记一次某医院渗透（近源）

admin · 发表于 2024-3-1 20:15:03

5 o0 O- ~. [' t) S( W 声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。 ! d) B. x g r$ E* w' ]# R

: i H7 o$ \* j7 [. I0 S' T. m 众亦信安，中意你啊！
+ K* t9 ?6 e6 k# [; u+ @7 ]
$ @# P# ]2 r$ q; pingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> , M9 \! j5 W- b. H' n4 x

6 O2 K6 I! K/ |! N2 x2 r+ q7 T ingFang SC,serif;"> ( L* u6 |& R+ N2 Y' X) R5 d

4 |" _3 F; \0 O/ j, P# {& k* Y& f$ O/ O
) s8 C9 y0 R) v1 S0 k$ I 众亦信安 9 g8 B3 U$ G" S
! B/ J- c% ~2 k- ` H0 P# M' u$ K
! {1 T7 x2 B& l5 E 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> 9 c' ~( q9 R9 d: b, r+ `
5 `! l: o; z, ]0 S% I2 D
" P. ^& P9 A- A" |' {, F# r ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> - u) n7 d5 I+ w
9 {; x" A6 C1 {4 X7 B/ \0 L
7 ~3 w( M1 r" Y9 }8 i( j5 @ 公众号ingFang SC,serif;"> 0 {: k1 r) R! K, T
6 q5 G9 T$ V1 K
. f; q3 D. q- w
1 I0 I r, `: `3 {$ Z1 v
/ w0 E' G0 C a* `& g3 C/ V $ x/ s3 h; b" R- w4 \6 t
+ k3 V4 Z6 W6 o: K" v
点不了吃亏，点不了上当，设置星标，方能无恙！ - k$ m. M! D8 c' j! [8 x6 ]" Q$ X
% b x& i8 @7 w; F6 r. I6 ~ ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> 2 s+ y5 M( ^- g5 P, ]7 s0 O
9 X W! J; i- \5 S5 ]
6 x. s9 w; p' k% G% M* N 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 7 [; r \7 `1 I" G" e
2 A* ]8 Q/ _% X1 F4 e# s6 q# q3 u
+ g+ H1 {& v* | * B( H( ]/ ]2 p! |- k
; P3 ^7 t$ l8 y/ d) R
" F% V" Q# l6 _7 ^8 i 0 ?4 _) c& c/ S/ z6 y- T3 W
- j5 z& Z! @, Z6 H/ g2 d: F 无线or有线 Q2 c/ B+ j4 h# ]! ^# \* l
8 D% y- Z* V4 p! a& ~ - H9 @3 f/ X$ X( ~) e$ c
7 X7 ] g) R; r+ X P 9 @: y8 r* M& U7 Y7 F
" n$ W" u; {2 C0 k) f) z 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 ! L( s2 U( S0 e
: }+ L2 n8 M& W5 r1 M4 _
1 T6 t8 p7 Z0 x* ?- B# F 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 + ?( a& z: Z4 _6 v1 _: W1 o6 p
( [4 n" Q/ j W3 H7 b7 l
9 Y) w; F7 n4 e. `6 c * o* @, Y7 X; s: p
+ R, r6 Z' K4 R. G& o$ ^' O
+ h* s; g0 g% c1 A% t, O; ^ & Y5 K" g) |: r9 M2 [
! f6 ?. c8 C- z0 m5 k& \
) D9 Q% S3 ?0 L' v 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 5 N8 q- n1 \9 a, p+ N' [
9 C% j8 G5 ~, v4 W2 o4 k6 o
9 {* F" v; c! E& [3 w; @. i" v ' [% M& z' @1 I2 B$ z& ~
# w' r v& K2 J$ d
1 U N. {- ?7 m' n 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） - D$ @! @( n, Y" w1 i& t4 e
, X- h. ^' k9 m/ r
: H& c# h: p& D( R 3 @( u& }$ t# j* V
9 r- d9 Z$ z: l1 q( i! U
# i) |# U% i- v! A! M' m 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 & Y$ {" A% U7 {1 Y
1 L2 i2 x9 w- b$ k1 R
9 K" C, g0 J1 G' u8 S 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 2 R6 f D4 q. P) V8 \3 p
) E0 _2 N0 [/ o& X- @) B
