% C7 D ) H# @, q6 M- H, t. I: m3 x

---

! e' H- P8 ]* H" c5 h( |

5 e7 v' P. i8 z: }4 {! X6 a- Z

3 y+ L8 {: h! i G9 T

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

7 i) }6 r) V9 \: U4 g

' D, M2 S2 x0 s1 v3 V) n( t

---

0 D& Z1 I. t& j; K- D6 \ 9 o J% W* V7 u: e2 Y

( a9 q% s: S- F0 |1 G: u( u

0 a* E! x, ^; g7 y3 X' r# g

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

, `, U2 S: C$ r. W

8 w' `* `2 T3 v 0 d3 L7 g5 a) m7 D8 r, Q5 q, f+ z

---

# K4 o2 J, B0 X: `; D6 W

+ P, [5 f" X+ ^

点config ，必须写好对应的communuity string 值，如图：

6 t) S0 X3 m% n+ C1 ` ; D& D9 w' E5 H: Z/ `: j- E

---

' I1 E1 }% b/ e. J; T

7 C* T6 [9 y; J3 D/ y' B ! V2 \) }5 x; A8 L- L. k, c

6 P* S1 R, }, u8 l

远程登录看看，如图：

, Y3 `$ m2 F8 r R3 O, ~' c# @

% E) t, n6 b5 [! R o; W8 i6 e

---

% Y( F) O3 }9 y- V) X9 E" o! [ , b: @2 M# h9 L$ e; {+ h/ g' a2 {

E& f6 [; s* ?. |1 O( y8 n3 I

4 x% X# e, l7 v0 o0 M% _- a" H9 v

, \+ j9 w4 l! z$ F/ r8 h% C7 }5 m6 ? 直接进入特权模式，以此类推搞了将近70 台交换机如图：

: O% T( `& R9 r! b7 l

8 v# U* {& `+ x# p# u& B7 w/ H

---

; G9 m6 i. Y7 O3 E ! i% i! r) E8 N

- D* G8 C6 _) i# G B9 S' c

; e8 S- y4 ~" A' o' k/ o

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 0 g% z7 P2 f/ F0 @. o: ?. R" Z

5 x, |3 p \- c' {9 r2 d4 Z

0 @9 q% C1 }5 }. _! f5 j% z

---

1 r" s5 z; t8 O) X7 {5 T , e: X' e* P. e c% ]) }" i

* I8 d- j4 u$ M9 n

( w& J* P& @0 U# W' q

$ n1 t( _; P/ i( O7 s9 x, Q: H

确实可以读取配置文件的。

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

6 r. ?7 g. K0 n2 S2 j

" P' y# |! u- @7 _/ T6 _% C

---

- G; p3 w9 x4 B2 z

/ o3 H; h8 r. _- G: e- }- I

0 O/ {) W1 G" E% ^

7 M, _. s. Y3 Y8 h' Q. m2 m/ p5 i/ H 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 0 ]$ L' w9 G1 ]/ V8 K# o# W

6 u% o$ r6 ?5 Y" k

. k9 T- i9 U4 H, H* e% P0 C }7 |' p

---

% n, a/ ]& l' x' S1 M

上图千兆交换机管理系统。 2 I1 o& ?) S0 M. `

0 k! D0 x! C0 s. |

- j$ s8 \- C- ~ f* i 7 、入侵山石网关防火墙

* w' w5 m% k! u9 G$ G) r+ t" Q

S2 w$ a2 ~( g0 f# G* j, g+ E 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

- v' [. E* A/ {; L! {* L$ a* W

---

8 ]2 u: T! {. ^! ~3 ` 8 B9 K- w. x" s, N) u0 a1 g8 k

6 k( x' I0 [1 z/ o+ R

z! u) }/ H: m# v- b , M+ ]" }& q/ ?. B! O0 P# B

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 8 k7 n7 f' G8 t7 F- c9 }

: a2 ^% ?7 g9 T' @

4 z+ J |" U0 o* J " R* @5 \; Y4 p5 j% @, L

---

5 ?& @6 r! M2 \- z& M+ _( o

6 Y& h' R- O6 P4 p2 Y& _

' R9 V& V* Q1 {/ s 9 k9 e r3 P3 ^% `& f+ b" R- z

9 W+ ?* {( O! p1 L B

6 ^, j% H% t1 u h, N 然后登陆网关如图：**

/ K3 x2 P+ q/ H( C8 {" H2 l3 h

# K }0 b7 R. o9 J/ J3 t# ]

---

0 W" Q0 T/ K0 o7 Q! O' v$ A7 A S

7 \- U% G: ?1 _, e" s! v% S* \4 U3 F" B 0 e8 c* Z( U7 W1 z' N6 Y

6 n6 C7 O( s9 i, K8 r

---

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

1 s. x3 B$ c" T& K0 f9 b

! C3 [6 w7 ^4 P; h 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 . s5 R; F8 {8 B& v8 O2 b

; q6 F# K$ M- [, J/ I$ o) v 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** + b0 u5 ~% _" L& [ U

1 f! z, n& Y* x; Y% h( N

---

; z9 O' ]( d5 D) v

4 {/ S# C6 s: x# V

, j$ ^* h# [8 M, b0 U

9 A, w O; |7 ?$ L% g, f

: Z! c, j* U+ q" P/ I0 m5 U; y 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 2 v, M, d. e) o2 A/ D

- R' L4 H- B4 A9 Q, a' ~) |9 t |

4 C e `6 B: O& g5 t  

; a! Y! q |& i! N4 O6 `- Y

% {! T# [9 d3 g: Y3 Q