( ~7 m3 t6 M# z4 b ; @8 E2 f. q0 v$ I
) t) V6 g+ [/ d. _
! b; s5 q, Y" c' O1 ?0 | 1 、弱口令扫描提权进服务器 5 r' n* D; @3 W8 w% }
# ^. p" r& Z2 b# m. `) w. C
+ E) ~; {& e; I3 l 首先 ipconfig 自己的 ip 为 10.10.12.** ，得知要扫描的网段为 10.10.0.1-10.10.19.555 ，楼层总共为 19 层，所以为 19 ，扫描结果如下 : 6 i- }; n) o1 G1 j7 j
1 @: U [; V0 |3 ^8 z: t ( F3 p" R0 M6 Y+ _; n2 t: z
1 F6 }( l. V; R/ l) u. A, H
1 Q; X0 _* x$ l1 Q6 e! o
! x7 }7 ~' F- E; T1 w3 j9 ]
& S5 q D. H# y6 s
0 ]" V! q* X( R. P' t7 x ) c1 b$ ]7 G+ H6 b: K
% c2 n; g [# w, N% Q
* j- I+ @2 h% n
' {* s0 t; j0 W' Y3 Y& O! y0 i' l
8 }7 ?9 I) L5 Z8 c
3 h" a. w. e( j A( I+ g4 T ipc 弱口令的就不截登录图了，我们看 mssql 弱口令，先看 10.10.9.1 ， sa 密码为空我们执行 ( \9 } S6 }8 m+ O; \' L# W
4 g" `/ I: c) N6 n9 x6 I 1 A4 D2 r0 B( f$ \9 Y' C. `+ s
执行一下命令看看 & ^, ^4 {4 L/ h9 R( m( G( M% ^
- Q7 [1 ~+ \$ _# r2 k1 T8 |! [- ^ 5 E7 W& v2 @6 i) g9 Q. j: @1 m
. ?9 a' u I8 ~- b( H" \% J
5 A' |9 \. i: r, ]
1 b9 t4 Y0 o& \+ C/ C8 B
3 G v! e3 @6 E, W $ Y- p2 |+ e# |3 _$ z
9 L, `5 d! W$ T0 A" L) Q# }+ Z7 Y# h
4 O6 M6 l2 k9 C: M( ~/ a# [: v* T
( Y( v, O* A7 O8 v* c
开了 3389 ，直接加账号进去 + y5 R3 d) m* w. ?2 a
0 l- Q L8 r1 Z% g. c
4 c. k3 S$ ?' \4 n3 m
. p3 o# Q* C; s, Y: p; d
; E6 W: x5 H" z0 h4 J$ q, |, Z
3 I2 u& C/ a$ {
0 p h3 B3 o0 v3 A2 P9 j 5 ~2 E1 Z2 ]; _3 V1 F! j4 |2 ~ o) T+ U
8 ?7 ~; Z# d% Z; G9 L: o6 M9 ~
' N. b8 u' c, W" c 8 i( @" A ]! |
一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 " j" L) q: A+ M- e
7 s- r. Q9 E" q" n 2 V- z# @% \/ R, T3 t
8 R1 [) \+ x5 o
8 ]! U; f# g6 s8 z: k7 w7 @
6 h9 ^! y6 c1 }7 ~2 |$ W0 o
) X, k( D; ^: T$ h5 c9 r
3 ^* {1 d. u( z c7 u. f+ t# W
2 N+ { \4 S- j$ S5 O. W& ^3 E
. G2 \9 a X6 z: R/ { z' D
8 ~" K. H( e) N v& }- S7 L 直接加个后门， 1 t5 z4 i/ X9 y" H) u
' ?+ u2 ~8 E# d; Z. z r
+ E& R( [/ F$ _% d- b7 R % S6 K! U/ m2 d! k
: T9 u! ]7 j6 x5 F
2 {+ N* n9 L i* \1 E/ H% R! T. ^ 8 p2 }/ }$ e5 m( N: e8 S5 q5 v3 d! w8 `9 X
+ f: O3 B+ P2 Y; @4 `' ], F1 `
* D! F+ b: @& V9 t, W `. D
* ]' s9 ^& X/ W' V# W- M
" u+ E0 N) ^4 ?' h 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 8 L. }: N! u; y: R4 X
# C9 x. h# X8 [' t8 K * M; a" d- O8 N) P2 h* _6 ]7 D
2 、域环境下渗透 搞定域内全部机器 * j1 j: A3 @3 X9 d3 G: N1 X
5 S- r; V* d) F! v
; p; f1 Y) T6 k8 ]% O ] 经测试 10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行 ipconfig /all 得知 & c0 \) T+ n( R; K0 L' E' I
" n7 a+ I* a) A; L
) M# s) L0 Y: n( I9 \& z$ U6 S
