渗透测试某大型集团企业内网

admin

1、弱口令扫描提权进服务器 - i0 k2 S0 c! G3 q

+ p) ]9 x7 H+ l, U6 I3 N2 a

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

& _3 j" V: M5 y; i, k8 X

. W9 G' H# d# I& V! r

---

6 [5 s0 F# }% x7 r* G( D4 U

# W$ h( `/ d+ @5 F, [/ z5 i# e: L/ i

# p$ J- b( C6 {4 X9 S/ V

" O& W; I1 k. S/ \: Q T) y

ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 $ I3 @+ ~6 q4 n9 k( Z2 J3 l

: I/ y3 B, u) i3 r 执行一下命令看看

. p* _) d# p$ l% S& V

' J- f; I# d% g+ ^

$ m4 e, @6 t# e

8 h0 Z+ \7 g3 L0 Q( u 6 o l1 ?* D2 M5 X- @' [/ K

---

5 Y+ k, k4 \- n! T

开了3389 ，直接加账号进去

---

+ ]6 K% Z' |( B0 |

# z6 @( S( |. l* T% L+ l6 ^* \* d

4 s; l( c& r5 ~( J

! U2 V( X+ o% S 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 ( M/ p' A, E& m2 k8 T1 j$ D

---

# l1 j: j M! s# z5 L+ f- T0 }

* X( ]4 n" v4 M4 t8 i8 _

' J* i/ U, d( A4 M0 o! J3 r* x 直接加个后门，

! b( ]( ?. P: k4 b: P3 N

7 N7 E1 ?- K& {2 ?+ n

8 F& D, k2 I. y/ t

% f% F7 F0 M( e% |/ m

---

; v8 _5 c6 e! @$ b1 f

6 T+ q" S, c* V4 q4 a9 T

6 Y: O9 w- `# P6 h+ v 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 - g4 f6 n+ p8 T% `; `

2 、域环境下渗透搞定域内全部机器 3 _7 B& K3 T( g l! k9 v% W

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

$ p6 C. m u6 m

# [+ Q, `5 P: i( h+ w% K

---

# L3 t) r. w* d# D& f q! Z, D: C/ R. N5 n

4 d% d8 r, `/ ]( o& m

) z4 M7 o# f6 {8 D( z3 Q 7 ^8 l: f2 a9 y8 [# {- i1 D. T

( s0 c+ [* X$ a* B) ~& f6 K! f$ E 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 6 v$ `4 ~8 K ]) B; D; A( p

2 F8 z0 [+ S3 W. C0 O

8 l* ^4 D9 U: r8 N& S' F4 e4 _# Z

---

* n7 @* h( L) A: e6 [ g' m/ o% L! S 7 x4 G8 A' E+ s2 ?* h/ l; H

5 c' w9 m1 d7 ?4 k3 S

' f7 K! d$ O: ]$ \- r

. G) @# v n$ X6 Y- q 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

0 q. |* N3 D6 c# Y* @ V: }1 v$ m# r2 |

---

( c, T: _9 i3 P, S 3 z% L7 m, w! v: P% H

9 n" a8 L; Q' E& P( G8 r

- {/ L3 H) J) O3 X* s5 y + e1 @3 W2 o* n! B0 g5 N7 a

; m& ^ ^$ Y F# E0 Z w6 y% F8 g 利用cluster 这个用户我们远程登录一下域服务器如图： 3 }% K3 `+ I% V. O$ p+ m$ C

% r n n, ~: o: C 9 Q* m2 Z! U& ]+ m8 m z

---

( I6 t' m. N; b2 c( L/ ]* R: [. U

( a" n* T& j( `+ k1 r

尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图： " p, f/ X, b0 K2 ~% _/ V

8 g. X3 b! A* R7 ~

---

) F" U$ l0 O5 ~2 G6 N7 c) P ! v/ \* A* \. D

3 r# P; \1 H0 c1 X# i

得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

" Q5 M1 b% E, i

% D& y8 N" E: a% t, r

, w! p }8 c) J7 r# R 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping 5 t1 O) k b% c4 h$ x- X7 F