0 y* T, l7 M! t& J8 B2 M 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 ) _3 d' g/ J3 K; z; u' b! |( L5 G
) f" t3 }7 f. O- v3 Q. V2 P; R' h
4 ]- T( A0 u! B+ H7 V" E ; N p- l3 Z5 j
& o+ L; k" x2 f* {6 { 内网渗透* L4 Y2 C/ }- E! j! T3 }3 K
) z9 w" |+ o& _6 j+ I' g 4 p4 v" E1 D0 M
( [( t! L/ W k7 d. B4 g 0 ~: ^+ ?. i/ y" H. Y! e
( w$ I. F, H/ _- j5 O" n5 w win下搭建cs和linux类似。 3 J4 P' e6 ~( n
. B) ]+ D. W5 {8 m( L- O% c
- K* r: ]2 M+ O4 C
teamserver.bat + ip + 密码
5 [, u) @8 f/ R+ ^* J" T1 n
/ M0 i7 d. b6 g2 v2 }/ ~
& b8 s9 f, ]2 w: T; X & U4 F% y" D- x8 ~1 @0 J
& s* g( v3 t& F& \- r
- y) C. ~1 L$ }( Q7 V fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） , t0 T" s2 D$ g3 a- [; _0 L
1 R3 D* k9 l3 s1 w0 J6 k
$ X2 u8 O/ r% n) A9 y* q " n) S& R9 {. t; a7 C7 @
9 Z: n# l+ T" t3 D- F5 b
- @ e' A7 K. H% Z, R. k8 H * m2 n3 M6 k: p8 N2 l& N( R7 u
0 ` z) o$ R7 v, h6 F
& i; T( p$ T: v( i& T 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
, o* n+ z+ q$ ~- \3 H4 B. {
: q: d E0 s$ }- t5 C! S4 f; F # ?2 O6 s( r) f$ `3 J2 j' P
8 x- Y; s$ e( ], l$ p1 A. G0 c
+ T$ D% p! U; o" ~" o n 2 F+ N* d0 k8 @7 ? E4 B3 [
& j5 h! S; N# U; C. c" ^
8 }) A! I9 G9 T8 C+ \ fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 # I7 J7 l0 h, D5 H- L! p. [1 p' y( N
) x1 n" }4 {# i! Y+ I5 ]; P
' Y* v! R1 J6 t( b X PACS系统 1 X( G1 }% e5 q! h
, a: o7 ]+ E* b$ S& I" ^& I$ f% J! T6 B
( Y9 h" g2 k: Y 4 s r3 H$ n) W% n
1 Y3 d8 e$ g7 J6 F
% O: S7 h0 Y( o m. `
' M) q% @) {6 C; u7 g, G' E6 I
# I% {( C& O, f$ m; D9 I 9 E. Z) z n/ {9 I3 U( y- x6 K; q
, W4 n0 _5 a$ v/ p" q4 |; E
0 N( g! \: l& s! h( K HIS系统 . E& Z4 L0 W3 n- S
" s, |' d; i. @$ E4 B
$ d ^* n+ S7 t+ @6 C1 g% s) K & g" \1 w' Q2 R( x0 d3 k% S
7 [" J$ [7 O+ F0 z# w# X# H
( y/ S, w! [0 |7 F* k* S' N / ~4 }) m2 {7 }' N; [" {
8 I8 f: \! F- z4 j7 K
) r) K0 b$ Z* `. g : ^8 ]$ A7 b( V2 \* \$ v1 f6 h
3 O. \3 i" r! f3 n- k9 a2 p
8 |; j) L4 x( D2 I. D) P: X. G, V7 s 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 / X6 l5 Q3 U% E$ V5 J
# q+ C% L2 F! @7 U3 s' Z: r
* ^* m" J" M* I) r# I; u
) h _3 i7 L' E ^$ D! r( ~6 ?
9 ]3 W+ ^* G D' _ , h. p, e2 J' Q6 ]
& v/ z* ]: y6 _
$ Y! A: k* f2 T 后话 3 C5 G' ~# ]% V0 e
* F4 f6 z1 X# i3 O- \) q$ [ L8 Z
V- ^1 \, x( B3 V3 G9 F 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 ' f) j9 v T0 ?) y- X) G/ U$ c( a
; M0 F$ L( V) n! {; y) S4 s2 y
& q: o X! p/ O! t # A7 H: r1 t5 ?& ?: R
% D3 @& C- p" U6 y @1 Q4 f 5 m, k4 X8 Y5 l: N" w
- ]3 H5 I( ~5 \* \. b , A) P; J+ x; |) C
7 c! i, D1 k! [( c5 v6 ? 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 : m3 A2 H. k7 Z- W9 G' \: I6 ^
' i9 _5 Y! }& A
2 c3 K: {8 B: p- Z1 N# Y) { , O- {1 e5 x. t% J# Q1 o' s5 }
: I( M4 S5 U1 Q7 Z% |9 E1 V