0 V1 C3 m4 P/ q : T4 W& n; m- A' R8 ]2 p( t+ `
2 P* |1 B) H& a8 l5 G
/ Q9 l& t+ c, q* V* J" ` 9 n- ?$ j Q' i O2 L
* t9 W2 I R. m1 y
- p% ^ J7 C! \+ }6 G% x
2 R* o5 G' W2 E0 w) @: \7 ?& m4 v ^5 ?8 h 当前域为 fsll.com ， ping 一下 fsll.com 得知域服务器 iP 为 10.10.1.36 ，执行命令 net user /domain 如图 1 {; a3 O* ?) o# }" _# _
1 z6 ?7 D; u" ^
* U8 [1 J& m+ i' w/ K ) `8 l% n6 S/ O: z, [+ J1 ~5 R7 m1 b
+ o6 ?: Y+ a* C: B) {1 y! U
" r0 H0 ~3 w$ w
8 p' `+ _. A/ a k
: K7 P0 o1 l$ n1 }* h0 H n% |
; Z1 E* E; W% [
7 V1 |3 H A7 a! C/ r* v
; D- C2 L, e0 b5 s8 I# n 我们需要拿下域服务器，我们的思路是抓 hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行 PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c c:\s.exe ，这句命令的意思是利用当前控制的服务器抓取域服务器 ip 的 hash,10.10.1.36 为域服务器，如图： + R% R5 O4 S1 d- U4 C
8 E. C: [6 h/ Y1 n
! I/ a p% U' M6 P * U( d: O( J; Q7 D
8 x3 X3 G/ @- e! T; u. w 7 H: i) B0 C7 a! a$ ]5 v6 b4 x
7 v, F9 v+ _$ j1 J8 ~: B 6 c/ b9 V j% _0 l
: k% v, |" ^$ V# U2 i. X$ H
I8 ~! z% r. F3 S
5 t. a/ V6 p4 W0 Y: K# Z. w
利用 cluster 这个用户我们远程登录一下域服务器如图： ! P) C/ X8 h, Y* S" R9 d8 A) s
( f1 l( ^$ q! A6 c/ K( F3 J: T, B; [
4 g6 R! d2 h$ L; d1 `$ x# } 7 h/ C) h( h2 i& |4 D6 R; X5 Y
8 v% Y l% }4 x, \1 O5 t7 ]; ]! l % c7 D d3 T# x' \" [
4 a) \5 x- { ?7 [
7 | p% g; |% k9 f6 ]
0 d; l- g0 _6 \* i* H/ j0 t" w: E7 S
6 x2 L. g$ R, k6 g
$ @5 V, [; b) I 尽管我们抓的不是 administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了 administrator 的密码如图： . S2 E6 i+ F0 c& x
+ K( L% q8 i* Q f
2 K5 x a8 Z+ T0 _- M5 T ( S) M& h* k3 |9 @
5 F1 H6 c2 q3 M7 y$ i7 ~ % ` E. }/ o2 r z' N
* N" f- u; F+ }. V5 N( \
$ N2 b b( a) j8 S' u0 g6 L& @! ~ + ?) T! Q2 {" g8 |1 ?8 ^
" L& W$ v$ ? [( Q4 p ^4 @ : X" O! `1 B4 y$ S E- r* k, }
得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓 hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图： 2 P) M% i8 C- {" Z
7 r3 g$ Z! Y9 G, N2 `
+ {: ^# v3 R( W1 h+ q% s - ?$ G$ c1 v f
9 y1 |: O9 E$ ?6 T" ?, {
1 J5 P2 b% d# E+ V
域下有好几台服务器，我们可以 ping 一下 ip ，这里只 ping 一台， ping % v; W. C8 @! Z1 L6 ]
n( i% B& B7 n, h1 y7 u
) a# F& h' ^* F% E blade9 得知 iP 为 10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图： + z+ v4 g: B* M% u' m0 Z" A
, x& H0 e# s$ ?. C0 \ t4 B# @
+ |3 C, K: Z5 \& s+ u
5 B( T" Y! U, X9 r , R; l+ F6 V8 Z7 v/ i4 f( r
" w+ W# `0 u( I
- N0 u7 k# k( V* m Y6 k' L , w1 N- T4 ~9 H2 o" E- A' a* {
7 v" {- A) W0 a3 q# T5 w+ ?
