渗透测试某大型集团企业内网

admin

$ m, X8 H9 r1 b) U8 ^* Y) z% t 1、弱口令扫描提权进服务器 ( v O7 Z- h% F% ]

" }. u! H: B. |! t* B. _

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: 3 ] Q' @+ q; ^; `. k7 {

# Y& Z7 @, b( Z. n3 i0 Z, O: D3 ^& B

---

5 l. w: i; S0 ?3 s

8 m6 P; M. R& b) ~% D4 y

! Q1 Y3 f' A8 W0 V) J0 |9 h

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

执行一下命令看看

1 u j: {* `$ D) @+ |. u% D/ M 5 z" K% f( b7 R1 V

. J( s8 C( N# W' N6 {8 ]5 }/ O9 ~

---

1 ^$ J+ d/ C( k) P

开了3389 ，直接加账号进去

, ^ [5 U3 F# T9 c# J/ j

---

& Q p4 Z5 D5 j& {! s3 X1 ?) \ + e7 K; {/ w+ ?

B- C8 N$ n; R- Z& P 0 w0 Y7 F2 I+ c1 |7 I; O, H- ]

% o; q0 A% v* `2 j4 {

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 . q! n8 m+ s r

* J3 Y6 q3 y% s$ P

4 T2 n; I/ A7 _% W+ g

---

j9 {/ @8 l4 O! R7 `, K2 e

! O6 k% ]4 n2 S1 I, R! e# m . e4 S, g, U9 \1 A$ w' {

/ D( j! l3 i7 m H; { 直接加个后门， " z+ t+ ~7 b Q& J7 K5 d9 u+ F

: ]8 h6 m& S. h" ~: H

6 S3 g) g$ C" G# y4 M+ a* m

0 e" N7 r; ]. l: T- o

---

0 p3 c2 \4 V$ S: G5 a# I9 ~ w/ }! O: }. |4 G/ e1 f% Q

& u& w+ F, [) n+ l1 o" o/ E6 E

有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

* n! b9 B6 Z3 j8 H: }

2 、域环境下渗透搞定域内全部机器

4 a; J6 ~0 V9 J" ?: b- d) L1 a! t/ B4 p( v

# }, u7 t: R$ s1 T7 h! Z 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 ) a) Y5 f( n6 W3 k' b7 L

+ y7 s6 n3 @0 E( u, W

---

+ Z# j; u4 k3 I* l9 O$ r l# O* K

! u! P- G7 I$ _# E9 r 7 q' j5 {* x) \. a* Q9 K0 I2 V) S

2 u' x, w3 x) o7 e: s4 i9 I

5 t9 u7 B6 c R: ~5 R! p$ m 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

8 s5 j' c p2 e

; E$ s+ a8 [, l6 Q+ E. v 7 d/ y+ X0 S* u+ i9 E: K

---

+ S& w" ]+ X* A- i. @( _ $ D; H3 [) j8 {4 B% q

/ g0 `. `: E* @; i! p$ E

7 }2 t9 u+ _# n! h- ?

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： 5 I" R8 Z3 ]. g: o7 Q2 `7 `

; E0 z# Q! v1 r X

# M, b$ R: d5 `+ c+ l# q

---

, P0 U, b; l- L0 H+ W: B

$ c* ?- r5 K, u7 S4 _* \; o) V c : Q- J* i; R) d% z" ?) ~7 G

) ^5 R# C8 c7 {5 @/ U) S: ?8 C 利用cluster 这个用户我们远程登录一下域服务器如图： . C# ?0 F+ a0 U- T

0 _2 F; M9 F, t5 S: L

---

$ W( G- T; z7 d. {, V0 O0 R

) p3 \1 e/ U; I4 |0 J/ m 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： ) L& `! c1 q& v9 f/ O

q9 m, ]. Y7 P7 b2 O8 w B. ]& E; U& Y* @. D

---

& u8 f4 \6 \ k0 }

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

5 x& ~* W0 E: ^- Q

9 {: J5 j5 w! Y6 O- x

7 l; V5 r* _4 d( T e

域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

. G* l6 V( q5 P& q. [! Y4 B4 U

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： * w' j0 }+ D$ I5 c1 x3 ?

