渗透测试某大型集团企业内网

admin

: o! U y: v6 u0 Q
# t+ r0 u1 f, [5 H' L8 z

l: H$ [' Q& m5 W: s: c9 g

" V5 ` K6 ~, Y2 l 1、弱口令扫描提权进服务器

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

- Q1 c+ q1 c) A( x

---

1 Z h. o4 j. F/ u6 _9 D4 o

- B, W' `( t; V3 u5 g$ [2 r

+ K U3 y' ]# P2 _

; f! l3 R( H% g/ K1 I

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 , i+ p/ A1 U& \2 q$ e% }

: d1 e9 N1 |4 n# L2 k- t

执行一下命令看看 $ g7 h5 u3 y& |0 J, r( s9 B- g

9 x% ?2 i; `& U* ~

1 {& }' i$ }' i. s9 s1 A1 g4 b

( ~9 P2 O% B' D- w0 f

---

% L: \$ n& P1 q" R. Z+ H) E& R 开了3389 ，直接加账号进去 1 v& Q# G1 c- [/ J& ^

5 J- L5 n2 A4 g1 o

( y3 e( R/ x) |& v% c

---

: P# G) {/ x: c0 y

' \# t" ?4 B; B7 R$ E& D% Z

% d" L1 O" L; l u; { 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

( i) m& [2 I( m0 j2 s 2 } A0 r, j. L' b, z

---

# I. E2 o. {- g+ `! \

4 S9 I6 F# X# L6 [

& V x" a" T/ b, O+ {# }/ z 直接加个后门， 3 a) e! \7 X5 N8 H' o

& B# b& ]( P% t' q8 X/ k

' g- v+ u* Y+ P' a6 Q9 l7 v1 M! d % ?. ?5 [/ e y( W( x( P( |

! j! j( G1 ?; H1 {6 w

---

9 [& ~5 ?' S7 B+ H W$ V

* E/ }4 v. d- D: e* d1 q+ x, P8 U 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 ; v2 ?2 k+ A$ B# b; C* d" Y

4 Y: g# P$ s* y! Q6 D, l- c 2 、域环境下渗透搞定域内全部机器

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 - ` Z& H+ ?% O# l/ M/ S" z$ c

/ ~3 p, ^) [4 O* Y- q0 Q) S

|) n3 }' g+ E _! e

---

) a0 h/ r B" I: l. H

, \6 k0 U- j; x8 l

! s+ T" B" R2 r) _4 }# j' ~+ A 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 ( L1 A- i& H4 o/ s/ S$ j

& k, n) i% j2 E' |. J

' n* B8 k, m' S# |+ e* ]: O

---

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： + O% n S0 F9 ~0 @% F, N3 I

/ o$ j3 T+ ^. g! C% r) n$ h7 x. J

---

, _# M$ |* s1 b; `: m

0 F6 @- T0 a# y- g) e/ j+ f+ P7 l

% p" n% F8 l0 h7 u; d

) p7 _$ S( O9 o# H+ T# z- m

& J3 a2 T6 y" X5 T" \9 g, M 利用cluster 这个用户我们远程登录一下域服务器如图： # V' z0 ~# E" [/ t4 R! B$ m

D# f6 M5 I9 Z# P# ]: `

" K8 U1 x6 J+ ^7 K

---

( ]( l, F3 w) H& d: m s$ j

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： : O2 F& k0 }0 u) {3 T7 d2 O

---

. W% \; \; H) C2 Q( V

/ D0 z* o8 ^" u" m4 q

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

3 B/ c' h/ N3 l2 A; C+ y4 | % F) _5 }6 S3 U2 _5 Q- n: @

: `6 S' S8 n$ G0 w6 K3 G5 J

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

" g4 O+ c6 R n: p' l' U3 i, K

---

3 A+ R! `) n( O

3 q6 e8 R) i/ J; \

7 K4 v: e8 R7 _0 V 7 s: y6 [6 _, |

) i# l, N4 }* V0 E+ k. b8 |

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

: J ?& a2 r8 G0 R8 |3 L & s2 f: c, j3 U3 f# J: y- v/ k

---

: n, ~* Q& x% O9 r/ H8 q z% m

& Q4 }; f5 \" ?% z2 ^ V1 {" s

6 P* w' v% g/ _' s: n f 4 n/ B8 d3 O" c5 Z

利用ms08067 成功溢出服务器，成功登录服务器 + T0 E3 U# C7 u7 U! m

7 ]$ M( ~& E3 h# G$ Q S

# t9 p. q' E1 [

---

9 w5 F1 k! `' R: B/ S0 Y

8 v, n4 T8 q( A2 h4 H- c9 F 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen ) i5 _4 T t' j