: p# y8 M1 [1 I5 W5 S
3 Y5 C$ n w5 m7 F. _: f! ~* B 经过的提前扫描，服务器主要集中到 10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有 10.13.50.X 段，经扫描 10.13.50.101 开了 3389 ，我用 nessus 扫描如下图 3 l9 @; u3 k9 W& N0 [2 k
" _, n( E5 a5 ~( l K7 E, f& a0 \
9 J: m6 B& k% x) Q- r* M3 o7 y
0 G; t- }, c9 ?/ j2 N1 B* Y* S
9 e! G0 v* d, x
2 ]2 J3 B# l: m5 }1 `
% Q# t% r4 _) m! F& p
- I8 Z0 N: C8 [. |4 V! e 2 A( E6 O* l& n, P- ?& [
& S, ?2 f4 b+ i- E1 {! A: X5 m& C2 q3 F3 o
* |# t7 } c8 F6 i$ K" B 利用 ms08067 成功溢出服务器，成功登录服务器 0 T. i, R" A2 S, v; o
0 u# L2 t" r0 W5 \) ^ - W0 \2 X$ ~' I; }/ `- }7 b
# |9 X9 t( U) X3 b. x4 T& `4 A
6 |! x7 b8 S" Z* b
, D' c# r7 x* M) P: Y
/ J6 L) X( N3 T9 m0 |0 n5 W " k7 X6 w0 ]1 F0 g; j0 w
2 \7 X4 ]6 k8 m
1 }4 T( |+ O& i0 D6 |, g
# e: L" e! \* g7 M 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓 hash 得知 administrator 密码为 zydlasen 6 z) \% f' S3 {, m; T7 Q. y% h) e
; k$ r& V T* s6 e1 `3 L$ T
1 G: d' h6 E) x% Y 这样两个域我们就全部拿下了。 4 R, B p9 E" V H- w/ H+ x |: g" R
/ z W, w/ \( N: ]
1 y6 E/ i2 N$ `7 w: T6 d$ _. s# g 3 、通过 oa 系统入侵 进服务器 8 v* W6 ^; D: w3 Y3 a
9 W" A% L" J9 G1 Z) L' z3 H " D9 {) _5 m; N& A
Oa 系统的地址是 http://10.10.1.21:8060/oa/login.vm 如图 , \* [( V8 p9 j* w# m, q
7 G: W) e( n7 |+ N/ o# U
6 ?8 k! n4 `, Q4 _. b3 |
* ?. c# f3 {* B, y- T5 @ ! P' r' l* A9 }
# O# [- Z: t1 m
/ q0 E1 s: V: ~. [ ; y$ I5 D# ^* H$ N% A8 n2 {% P
" l. e; p! e* F' x3 l; y2 T
# Z' X8 S/ D. b( d" k# E1 O2 k $ G3 [6 M5 D' P: u" [
没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 9 _& r# G" c. @% f9 d$ q7 ~( o
1 q U9 j9 x; k! @, S
~9 k6 h8 K3 d* \# E8 x5 R , h& V/ j1 ?9 e! y/ g3 q# i
7 W3 R( D; _$ ^/ I$ v9 a q3 Z, l& J % p% {5 E k) p: o$ C+ _ b+ x; j
" x1 h8 d7 W8 W! L, O; M5 v * P2 b. q3 w4 ^/ r9 p* `6 v# i( l+ u
! z1 w$ R. }1 r7 Z
9 e0 H% y4 s+ W' u/ [
# l' o0 t3 Z% I5 F, e 填写错误标记开扫结果如下 ( ?& p6 l) W: j, |
0 Y4 N$ m, o. L' z
- V* b7 N: X& }
# }/ f( G1 S& C/ C ' X8 S2 v$ @1 A5 L7 z& k# V- N
$ {3 w2 M6 [% H( M) v8 _
^. c* A$ q- ^5 |
+ w! O O. j) c+ R8 x3 J# K
9 O0 z! P G! m# J
. y3 t( U3 [, ]" ~3 B# G
1 i' |1 o w7 | K* v6 g 下面我们进 OA 7 u6 f8 ^) k( I _: c
! n: ^) a' e8 M7 ?