& ]5 d, y5 V `$ b 0 Y* Y. _& {3 e5 c# X$ b

---

* {# z; w1 X. g2 c4 G3 c4 A

G7 w* C( k C& p! N+ }) J4 b* V4 j % I0 ^( Z* M9 V& ?" r ?3 h: n

: J& h/ M8 G$ C# g, l; C4 u' a

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图 ! r$ O' n3 n& F4 `

3 a# D, n+ r9 A/ f3 B- Y4 n% o / g. _/ o2 T3 P! L

---

0 G% \: j# E3 l" {

; o/ A& r5 O4 I6 d2 Y

% f; A3 d% C& U& C k

利用ms08067 成功溢出服务器，成功登录服务器 5 \+ u7 Z' @0 e$ ~

---

$ f, @/ t9 B6 B* B

% @# d* ]0 t7 k. ]) P- M ! s, }1 o" G2 s: P

& ? {* r$ Q/ B- Y8 ] G9 m2 w, N! i

我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

1 r, o# e. z* e5 D" K3 O' }& } 这样两个域我们就全部拿下了。 4 y' H! r+ N H, X" \

9 y( q* W- H; G9 g" Y/ T- O, ?

3 、通过oa 系统入侵进服务器

* H2 N' ~: o+ S5 _

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图

---

) o T) d% l* ^8 n: f, X* F

" `' }; H1 f' }) n; ? 6 m7 ~! u' D% y3 q C) d! Y

9 ^; m+ l- r/ }" z+ ]. u' H 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

---

( K! z; p+ A* e9 n8 v1 G6 Z + R" L$ P0 ^& ]+ S

4 v6 j. v% {+ z+ Z6 p 填写错误标记开扫结果如下

# x8 f1 c9 Y' X1 E4 @

9 f8 t- V& I4 m3 o! ]& D / ?: ]; j! I7 g" u" k3 W# C

---

" K- L. R& R+ j2 u: E# p4 c

/ B0 N( ~0 B/ Q% J2 R5 h* r

/ U0 D" q3 B) T6 R

下面我们进OA

4 Y4 `9 e6 X e

---

) F X8 O& Q, f0 v5 `- Z5 Q \ m: _0 }$ v- j# s% m

* b% Y% \6 R5 m0 j

$ A% n5 G( n; j% C! M6 w+ ^+ |0 }7 Q

我们想办法拿webshell ，在一处上传地方上传jsp 马如图

- R! V0 s7 H: y" B/ N% T, D, c/ {

+ A) O. Y: m# V$ W+ i ?2 d- m( |

---

2 v/ K3 E3 ^5 M, E

' }7 ]8 n( n. T $ W$ E% v3 ]0 K$ p+ N/ J; _

@! y) m- A) q: F% T9 @

; i( r1 u( C, J; q5 u Q$ \. I 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 * r7 s, o; e0 F) j) P3 K