) Z& Q- Z" ~9 ^3 Z

blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

& b; o1 S" h9 H2 V

: _5 W5 H4 p1 l% K* F3 D3 }& Z

---

: p1 Y3 A% l4 R$ M

经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

; G0 E/ I& u- w7 L! I5 r

---

& C! B6 }4 v: u+ L, u! a

8 a* G5 \; R& k$ L; p* z $ J! h+ A0 `* h, k# Z I* F

利用ms08067 成功溢出服务器，成功登录服务器

---

) w* t1 \: c! {' B- O" E+ C3 H( O* t( s

_) L- f5 F* p' Y; R% r, T- m) t

& P6 z& y' n! i0 {4 S

% G& q7 h+ V6 }$ `, a j; }7 j+ F

( A" w# U& C& s6 G6 b 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen & H" j0 a ~+ X4 A; L

; R; B- i- ~ G5 Z: [; V 这样两个域我们就全部拿下了。

$ W6 D' n# V5 @+ `! U 3 、通过oa 系统入侵进服务器 % u% T. [# c! g& X' y

3 O+ i! A+ L+ |

: B1 }* G, W9 |. T9 |: u Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 # U1 f' x6 _4 u" L) P

6 n& r# ~6 y! v- @3 _% W4 W0 u4 b! l

. t; W |+ U4 p0 T' V0 l( S 7 y0 j+ S! V: b" Z

---

, }' i$ S1 i' ?0 A$ U' l7 L " H& e6 A8 g* o6 t

% c6 V: M: V3 Y. U. F9 a0 k 7 D8 [/ v$ h A5 S

- X8 T/ O; q/ ?9 d% J* Q9 E9 [4 t

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 1 I, q) q6 Z4 b+ m2 n# r) n: W- s

5 S6 N9 B; \! [6 s( l

6 X- N" l; t0 ~" g0 l

---

6 k2 N5 b/ w5 p6 S3 R, k' s

填写错误标记开扫结果如下 - ?" |7 q1 h1 p

---

4 I( j$ Y4 a1 Q( Y; s q8 q3 v

$ l0 i5 _: Y& U 下面我们进OA ) p/ p3 ]: ?0 z$ a# z

1 L1 t. ?7 F/ u" |

---

2 ?" t$ y9 i# _5 f0 Z- ]) |9 ~

; ~3 z* S) e2 b- X

! U }" `0 v& m # Q2 J; q: q. [/ H& Y1 D! o8 ]

我们想办法拿webshell ，在一处上传地方上传jsp 马如图 " b) b+ e8 `& B0 T( t0 E& x0 n

3 T# M: Y3 C7 V# X5 ~& w9 \

---

* I* h$ P# u6 q( {- k0 E/ s+ ~' ]