: L* n- F6 D& ~" k
9 x3 m( l+ l2 F, M/ i. W8 j - W6 q% M3 i# a2 i; l" r" X r
2 a7 c& M Y9 C6 z. P3 h2 S: I
' d: k$ {5 U: _% f' ~
; F) f' V( ]' a) I. B0 M. k: ]7 C: C
e- I8 Y* K. C M
0 M- b+ x8 J3 W! y, @3 K' `4 v$ R
6 U }# r) c+ n h; K7 g2 B 我们想办法拿 webshell ，在一处上传地方上传 jsp 马如图 $ v& \7 |+ t3 T- O! v) M
* z6 |; x4 r$ E! K2 [* \! o
: _6 s% { c: t7 C- W- z
6 b: k; o) v1 C 1 Z3 v1 ]0 y! P+ C- n9 l
$ t8 i( o2 o& }( M
|7 ]5 S$ i! u" D0 P* y
' o- v+ C2 w% Z1 v! ]: x: T7 | 0 ?: g& V- x6 _. h) n7 G
$ ^% T0 g7 ~. _% s6 r 6 H( g7 z' w J2 r: |
/ y" d' S6 Y! b$ w- G. x0 |
$ g7 `! [: p& o! |
5 g: F$ G. `/ n! U, \ n
利用 jsp 的大马同样提权 ok ，哈哈其实这台服务器之前已经拿好了 " v, O3 ~9 \1 G2 p
8 l7 ~( c0 ^3 H
8 [4 d+ o2 ~5 o 4 、利用 tomcat 提权进服务器 * s2 p/ `; ?5 m5 D, i4 x
( e4 I+ I# J; L7 x
9 ~7 u. b1 M( l) i9 Z3 [0 E
用 nessus 扫描目标 ip 发现如图 " J1 I' Z* A0 J$ f8 N+ |
) A; k/ _! m; Q, y
( h: `6 N) r- S8 j% U/ ^8 j " ^2 W$ ?4 Z1 c( z6 y$ m( O
5 [2 n( {, h; p1 r0 S6 S7 E
7 m1 M5 W1 ^( J5 n. F+ R. d
5 N. E! o3 F- N: B7 W. [- I
/ D8 `1 P$ {. L) l- p7 \7 m
5 N# B+ @; {5 y& i3 y) b
4 w7 b; t" R, J, |2 ~ f Y
( v! I: ]* r! A& a U 登录如图： 1 z& p1 o/ L4 n$ a) T3 O
9 N& E% _6 }6 R' E7 ]6 K - } @* ?+ P8 E; h2 K9 X ^$ V
" t! Z# W, m1 v7 n
+ u8 G1 _0 d* E! }/ a% H
p# J: f# ]4 E0 v
# D/ H6 X0 W. _; m/ h
& L3 X& t" r7 _9 N - M: a# u% B3 z: K& p9 E
: W$ d1 U& N1 u5 z& Q5 _* A; Z
) b' Z. [4 p7 @. e4 M 找个上传的地方上传如图： ' g( f. e+ [# k9 C3 F
1 M3 [- L) X1 y5 U J$ k
$ X' k0 T4 f/ k0 E. ~
1 d) G6 g* ]; l, M L) W & Y7 C) W4 g- X
& S4 Z: B% t% |! {# l* ^$ c L
# Q+ k; t; ]; W5 n1 }0 t3 t3 n / }* I, x+ g1 |- U$ o+ T
* u6 j. c* R5 o( }. I# k. F$ N
) T2 f8 b1 q: P2 A* W ' n4 b( g: k( J) f+ l
然后就是同样执行命令提权，过程不在写了 ) D# S% S5 _' W( R
4 e/ P1 t7 u4 o! S; q; ^
( v3 ]; D) l6 d% ]! Y 5 、利用 cain 对局域网进行 ARP 嗅探和 DNS 欺骗 0 x* _5 }. {7 j% u$ C
2 J' P# H4 l; V* S
: \: ]* Y' \+ C( f
首先测试 ARP 嗅探如图 2 ]2 G5 t0 U0 z
5 @3 [8 s3 t* h7 d' x: i1 E, _3 }% z
% n: m% s8 \+ j ?
9 Q2 ?' b8 E, Q4 J7 \. e& w5 B
