记一次某医院渗透（近源）

admin

( w) }& A* y0 @+ D _+ v# i* I 声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。

" t/ m0 d4 k3 w# i

众亦信安，中意你啊！
; t) s$ q Y8 P c# u0 {
6 u% S2 m& @3 w0 |, W2 H6 P. O0 G6 _1 HingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

ingFang SC,serif;"> 5 S7 |- t$ ]& n R

|7 V) q @! A+ R$ b( S# ~

众亦信安 , ^ H2 O; Z7 w+ A: y& A1 l5 T, [3 ?5 ~

红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> 8 W' v$ k) H; e! r* T- b; o7 h+ ^

# Q1 u: E/ K/ `& x, ]% j

ingFang SC,serif;">26篇原创内容ingFang SC,serif;">

公众号ingFang SC,serif;">

3 Q1 ~9 S1 P9 L, ~/ s$ x

0 f( z9 N0 P( `# Z 7 w, b+ x: O* A8 W7 F% _6 ~" S

1 s d! p$ v: v2 L

点不了吃亏，点不了上当，设置星标，方能无恙！

3 _) W. s& S3 e: m ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> 

) S7 k, U& R( y+ c+ i1 ` 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 , } e( h# V/ S- j3 h9 T

/ E$ p6 _6 Y8 G' f& j# D

 

0 R5 `. _) F4 F$ j @0 i9 d3 W

6 P) @# [$ v" R+ d* O, s 2 U: Q A' x! [: U! a+ L

无线or有线

! P% b, E- L4 ^+ H$ s. X 1 C4 b" {8 }6 y |" o6 Z1 l

大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。

! ?# A* s; E. ~6 x1 n; g 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 3 H7 C! A+ a, v. N/ ^1 L! o! E1 `

& _3 x$ R2 S/ v0 m$ |! V

9 ?+ u: M$ u/ U( \$ K2 |' `

) r8 Q+ I# H7 x* D7 N; A$ Y" J3 @

这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 & a7 ], \$ u7 B. Q! W

1 N) x. U( K$ V1 Z% G4 v+ A 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） 9 b/ h- u7 S8 U

8 g, A+ O5 s# L$ N

插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。

5 i& j/ M0 G. H' ` 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。

. M9 p/ N; K: ~+ V; M/ q% K

一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 ; T+ |" K6 u E& y

7 ] k# y* {7 {( G& M/ B2 J' s3 p

3 A! z/ D- D' U+ h& I8 u

内网渗透 7 h2 _% m, m6 @# {/ F3 |6 ?

' J; y, w$ a! I$ ]4 M5 H # H1 G0 x- y/ ~) t

( f; {" r M- e* Q( h win下搭建cs和linux类似。 . |& U' B+ u% O: ^

0 N8 u5 b/ F% z2 K l

teamserver.bat + ip + 密码

0 B; I R# D* U' j9 L / t* }5 S% u. U: i& M- {0 T

fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的）

5 ?9 E, F+ n1 s* v2 M$ e

5 Z0 i" J* H2 \ b5 V2 R; x & M- H( e' b3 [

9 r- X" P8 g9 K* W: b, F8 U) C W E

% G. s# [/ u l! g8 F! u

7 @( n- o, G0 | 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。

+ E+ M0 L# H+ {- C( T* U

fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 " Y9 q$ R* H {: {5 F; V

o/ ]! h" v5 f2 \. K& Y, W% l3 j

PACS系统

6 Y7 ?' @ t2 C) ^/ V

) o4 ]) L1 a2 H5 d

, y5 k* Q0 _9 u0 {( E2 a
2 l9 T4 b! T! w! J5 O9 _* I G6 |: Y" v9 Y9 y

HIS系统 3 \' `( P2 U4 P0 P- Y: E8 u

f3 W/ c6 A2 n1 o; T- U

7 L/ g2 B" a* R0 T7 m' \2 I4 A3 q6 G; q

/ ] Z7 l, H+ }7 D. s   / w% X0 P. K A! Y8 n# D

! {, L9 o) n/ T4 Y S5 A0 W- a0 y

0 \3 z0 ~& D6 \2 n( l8 s 1 C5 M! u+ v) y) \

: C4 }; I. A; h2 A- W

3 J% Y2 K) f4 d/ A 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。

5 G9 n P* h# p% F) }

, I: Q. _7 {$ q Q: s' x3 i
1 t, Y3 H& V' P1 N# t

: k; W% G0 {6 S! E& M0 D: ^% I ] 后话 ' L% a% U2 l( z. J+ S2 _5 W4 O

" r |- V% ]' J* n" O

3 A2 E* j" L& ]1 ]( N* |% ? 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 " i) Z5 ?9 C u9 D, E

9 L# h8 o2 z1 R& W! n+ u8 | & Z, ~9 ]/ f$ C- {" c- j

---

( ]( d3 N' N8 f1 B g

点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 ( p6 f* i6 o5 W) |4 t4 {+ y

  7 i: b% U- K) l+ T* ]- e5 S

9 d8 J% L& p4 Z/ i1 m7 ^% J