记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
2 Z. N* C, ^/ O9 Q5 x+ m' \; U- t8 ?

如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。


. E+ t& U! ^& _8 @  ~1 j) O' \4 D因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
* b- a4 _# D0 `" i# j% s
6 j4 y. O2 f6 C( @- w: j------------------------------------------------------------------------------------
% b- Q* s8 ]5 H, G8 v
先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。
7 K$ A; O" A; w9 U1 r, i
  ^' U$ m' p0 u第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
7 M3 _5 Z* [- Q9 f- r; w7 e
% v* V2 }9 @$ ^. c" u% o! p
毫无疑问，IPAD又奖励到了。

' X5 u/ Z9 ^2 H* r2 ?
于是我和社交网站的主管说：你要啥时候才给我部iPhone。


主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.


于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)

3 Q) u' V* ?) G7 ?3 X5 z
主管回答:那就来把.打下来了给你iPhone5..
, f" \9 F$ i7 V- `. U+ k
----------------------------------------------------------------------------------------------------------
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。
% R0 B+ x$ P- H# m3 O3 R6 h, A
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.


好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
, L0 Y( J8 m% c; I

( V6 O, g, v' _6 U4 ~$ l* s直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
! w$ O* V8 Y( v, U6 @1 `9 F6 r

对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
. h; u! Y0 F+ c7 R' @

思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
) I0 Y% {8 k/ |$ S. m

: m7 W. \$ D3 ?于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。

, f6 }% x8 @! I* z( b( ~* f7 _5 r
对方深信不疑。自然回去访问。
  _0 {% C! G( L2 P0 Z
' ]. n! i, A  a, `3 ~# c
# j) ?/ f- F4 x2 _- |' I好把，大概等了几秒钟，WEB那边有session是记录了。

9 y4 ]2 O2 o, b8 E% @2 \+ T
# E- }0 B7 f* U. u6 n9 I$ T" W一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。

' |1 R. @( s) H' {8 o, c
) M4 D$ K6 t$ K! c8 k8 |; d( \我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。
7 r! x: t. C( p; A% f

! P8 }( h7 J, N' E5 fA管理员说是office2007 ，这样更加证明了我的探针是对的。
7 l: M' v, D- H, H" N' {  I
, M# X4 _- B) E
于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。


. [2 e0 X6 q" A/ ?- ZA管理自然就给了我，好把。 office 0day打之。
9 L2 ^/ e# \7 Z; _7 c# d6 q( y
5 K8 `$ c( N- x. u
打开远控，等着上线，可是就是没上。 出问题了。


: O% z4 H2 j* b; _4 U" n! O, K0 T( v8 DA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
1 a2 F) r+ e, N3 C3 f+ S% k9 k# G

% v; u' z. J& q; ]: N% e为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。


) v7 Z; B2 G6 n: q- _: ]同样的对方去访问了，系统应用很多被探测到了。
$ y  U) @+ V" n) x
* ?3 N1 e# t& \4 J
好把，出口IP也是.14.

) j' |8 j+ f+ }8 U) W2 H- ^7 y+ s
没问题了。出口IP确定了。
+ L" N8 O$ b7 L% F+ M5 [" \

于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
- `( H/ E* D3 S, L0 K

马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
% ?" r2 o( z' V# k1 C
$ k& Y% d  E# ^
) Z$ b1 I4 k' p8 o马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。

/ N$ H4 N6 Y, T0 k
+ T6 \# ]- M( `0 y! u( V7 Wnet view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
4 c: {& W  F0 ]  `  v
" U3 y) D0 b2 w9 Y! z
( a: x, d# F+ }9 {同时间通过密码记录，得到了内部Linux服务器的账户密码等。
1 T* M* U9 K$ m/ l7 \8 c- L' h

" D+ B6 C; ^' r% }向主管个人PC机进攻。
' Z# P5 F$ h$ v7 }- s
简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。
9 z5 w- R1 H5 \6 G  J/ G

& T$ h. g$ q) L% S于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。

# K$ g6 O/ O5 Y+ V
---------------------------------------------------------------------------------
% \0 K$ M7 A- E- d- m

% b! X) {2 @; Q0 e5 q晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
1 _0 I' U, p$ p8 H* w( F0 F+ J& H

晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone

6 p3 G$ `2 y( g" M6 W; O- |, y
我觉得人还是别太贪心了好。贪心会出事。

: S: m# o7 e8 O5 {5 z# I
于是我坚决的把马给卸载了。

1 M, g/ C3 {! m5 W& Y
---------------------------------------------------------------------------------
0 M% E( c& ]- [- p对于后续攻击，我的思路如下了：

2 b3 v0 l. O5 \$ M
& s* ^( k4 Q, j/ \- P* M搜集内部员工的EMAIL，探针+office打之。

) @4 N1 I8 p5 @& r
/ L4 m- w5 q, g; P6 i内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码

0 ?' Q/ A- n% ~; m6 J
通过登录A管理员公司邮箱发邮件下手。
' H' m, m+ R( X$ ~+ t

; l. [9 S! S- ]. g  ]+ h内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。

* w) A, `  p% C! _% z. S) h# \厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
% i- [3 k, n- D3 t0 a% e6 t$ B-------------------------------------------------------------------------------

最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
2 q3 q+ {! s$ p: _