0 ?* G, m" x+ C5 `' _* V4 L % n- |3 V* M; i4 M M$ `
! p& J! i& M/ |4 A
) P$ \9 v" r7 n' }1 X2 Y
( K9 I: e, f S5 F7 N
3 p# [9 M7 h/ B7 R# X
: ` _6 r2 S% M2 X9 g( s+ ^( ?1 F
测试结果如下图： ! q- O, O* i L5 f; c: U
5 m! O+ n' E0 B$ U6 \# [
4 H6 {# W/ @5 T$ D) @! {* @! { ! ] J& t3 q' Z0 _ H, y, \
8 N! M$ @0 Z- w6 D2 w) U6 N
% t- r9 _& h/ l
3 j0 a. x. r( }" k
2 y+ M6 f& H# d$ o8 p & J- V @6 n- [/ K
- |5 @2 d2 z& c/ r$ B H* u
2 m) k7 |' n5 @, z6 }
哈哈嗅探到的东西少是因为这个域下才有几台机器 4 D1 x& c# L" R8 V8 _2 U" f3 {6 }
" X( z' L) ?+ S8 s + `- X2 ? x& K" l
下面我们测试 DNS 欺骗，如图： 1 Y3 d3 b' r- {' `
# c P! D) k0 o6 n' y N
+ s+ j+ d0 w% c0 f' q( n
9 A$ h5 W0 r5 W6 f2 ~% O/ N
$ y. I6 @1 v0 I
" U& W/ m9 H/ }. j- u, a
# \* k d# r( y
. O/ j z& H0 E. T( p
& v3 O4 r+ H; R/ K
! L4 k% E8 }% a
) K8 p i+ q% o% L) l; B 10.10.12.188 是我本地搭建了小旋风了，我们看看结果： & f; J1 |, q/ p* s6 T ]+ B: l
0 g' s3 E, ] P9 E+ u& E
" c. K4 s6 e7 {$ t, L: Y6 k4 H 4 p" h2 N; A$ a( ]( z( x6 U' ^
1 Z" C2 d c* \1 t5 w0 Q . S# j6 |, a# |. U% E
; N* @ M# F" @: Y. m& g3 N
- I0 i2 Z, P( d+ q0 a! k 5 |3 u9 n( j/ n0 I, v+ B. F6 H5 p1 E
- o2 n9 M( y1 N. z4 S! U+ W , b; c% o6 d! S+ T$ {6 n8 t
（注：欺骗这个过程由于我之前录制了教程，截图教程了） 8 ^$ P% ^! V: d+ J. S" N k
% @) l/ d& s* I. A ^8 Q+ p
: V/ a" r3 Q3 v' ?- y4 y8 E, O
6 、成功入侵交换机 , g, y3 W7 u) }4 F
' D' }. n. g8 D+ f
( b4 q$ b/ f; r 我在扫描 10.10.0. 段的时候发现有个 3389 好可疑地址是 10.10.0.65 ，经过 nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓 hash 得到这台服务器的密码为 lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 0 Q2 ~7 e% ~5 Y" \
0 p! i3 s* Y! a! b: X4 x0 p7 x
( n: l$ Q8 j! I& S' S! ^ 我们进服务器看看，插有福吧看着面熟吧 3 Z9 j3 J7 y8 q' A- l
1 Z3 C" G! t0 B; ?2 G% Z7 d : }0 y" X/ w! r) d3 h& M6 b
5 u/ `6 K- ?% ?# n- s- D J9 z
1 Q9 g/ u2 j4 F' ]: J7 t
# ?6 j. U- d2 x! g
% d8 t/ q* f/ l" c8 L2 ~
; x( m: a! c' J+ b. ^9 _$ S . w$ G' p* W4 n0 R' }/ ~
$ M7 W8 G; e4 k
3 T, r5 ]( ?4 u6 I8 t( k: s6 b1 c! } 装了思科交换机管理系统，我们继续看，有两个 管理员 + k4 x6 P9 s5 A$ c& a
. n4 a6 K" p7 \! T& @! Y& \ 3 w, P9 @/ H% C2 c, o- F