5 \" {. `3 L1 d6 l4 ]# G% z

( ^$ T+ `, _6 Q ) f1 x0 y. [# R/ }6 J( v

* w" C+ b5 y) R

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 " ~0 z% K0 k x

! Z8 n3 H2 x7 r1 |5 d5 g

6 X) ?! y9 S2 V7 m, Z9 \ 4 、利用tomcat 提权进服务器

用nessus 扫描目标ip 发现如图

$ P& ?( R5 R% \( ^; K4 B" L

---

7 \/ ^; \; q8 U . a6 q0 Z, ^% `

. k1 Y. G4 ^) W6 {4 O# o

# C4 v8 T/ G( ~ k' m1 K$ e 登录如图： " h! [0 z; V) {0 j

; w2 s7 V9 _4 O! f 6 ~* U5 U+ [1 z! i2 O

---

1 p3 k& _0 r& J

! v; e* X2 Z$ r- @0 p- I. P; H% l

7 X7 S* J4 L9 @% R9 Y' @

; X% ^& |/ R; \

2 b; e3 @7 z7 U! {+ o6 I. s+ I- q 找个上传的地方上传如图： 4 z3 O" H7 Q( |1 O6 U

$ V& j: l# l7 A9 v B+ C

5 o I: O, o7 I$ d- y" B ! R* M$ ?% Y) Z$ n" ] a

---

, T4 f0 @3 L& O7 Q% E

4 Q7 z, ]: ]* K, Z* x x

$ M$ Y) k7 ~6 W2 B

2 \- }, r% O: \6 V2 f7 w0 u 然后就是同样执行命令提权，过程不在写了 * v7 A8 D' v; L+ H+ e* e

4 s! F8 J3 @7 V( Y' Y 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗 % Y; O& C% ]& x4 o6 s; Y8 m

7 ~5 A* Q2 f" Y) L3 L& d: a

首先测试ARP 嗅探如图 ; z0 Y. U0 n8 c' P+ ?

' i& W: |$ f8 s: A& A, H& T- M4 l

, O8 z8 ?. x; G/ Y% t$ Q. p& v 8 ]2 q% Q; | a7 ]( L* Y% I

---

( C' @9 i; s6 T( P: G2 u 0 c* }2 }' @* s, {5 W' P0 }

6 A' h6 H3 o% S- L0 N

" k5 f A# g$ u 测试结果如下图： - _# s' o, o u; Z7 b8 }

& h" ~4 U2 F$ U6 _2 d

---

( n3 c" g" S* c, u

7 k, L9 a6 p1 L( q 0 B/ ~- i; z5 y( \

- g3 E5 k- _9 ~! M

; l/ a; v" C4 @" G7 t 哈哈嗅探到的东西少是因为这个域下才有几台机器 * g! \% Y$ a1 p: ~9 }

下面我们测试DNS欺骗，如图： 7 ~1 N! ]/ ?6 ?+ L, s! t

---

1 c5 |: B/ @( {' z( u9 I# b$ |3 k

0 j& z2 L! i2 S A2 `! t

10.10.12.188 是我本地搭建了小旋风了，我们看看结果： 0 N5 p: e! k) i2 Y) m+ l& F7 V

# s, n. m$ W) [& ^6 x ( U1 }5 w3 r- N0 `

---

) d5 K. K% l* j6 _

( m4 i# F3 G5 m2 O$ j. \

# [0 q! d+ h5 @' S

* B3 b, t" e2 E! `& G+ o; J （注：欺骗这个过程由于我之前录制了教程，截图教程了） $ `8 r/ b$ q. Q% R( `: V5 I

& l. l/ C* f7 b& [ T

6 、成功入侵交换机

+ H6 d7 {8 y0 P/ g

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 % `* x6 Q _9 J6 L* b S

, `+ @/ _; R, x u* C: g! H' ~

我们进服务器看看，插有福吧看着面熟吧

2 d: t4 D% |" S& T7 M

- m e/ ?1 Z4 _& Z: F

---

) I3 F: o/ z) a! C7 a7 l

8 u3 m3 X( Q) D, M

# u8 @" _7 @" C- a: s 装了思科交换机管理系统，我们继续看，有两个 管理员

) ~$ E0 W* b8 N0 u8 t$ [

---

, r4 D% U1 ]' z ) ]; A" i5 x; K9 [* \

. i4 c: m* ^. @- x1 n& G

5 o% ^, X. c: W9 N* c8 r) ?7 u- `. \" ]8 \

; _) M, q+ S; X0 N7 w

- [9 d! Z% C; b: ~5 Q" R 这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 ( w/ c0 J. }9 y* F: `; Y7 O# C# P

) O* U1 z. e/ T* [

---

! R. Y: c- R4 v. c/ F. l' p) v

" f! J5 D, X3 Q; C# N

2 }7 \! B) v) h5 D: m

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： ; O1 f9 r4 E: M7 o @ E3 [: S