8 e$ o4 f5 }: u6 I4 z2 @2 \

$ b' r, i5 }0 ?5 N( s. _ 4 、利用tomcat 提权进服务器

用nessus 扫描目标ip 发现如图

! b- L/ S4 k( @) N2 E

---

) [3 y! S: W+ ~ Z7 i5 B0 D

6 C& Z) O7 [3 u9 m- k2 x& e; [

* Y w% E4 I" t% [2 @0 b8 R 登录如图：

/ f" O; d+ f) {% Z+ S5 z

---

+ X& x) P6 n c* g$ j5 W

9 f5 S2 d( |7 n# r 找个上传的地方上传如图： # ^7 C" x q+ H- i7 Q; g1 s5 S/ @

$ \! Q3 v* T& s- i. [ j

0 V; `. W% E7 _* m8 K: s" ~ 2 ?' ]9 C6 d; _% N$ d0 w' d

---

, o% }* N8 e9 L! E O' z

2 a0 F3 i6 A- Y2 S% z

. v' b3 t5 f- {& E4 Y

然后就是同样执行命令提权，过程不在写了 2 i1 g5 X' [4 ?4 v

2 @: g, [; b. ^2 c 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

* X9 j7 R( p" \8 O 首先测试ARP 嗅探如图 * q4 J/ a H5 x9 t/ \6 {: M7 X

7 l# R* Z2 h$ }# ^# y3 A# l% J

" K9 e) |& c: t

---

- q+ q7 q% p7 ?% U P, C : e6 K% J0 ] T- x

* j, e" F, \5 R6 \, ?! ~, T % @8 x) J) k& z3 D3 d- i/ ^+ H$ V

. }* M' I% A3 a& J" R x3 Q

0 P5 x; R* |6 Y 测试结果如下图：

% ]2 ^6 i5 w. T

2 t! Z: Q5 l3 Z

---

0 N6 G$ u6 h% a: i Q, | ! w9 J/ n: h$ d7 f; b9 p

8 @, d& i' y3 t9 o

0 ?- f) k: i0 q e& `

4 |5 G! `8 q! v- o: Z

& H9 j$ J$ x7 a: Y/ B; @2 u7 Q 哈哈嗅探到的东西少是因为这个域下才有几台机器

下面我们测试DNS欺骗，如图：

& J- G4 w8 \! b, X9 j8 c

---

5 q1 \ P" L! r2 X5 G6 Z

" E ^/ s. i1 l. [$ F

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： ( d" t1 R7 a8 Q+ M- i! k$ ^ L

' V, A1 R. M1 Y, n

---

& K* R+ h/ B- M3 L& s2 m# \

" o; g/ T- L' f( ~9 e

& d! o( g9 u n$ M3 v

0 A0 r! L0 K) O; G+ Z

（注：欺骗这个过程由于我之前录制了教程，截图教程了） / Z) g9 j: l& B' G) \0 J4 W

; O2 j' G9 @6 b" s$ T: g 6 、成功入侵交换机

/ [1 w; f' B9 j: O

& }# r! L+ v0 a' i. `& L1 U3 L! _. B6 G 我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