& o$ R" o6 c: [- ]% @& J % F% m. L- h( c. m3 s
0 @. j! s" R. M
6 r& L. ^. Y; _# E" J4 V
9 ]. p- J8 ~, Q( O& G4 O' e% X 6 C6 g1 M q' _: o; w9 {5 l, I& l
8 {; Y& e8 [% F
. Y' H# J( i3 Y. M3 ~/ x 这程序功能老强大了，可以直接配置个管理员登陆 N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 ( y. e4 u H/ F+ q: ?# z' h
5 x0 j- L, i/ P! M& s8 I9 H ; A0 j9 ^: \8 L) N$ k4 g. G* K
" Z$ R# E( I3 o( Q
2 N: e" J7 H Z: S5 D; t
. ]# N4 o! Y6 M
* r9 ]0 h& J& n8 D0 J6 w+ w! u8 B
9 ]4 F" _: {1 \
" O& B4 n# A A6 G/ `7 B/ @" Z
" ~9 v% i& L' E! U
& p& E1 `) d4 w0 }6 |) B) O 172.16.4.1,172.16.20.1 密码分别为： @lasenjjz ， @lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用 communuity string 读取，得知已知的值为 lasenjtw * ，下面我们利用 IP Network Browser 读取配置文件如图： : t, l- _& f, s4 A5 Q( W& I
, z! z; C, h6 ^0 n" Z9 [' w
! U5 `, d# U* U5 s1 q7 z" B$ C2 ~1 d
% E5 M/ e p* A* T9 j0 O; w , N4 |! _/ x4 Z% ~8 B- o
: U. {, X3 A3 w% d }
4 L4 `$ J. k6 C$ @* a" P$ R
+ E0 m3 f; u7 x# X- k& a" l& E 9 ^* G& \$ Q! l- m
R9 b! ^* ?9 r& @% E. T3 |& f
) r4 p j4 {) B 点 config ，必须写好对应的 communuity string 值，如图： ) v- z' ^4 b3 z1 Z R* D/ z* V
* [, K2 f) X: b" j# r6 C& F7 C
! j0 ]; W7 n. s) C: h - K' M: n, z5 J- J# u/ R/ @% n' O
( T+ i$ K) J% v
0 e' G' W" `( F& h0 V0 M
9 s: j0 v$ S( H6 y/ } + Z' a, j( l: y. X; H
: _/ j' D2 b z6 o' H! p3 I: I
4 o$ E ~0 P8 O! s
4 Z ?) D+ b' J( p5 s, e& e 远程登录看看，如图： 6 D- C) f; M8 s+ h
* I8 I( ]6 U+ Z$ L" Z 9 k) k; v! s ]3 h7 p
# Y9 a: H3 g1 u! B 8 j5 ?, }1 [- b/ s5 v
+ I Y. h; e( e7 A
* c3 }: u' e D z
! X' N! V3 J: J' T- f. S* [ - ^. j; O! X; c) X n0 Y9 [; e
$ l5 l8 O3 `) k& M) b7 f
1 e+ p9 b+ C* L; ?& Q X5 t
直接进入特权模式，以此类推搞了将近 70 台交换机如图： ; m" e1 A+ u+ ~! L
) m$ C, @( R' k5 F0 i5 c" o. C " V& ?8 d k. k7 H* w3 A$ H+ _
: z+ n& ?4 a# b, b8 J
* C# S' R- d: u- y/ y& h0 d' n 1 a3 U; d' p. z" G
/ k7 W& a# h$ M. T- b, L) F# J
/ V' m+ F1 U/ n" n/ k- [ ; q3 P, p } o. R/ T
; G( a' V8 i2 F" U) _" ~ - e4 y; L2 D% m0 k
, b% [1 u' h1 U) ]: Q, i
6 u8 D# Z* X" A0 T/ u