) {' k4 x& g# y, Q6 Z

这样两个域我们就全部拿下了。 ; o) l5 z% j' E! K9 q2 o

9 X3 D% H! _3 S* o' m* e* T7 Z 3 、通过oa 系统入侵进服务器 1 C% K K! q& ]) x# a3 e

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 7 E. g; M' l' D7 F

( f! j8 D* l6 c+ D- x5 b

---

- J4 H7 F* U$ j, [3 `4 i% `

) L# k0 ^. C0 G; a' [! n/ }

8 r. J. t/ Y! R* y y- z3 ?7 {

- b) A+ O( L7 ^0 d4 D 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 # p7 t. P( k7 f

# A1 @& ^2 |) v8 G1 U: F

' t& k3 c* ~4 C0 @2 ` 6 v* L- f6 W8 b; F7 h& K' c

---

" S( \7 ~8 ~( _2 `6 S0 H

M+ q5 P' o) ]: I- |2 W

+ p$ Z# X6 }( D& \: h" k 填写错误标记开扫结果如下

---

# D% m' a; I0 U9 ]5 c N& ^ " t2 T6 x2 n- s+ {7 n: P

# H3 G6 S' \9 Z

# x9 Z w0 }/ y1 [' M$ X6 j" f9 f$ a

5 {; d; p$ |, ^! _3 f! F1 s+ Y 下面我们进OA

2 D" A2 q) X4 P( p1 L

$ J, e; x4 n% g5 H( W / U+ c1 X3 J s1 B; @ D2 u

---

* E% f4 ]0 |/ z/ }- U) _

3 e7 b6 O2 b% u0 \" W% U: D 5 T, T1 P2 c( i6 G! R) H

我们想办法拿webshell ，在一处上传地方上传jsp 马如图 # g0 H; a5 T, h3 G; F- R9 K% f

" s2 c( Q, w6 |

---

' q0 |# ~# {4 ]8 H. c" [ c% @1 W

5 }7 H7 A* ~/ e% ~7 h

1 y$ `) n8 a. j+ M6 B2 {

: r$ v+ f7 B; K

+ ?& X, ]" u2 E* }. x 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

" @# ~6 P( v- X" ?4 m$ {. Z+ f 4 、利用tomcat 提权进服务器 8 |0 G' K1 f0 |6 L' ~7 F. o

1 O( Y0 ^* N4 E; x( C# ?0 @

用nessus 扫描目标ip 发现如图

2 u* z. z: Q) D: m9 A3 L) j- q $ L& R$ Z+ ]3 r2 y- ^

---

7 Y# I+ P2 b" M

3 R: f& x; q7 h/ _, z$ i

& [ \: H0 A# N4 z: O

4 z2 L+ p9 K7 `( e 登录如图： , Y: s+ d: v0 K% B, ?3 x4 ^

---

9 m) w" e) y1 ^* A

* K; a" a- W3 ]: t

找个上传的地方上传如图： N5 M; T+ q. C9 o5 n% F

& C1 S8 w/ i. i0 t4 v 0 F$ w3 R! G/ V) t& f

---

) k( I1 x, b- @0 Y! p9 d 0 C( C# g: z: b( T$ `& D) n+ c

, D$ J* y# S4 g- O1 f , [% h! C( l. O; Q: ~' e3 j$ U

然后就是同样执行命令提权，过程不在写了

' X ?7 [1 t: I) ~+ W. `1 _( p8 U

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 3 `: _ b0 N* j) A. b

+ |. Z* J# T$ N- `

首先测试ARP 嗅探如图

" s5 u" X) ]! z9 v: m6 W - p$ L/ C4 {! D, z$ b4 x

---

' |: _9 n2 s( D% }. u' ] $ k# T* c: c6 Z5 }+ v a

, ?6 Z8 ^7 V- ?) O

测试结果如下图：

/ p# ^2 i, \1 [$ c" d# F

6 B5 }% w7 ?( {8 q# v 4 _/ ]: C T9 R% e5 \, y

---

: r6 }8 |/ B. p

; _9 g4 j, P. v4 `7 r9 @

4 r" V. h" z) y3 c6 {

' U7 V7 k% _8 b: A# X9 Z 哈哈嗅探到的东西少是因为这个域下才有几台机器 6 O+ X9 ]; `2 x% p8 }# x, C

下面我们测试DNS欺骗，如图：

---

( p9 ~* v1 I% r 5 N- c. J+ L; S; }% \' ^& @

: [8 C* Y+ D, N. d% ~0 R: C" z

, M/ [0 M4 N7 L+ D$ |+ P, o

+ r9 t9 \$ M4 K m 10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

, F+ H6 V7 m- Y- y0 O! o

8 E3 ^( I/ {; ]2 X5 n

---

# x$ ~$ z) ]" m7 r; a) _

% Q3 i) [( i- P C/ L/ l

（注：欺骗这个过程由于我之前录制了教程，截图教程了）

0 F, o4 r7 g/ W. p- @5 x 6 、成功入侵交换机 / w2 D3 i8 W4 M t) J

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

/ _' C, E* x. H) y, c

我们进服务器看看，插有福吧看着面熟吧

6 i) E" o+ L0 v3 I- y/ o$ |

---

; Y8 z) Q* P6 M/ S' w$ l. Z) q

( n, t: _+ x% m

8 H! H I- v$ ^6 F* l& T' C

装了思科交换机管理系统，我们继续看，有两个 管理员

& \# F, W# n" z1 O, u. l

( l4 o, P7 ~; X/ ]) v; M % k2 \& ]! m# v7 h6 \9 U$ m

---

3 N* l4 X, m% L/ d# b+ A" h, a3 F

1 K, D& L0 l. ?; t- a1 E* K

2 \% ]/ J3 x. D7 k# O

) s0 v+ s m# b 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 " d5 F4 L, ]& r/ Y: v

