记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
. Z$ \4 ~8 ]  q8 i2 d7 N

如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
9 P* t) H. r6 v+ _7 _" v$ O
6 `2 H% A8 q. |5 j8 U" J8 L
因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
" s" m8 C" f/ l4 r: d7 r- e
: T" H7 e' K2 @" y  k! W------------------------------------------------------------------------------------

8 y& C1 s+ U, d) j. }4 p先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。
7 t* x' p7 E0 o  ]* C; M
/ |" S; O  X% ^- N& ?, B第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。

# R6 m7 o+ j5 ?; M. i/ y; F# ?
/ p7 g5 B) y1 a' ?+ N毫无疑问，IPAD又奖励到了。
. S7 m: y: w3 I! T6 D. p! D) I, T

. i1 p7 p# |- J0 s% [3 h0 \于是我和社交网站的主管说：你要啥时候才给我部iPhone。

: h% i4 x" j( X8 }9 b5 P9 x
6 J$ w9 o/ h% I6 h. R3 p* \! D主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
! M* O. X0 ^+ U+ }5 y5 y

6 r# Z6 K0 D* X( |5 y, U/ B) ]于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)

# A5 a0 o: [: {  |1 W
+ ^6 X3 B: p' [1 u# R3 p3 @% F主管回答:那就来把.打下来了给你iPhone5..
  w" }8 ]! m  a) Z0 B% M8 s" w
4 R  i  y; V7 c----------------------------------------------------------------------------------------------------------
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
, q9 v+ z5 y, y3 H
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.

8 W5 Z3 u" T+ ^8 }- R9 [
好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
5 M3 x5 S2 p% o6 f2 {' N6 h  g
2 i$ R# `) w* i3 v7 i& c
5 D0 n7 k" V& T6 d# W0 s直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
, o6 O9 j+ X; x4 c- L

6 d; ^( j$ s) U; }) [: W对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
) K5 Q3 q! H. ~. z0 V5 Z
) F( Y$ K% E. N0 g) ^* F
思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
6 O: |8 c7 H# u3 h

于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。


对方深信不疑。自然回去访问。
- |6 q& W4 @/ Y/ }% p/ p4 y

好把，大概等了几秒钟，WEB那边有session是记录了。
- V9 x, R4 ~& c& \  b

# Y2 Z& L% J3 r一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。


' k( k6 e9 ?* z4 B% w2 L" o我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
! `7 `7 B; k! r, y/ w

! C0 P  O( Y* W$ m% aA管理员说是office2007 ，这样更加证明了我的探针是对的。

7 W4 d& f0 I$ ]3 H
$ x1 }3 t* X  X/ ?9 e0 P于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
: U/ n& _/ W* h6 V+ V! p9 y. @' `
: `. A8 v7 p3 T
A管理自然就给了我，好把。 office 0day打之。
' V; e2 y; |$ O( M/ O' T3 F
6 X3 j+ p, v1 O- p* k
打开远控，等着上线，可是就是没上。 出问题了。
1 E. N, U  m: r& v1 E% X4 [# p
% c  F. Q( i# p* z& ~$ R
  I- U+ I2 y# V* @2 dA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。

1 _# V. L" x  z' @8 R, [# r- F5 p
3 D8 [- C8 w2 {' t3 z( @' f; w为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
" L( E4 {: a+ Z2 `, A3 f
: s1 V7 \! E7 I; @" @/ l
$ M0 P" J" F0 U* n( v同样的对方去访问了，系统应用很多被探测到了。
. v# l8 Z: U$ X! h$ W) ~
* V, C, l8 v; h) X/ S
2 r5 {/ X* P# z( a好把，出口IP也是.14.
9 x1 j( ^  H# A2 e% `% @. T1 X$ C$ C
6 J) i5 J5 ]" j5 i8 n3 x& k
没问题了。出口IP确定了。
9 ~8 t% k! P" m* ?2 X" |
' X4 b, K4 y+ Q) s9 \, n
" i8 Z0 ^, [" x; o于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。

$ ~6 w8 B+ b4 ]; n
2 R; ?% o$ ~# |" O$ v马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
! Z  L& Q! u0 ]: |$ M, Q1 B+ b" F

马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
! d) R/ n& G- Z/ {: j$ _! d! Y& J4 R9 c

. t! j5 O4 ~9 K' e% T8 ^8 G4 cnet view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
  {8 p% H' V, j- [, B. U

$ G+ X& z' T8 X" D- N同时间通过密码记录，得到了内部Linux服务器的账户密码等。


向主管个人PC机进攻。
3 U2 L8 v/ E! e
5 K' J0 w3 h4 c# U( n- r简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。


, {& g* a. B% l- [7 B2 m& t6 s于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。


6 z4 j) ~* Y# q4 z: D---------------------------------------------------------------------------------

: @/ k8 e4 V2 M; O
晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
! J6 s  B$ |- N' f4 Y
2 Z% ?6 f2 ~% X! e3 G% P% h' P
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone
; M( K) n. c7 L' }: M8 O( w

& F7 t$ g# {  ~! ?5 F( X( u( x: x我觉得人还是别太贪心了好。贪心会出事。

: ^/ [( m$ p6 w4 w
于是我坚决的把马给卸载了。
# n9 T) L: U' e2 T5 M, o/ {& H
+ Q: Z8 u" z9 k4 Y, ?' G' w
2 L8 ~5 O, I0 S! z; x---------------------------------------------------------------------------------
) A1 N( V9 Y& B" S/ o& {对于后续攻击，我的思路如下了：
& C4 [4 E& M1 ]! y2 N/ l) t& n! @
& o* j  P! a0 k7 s. |
" I. Q2 D+ y, b- {搜集内部员工的EMAIL，探针+office打之。


1 c  B8 a* D2 w: }3 t- q. X' }内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码

# O6 ^0 t7 J* E
通过登录A管理员公司邮箱发邮件下手。
7 R1 S  f9 ~2 }4 Z! u: u

4 r4 q' K2 H5 ^+ R" Q) u  d内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
- @, H4 K' T- K* i- R' n; r9 l! N% l
* Z8 f9 F- m# W- {$ `厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
-------------------------------------------------------------------------------

- h8 B1 @. W( Q! ~: l9 R' x6 `* w最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。