, x; y2 c3 A+ h& G9 }5 r+ V: }

我们进服务器看看，插有福吧看着面熟吧 c' N0 e8 O) E6 V$ n8 f

4 |. F1 Z9 t1 I

% C: V# |& V0 J% d1 a p8 h$ Y5 E; e/ W, i6 _) V

---

2 ]4 p) m3 r* G6 W 8 G% O2 r T' {1 K5 k7 }/ N% q

装了思科交换机管理系统，我们继续看，有两个 管理员

5 @) B) F: S' c3 S

$ Q* d) y& ]0 i5 g

---

1 O# I$ p) ?+ w3 y

+ \9 }! r$ ?% s, k+ s8 x* s0 k

# c4 C3 w8 w4 L" x4 ^" e6 ^* O

% C9 b6 H" X' r& Y; q 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

4 e2 }1 i! Q$ l; S& o3 m

---

) n- v, W2 Q/ C' X% B1 M8 H# ]( z

( ?$ u h1 i% ]8 B

7 j( c& T' Y& ~0 x 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图：

7 V, e2 n$ e( j: O8 ` 4 j1 j! u7 F; u: b: K4 u( o

---

- Y* K" `1 ]# s0 u& X

! A6 v$ u c! }( C

点config ，必须写好对应的communuity string 值，如图： ; F6 q3 a* d% n! \

' c) x# B3 A! B; Z

9 C u* k% ~* y: E8 t, Z: V; N+ E 6 L" h/ a8 A$ r; ^) F

---

" G: s5 z% I" ~& q+ L' j7 r' |9 J6 f

( f! A- k* j) N" X+ y

) c7 l9 e4 y3 t# ]4 X

. N. B a$ m5 v 远程登录看看，如图：

) V8 [+ ^. q a8 a

---

, n! f/ t2 H( c7 V7 ]* H

2 ?+ ?5 h- l5 X& N

& C9 T" C+ v) g' U$ Z7 u0 k( |% n9 |" E 直接进入特权模式，以此类推搞了将近70 台交换机如图：

5 X; Q' O e) y- n

& `# o" S) r5 l0 E" o: j% {

---

0 N$ I* N8 l8 |) m x6 b g* a5 ^

& J1 U4 T- \1 ^

, x* \% |2 c) H3 r( l

( Q9 t/ \# a2 i8 h7 s

, @; R& i5 @" f* e# s4 T$ u0 T5 v6 v

: B E5 ~9 U$ V8 \ c- I

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 1 V0 N' H4 J! z. o9 Y8 k p

% M, d ^8 M" Z , Z ?* s: ?6 x) n4 |

---

h6 t8 ?' u. |" B" \4 b 1 l( c) b r( H6 i V4 |# y

, a3 b8 V7 q. ~ W i

# K' ~$ y- j2 @. V

确实可以读取配置文件的。 8 z' y: F1 a, T8 P7 X- }

1 t. A3 H4 N9 ]- f5 L 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 6 K' N+ x/ B K* h/ @

$ U6 |4 L" `7 G* q; R) h# v

---

& F% |1 e3 }9 e! m; p* [6 A

^6 [0 ]7 c/ z7 v

8 {1 E& V/ B% N% W0 H5 f

1 C: y) u6 i; Y# z B) w; I5 c& }! _ ! ]4 d" B# A) l C; }+ V8 ]) m$ ]

& w5 E& Q, e- X+ E- l- C9 l% o 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。 $ r7 `9 ^# Z; L v" Q

2 { D4 I$ X! `+ ^2 H6 v7 K# D9 M

) W5 q$ l2 ^2 y& Q- y' J- r% M7 ~

---

( n' C. B T% U5 u* l: \5 @. m- |! o

2 V* s7 F* S& @( C7 M8 E; e

, s- b" Q$ O; M) T0 P7 ]2 } O

上图千兆交换机管理系统。

5 h9 j! j7 R( B7 _9 o2 O 7 、入侵山石网关防火墙 8 m) k0 \8 @2 X

% a4 ?) s3 @) B1 Y' _* p& v

. {/ S5 e* u3 g8 m2 d0 x 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： j. |/ H! M: ~! M9 O0 n! n! |# O

$ h2 }0 n4 S/ g+ @, e

* w2 ]. a) Y$ _6 a! O5 D

---

$ a$ a6 T4 m6 W7 D& X7 e, x & }( ~. m3 @# f! B% U6 T [$ Q

) n) H( W; f+ W6 l8 R8 k

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

& F$ p+ ?. F g) G a3 Y& S5 N' t

* n) Z! ?2 ], D4 Z$ [

---

0 G& ^ ^, i9 ~( b8 A" J7 ^

3 {* e+ i4 M9 D$ P5 w

9 t6 \1 R4 X* _$ A5 ?' g

# `8 x" p3 b% o$ ]4 _! i9 k 然后登陆网关如图：** $ C+ b8 U m* U

5 ?3 y9 o2 l; M, w

_% V4 g# h" i9 q! j

---

" s* [0 P, R- V2 K! ~7 I

/ t3 K5 ?+ @! t* H 2 [+ X) i6 z7 C( N

' O2 F; t8 u# b

---

3 e& N% w* o& {$ c

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！** 0 y, H4 [6 m3 T9 H2 T9 h) E3 o

. d' p, g" ]4 V 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

" t/ T v4 m5 m, N+ i

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** / _. T9 e! z& H0 R; O1 {2 l

0 P. q- f1 F3 X9 ]% ?. m% I0 }4 q

---

7 A* L1 ]& R: Q

5 t }) `6 x/ W1 n) Z3 F , n+ k7 Q8 v! R. e

; l; f" L& Q; J' O2 s

" y$ K( z0 i) T0 H* r* s2 Y8 I 注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 # z5 G6 t5 k; ~# G6 D

6 `5 y9 |* G& e! a Y

0 P3 @3 m3 t! i* J; F. I9 H  

# }. h& C5 Q) E& w# p7 S4 K I5 H

0 T" h0 v" t; y, B: s/ s! w( s3 g7 \/ R

5 b1 O7 ~- z. e7 a- G( @