7 {5 T- L! v9 G% U$ R* q) T7 {8 S

7 F; d0 M6 D9 R O8 A0 O

---

) c2 A" }7 E& _

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

; W5 i4 i& W& l# D

---

$ B! ~. g1 X ^! d4 Z

7 U+ k, ^9 J, L) J+ z

/ W8 o. {- o) Q' m/ k( t

7 _7 o! q% V1 \# e4 n

8 E1 q y' S+ z* I* p* y 点config ，必须写好对应的communuity string 值，如图：

, G& K# T- i2 ~- f

. r* w& x0 ]* S& F+ W- N% L

---

$ I" j8 g7 G1 u/ c- W2 _

2 v3 v) z5 B1 M: L4 }

+ b$ T! r+ L& E" `5 O; A: N

" S' S( O$ A% S& [ K R/ @2 g% o' n

; ]5 `$ [- N2 r 远程登录看看，如图：

---

& Y6 w$ @# Q1 `& d8 b% V; v $ a+ T" w% w |0 c# y

_4 O2 p( U% p$ ?

+ w8 Z; ?9 E" u1 f , j5 k& T$ c- Y& C: }4 P3 x; w

3 J' _3 ]3 u. B# b

直接进入特权模式，以此类推搞了将近70 台交换机如图：

8 x" b" g3 G$ ?5 m# g. d7 J; V

---

7 A J! b+ C ~" c w

: w# A4 `& v% a6 {% t* U7 O$ l, k

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** # ]+ i0 }9 h6 ^% s( I

9 `7 V' s' b ~) g+ `2 R, Q

---

$ a: P/ g' ^, w) b

( |4 g" ?4 B) s6 i s9 h' a8 W

确实可以读取配置文件的。 ! G0 c b6 e1 W

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图

" @% E0 v6 ^( f6 X$ }

- o4 e+ r% U8 N; x9 t# j & R6 _# C( T$ A3 V

---

: w( J+ ?1 J; V- h

8 `* T0 F/ f' k/ t

* j8 R4 R% f- _7 M' k9 `

+ k2 a; ^9 [0 W2 K h

y" s/ l! a3 O, J- h

) ], u$ q+ w- @. v" A 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

2 H7 J, m2 G6 l+ x+ _

* ~6 D6 _$ [' e$ G! [$ Q) |8 h8 }

---

/ O& P. m( O+ r/ r" t& U ' w: H3 p5 q# I- O: K4 Q) g

5 Y; s. b' }0 w5 Y3 e' H4 l, x+ C7 O

上图千兆交换机管理系统。

7 、入侵山石网关防火墙

8 F8 H5 K- T# _' A; \

6 R* @* J# P( l, m$ ~ 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： 8 m3 Y) Q) O# b& G

5 P' S4 P8 \4 `6 \2 B' \' l! A & V9 i: w2 R1 w

---

! L0 Z/ {; @8 ~, P. y 1 ]3 M8 p$ P! w: V; R3 M: v8 I$ E

, u% b+ a! M" n. K) j+ n 9 [8 f+ H. r2 c: \# O

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

' A5 @- c- }0 G* J) z

---

/ ?! |& B( i1 Y2 U

5 S4 N+ v; @! D4 ?# g7 V

然后登陆网关如图：**

" X. }7 S( a. d6 L8 R

---

U3 Q/ C; `& ^0 C6 ?/ \9 Y3 ?5 \

4 x$ y1 Q2 s7 J" o( q$ `

6 |7 m2 f* y& s

---

7 g* |. s9 c- F, v6 L

; A. R' W. @0 D6 u1 m2 n G 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 4 O& b/ P9 Q6 u, K# ]! Y3 d* J

3 r; q5 J* h' @1 s# \ 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

---

& S" W" r8 \" C6 X

/ _$ l# x7 r$ z# G0 c ' R3 g; B: [! n: m9 B5 B

9 W8 a' z7 _6 d! u7 D" g, X( K

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 / Z- K) h. S; N+ ~7 J. a1 k

) Z9 H0 R# Y( |, B

; A g- b( m5 j, q# T6 H   " D8 Q$ ]/ {& E

. z. R$ F y: N4 ^

4 @/ V* {, T/ V) I