6 W3 O4 U9 C2 I! p
总结交换机的渗透这块，主要是拿到了 cisco 交换机的管理系统直接查看特权密码和直接用 communuity string 读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠 nessus 扫描了，只要是 public 权限就能读取配置文件了，之前扫描到一个 nessus 的结果为 public ，这里上一张图， **
/ Z+ g+ f! }, K/ y2 U* n5 y& I8 w! ]
3 N* \; v$ p7 @6 h2 u3 A/ R5 T
+ [6 Q7 a9 m$ F7 e" X+ w
$ t( G ^1 l1 ]# }9 `5 F! U% L
! g8 H H' F1 o3 j- V: P2 ]1 r4 q
; c8 a) J8 Q: y" P; `3 {+ b$ W
8 g! ^# Y0 n f
n1 _+ M$ c$ p ' T; B. v9 ^. P: |7 u5 m8 O8 w. p
8 r- ]2 w! B$ s
- y7 h6 V' m8 `, X; V 确实可以读取配置文件的。 : B* d; W) a/ k1 t8 o" U
. L% H: Y8 V6 }9 A
0 [1 C' k' |8 Y/ k3 D+ B+ X0 ~ 除此之外还渗进了一些 web 登录交换机和一个远程管理控制系统如下图 3 K) {; H1 c& p
6 ^: X8 t6 X. V9 A# {) l
7 f! a B- a$ T' I( l ! {! u: a8 Q* [2 Q& P8 r# e2 Y( X: g5 T
8 T# o8 G' t' d" c5 k
7 s# l J. k# k7 v
8 r9 m6 D5 \3 Z9 g
1 Z/ R; K/ _5 m, d" b, M
$ I! r8 J) K% p ?7 z0 t
4 P" s' `8 k- X4 M( ` Y7 }. Z: ]5 s9 d& o7 ^
" R0 \; E( Z7 U- u6 k
: F' i4 }1 @! f% w( X
$ F4 |: `( [1 f+ V, q E
直接用 UID 是 USERID ，默认 PW 是 PASSW0RD( 注意是数字 0 不是字母 O) 登录了，可以远程管理所有的 3389 。 & Y. V# ]; i% F
8 t9 J$ k' x b$ ^ \! c
! g& R# ] \: F) _7 l
4 t+ ]( Z5 L" ~+ w, @" K C1 h ) Z5 c! ~; Y5 M: o) d- P% [ ( S7 p/ h9 o9 W
7 p [% H7 U |7 }( r) U
& g+ U- N) x) V% j 6 `0 U! i* T* G7 l& q/ z2 ^& x
* S9 s, u( f j+ E8 j
3 Z' }" s' c& n7 y
上图千兆交换机管理系统。 ! c, p) ]+ d4 O' p
0 n8 S, U, g2 D/ W
$ W- |) h1 g6 w0 C 7 、入侵山石网关防火墙 5 u3 G1 A$ \6 i" k( B8 h7 `+ l
4 H1 w6 g+ Y- { % W1 |0 D/ c1 A N" Y7 c
对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图： / \9 ^9 }3 }8 n0 L8 d& D
. g' S9 L6 J" T1 S5 I. d1 w
- T" r9 p% E" v! _
) \6 m9 z* ]3 l+ X+ M* }/ ?. D : {% X! p: [2 ^4 }2 H, }. T
! ~' ^: S5 F# \0 V
6 i, y7 `/ D s+ e7 L8 N4 p 3 b* E0 W3 @: O' q" C
" V/ U, j" B9 q5 a. J8 L7 x
( N# m* @3 X) `, T# u# l# ~
# `" D- { F2 H 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： 9 h t& p, a; U. M V
( `9 q( j% ]1 C. x+ g6 n( D) k 9 g% |5 T2 C* S3 _0 ]
& \, z" [& A- M7 W
5 y8 W% d7 [0 n! \+ j9 M ; v' c% a+ w( Y' y1 K