---

4 N9 s9 I7 `8 R9 @& C( l! h

( V# |- X) o: w2 p

/ f4 O- c$ [, x( W7 M4 s6 G

点config ，必须写好对应的communuity string 值，如图： 4 m4 H, J4 Y% v# h. |8 I& t

& ]! R d2 C# W$ O! x " S Q! N1 W5 J

---

6 z9 f L/ C8 v7 U$ K8 g

# w& v9 f( g* K- Q: \/ Z: F

" `3 i) b) P% m, g

! R1 R5 Z5 j0 a7 W* n

远程登录看看，如图： 4 Q/ G3 ]7 s" D% [3 D2 h6 g a/ o

2 G R& {2 m/ R, Q3 u# `! J

---

. s" L' ?' i. @3 z* A

, }0 x3 x# [( Z) B3 K8 N G4 t3 \0 l: R8 M7 i

直接进入特权模式，以此类推搞了将近70 台交换机如图： 2 k8 ?; X) S) j

0 z& B- L; `5 D0 G

---

/ ?) U( D) J+ ]6 c5 v, j

$ k. L/ R, e& c4 e: m9 R

% u6 P' |; M( I 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** ' s, K7 m( D2 ]# m3 s) S2 A4 I

& G+ m4 Q2 v" [ * D% x/ b4 d, F2 C& V9 H y( X

---

- K8 O' A( z8 d. w0 [- F , ^; r- i2 N' ~9 U* s i" u

4 H5 @/ _, J. H0 Y( ^

" P5 y. A% E! F( |9 h |5 K

# r$ U3 t" P' _3 U 确实可以读取配置文件的。

5 q9 X; `7 ]+ f/ C

除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 * {, S* ]9 k+ A; g5 [

- q% w" x) D; \. w: w) S/ N

- K' C i6 Q0 Z( X1 }9 x9 D5 S " P5 @9 n1 ]% a+ ]$ `; ^! W

---

* _$ m# t3 o. P, `) N

$ h% s& o, q& G# D7 V

/ U! }5 c" ]: b

) v4 g b; y/ v5 f% L' K

8 A2 C! |& D3 J* s+ o 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

% |# R0 O$ b' M6 x& D9 N

---

" t s% B, J! l

上图千兆交换机管理系统。 8 g. ~+ ~ O& d& q* o

( A7 g2 g9 S ?4 `) ~4 h 7 、入侵山石网关防火墙 6 {: d ^+ q& N

! ?! }1 u8 G/ d9 W' U. b* u. X6 [ 对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

2 S0 j3 p& T4 D+ l

---

% T( R$ F1 H m7 o$ { 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： & R4 i- N `3 p0 Q+ I1 \( D

' a: M6 d, B8 d' d6 a% Z

# a! L7 ? F& R- a

---

: R+ l! {' X3 h* ?, O8 h5 L3 ] # A: M' Y' g# ?( K' D# O- ^4 c& r, }- n

( O5 n; W9 r. S- L% j6 p

; r( |( c. x" z3 J

然后登陆网关如图：**

---

3 @3 A2 K, `8 f3 l" B) ~ % c3 e2 F! U) I( O& k* t( F. N

G) o6 _+ e6 A/ | ^) ^1 G

---

- \/ U- O+ |/ }. H5 O7 {, V 经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

/ y1 c6 l( M) K2 D, M# ^

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 # J; @" O# T9 k: Y& h

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** 1 E1 X! ~; N1 z+ m. ~, Y7 J2 a

8 f3 @" y. f6 h

# b/ w' b9 }* {' o4 ]& \6 h / S k; w ]6 y4 M

---

4 _, K6 V) `8 R* g' r

" B2 t `- o. d6 V3 P/ K

1 y& E) q% |% ?0 L3 F

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 8 l2 u7 S* q# V( l4 o6 ~6 b$ ?

$ F! j, n% B2 Q* j# f. {

% w6 J* N4 U$ I. t3 Y   . `& o4 d( {$ _# x5 N

" w! M; J; T) U: m
0 A. |7 }5 W: S' K7 c