2 |' K2 M' g( W% Q( J6 _ O* o 2 L, S! o% B2 M- Q# n9 L- u. ~% g3 i
( ^" p* z0 u! @" a) K+ e- G
, u+ l1 n" D3 |$ v
+ ]; B3 p8 U0 C/ R: R/ O4 E* S3 U 然后登陆网关如图： ** 0 S `# N7 s* b. d$ M1 C }
4 U: [. G5 {& `8 ~
3 E3 P, p- ]: L4 c$ Z+ j% L; Y6 f 5 ~$ v. O. g: V. B) ~0 G
0 s; x3 q7 C, `& T9 A4 i3 ~* O! p + h" X1 c; p; w3 O$ L& _
7 G) d6 A4 X4 {3 u ' [2 s3 G5 M9 H; m
4 \6 @. M$ t6 g" _ o! A9 X
/ i, T# _5 z7 D" N7 A
* w& W$ h* H+ _6 C, [( x 6 Y, Y- N2 F. E
/ i; g/ e& B5 g6 N- @* L
9 F3 O9 f2 |0 A, {% @; [' ^
X# E2 ~; w7 M, i6 Q# d. P
1 Q# O5 z+ { D% R6 \9 w i
经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里 ** ie 家里里 172.16.251.254 ，这不就是网关的地址么，所以我就用 administrator 登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用 IE 密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码， 73 台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封 IP 好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用 nessus 扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！ ** & u3 ?8 L/ n. l% B! i4 t
, I. F; ~" ?1 n# P: Z" K
& y( s6 }9 H. S! I3 u 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人 PC 还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人 QQ ： 635833 ，欢迎进行技术交流。 , q, d) F4 f6 R8 l# _# g
I- h% f% W, M4 ^+ X5 r4 n8 s; l) h
# F. n3 y2 J6 |$ l6 Y% ]
补充：最近公司换领导，本来想搞搞端口镜像，嗅探和 dns** 欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图： **
3 E8 P1 {! n- I' P; g
Y h2 n4 Z' Y* Z: |
, K- v/ L% p% E: \7 p# p4 e) E
+ g2 b8 g( h2 j {# Y: W " q& K9 N& U! D# T' C# l6 ? / N m& @4 n2 E/ R _
. W7 c* D) Q: g j9 y
1 A1 a- h- o, n- R ?$ V6 k # N9 M# @! z6 E9 ?8 K4 _3 y1 U
( o5 _7 P; K: ?7 I3 J4 w4 z: K2 h ) t$ B/ q6 |7 c# d; m
注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 , d, P9 e8 i9 H7 v) g/ v
' T, C5 d4 T, g- ?4 F8 s7 O
+ v* D& _, i4 L, W( f0 ] s4 U7 S
! y* _3 w2 }: l
0 s5 W* N9 w6 P/ q 6 U" f: e$ e' k9 U" c
; Z6 ]1 H" ^ O# I4 S0 y7 k% T
$ k7 a7 p9 b: S+ {8 q( n$ r
; m2 S9 ^; n4 Z2 r 
发表于 2018-10-20 20:19:10
收藏
支持
反对