记一次某医院渗透（近源）

admin · 发表于 2024-3-1 20:15:03

) Z( w8 z/ T8 _( {& `% n 声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。 1 K' A' G8 T3 R8 u

' ]+ _4 A) q& v7 k) c" ~7 h 众亦信安，中意你啊！
+ Z* Q" L" a1 j
" B; o3 t2 f8 s+ W9 w+ kingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> 9 k7 w( `8 v5 \/ W; C0 j; D% v

; ^7 }) g- \$ @6 B7 K1 G2 p ingFang SC,serif;"> + y/ z& ~; h: B

1 {9 ~. U, l2 V3 E1 E% n
, b6 h' n& P n' q 众亦信安 . x' i* D, b; s" \
% ^! I7 N" h) n: a/ h# t$ K% I
7 _5 q k& n% D f5 J' n' H 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;"> ! o# j" r' F+ {3 I5 ^9 `# t
3 t% ^# r8 O% V0 H2 X
0 R$ w0 T9 z) T9 L( f ingFang SC,serif;">26篇原创内容ingFang SC,serif;"> % J; k' d) n" Y3 M7 N
, h% ]3 Z0 x, o2 p
; t! o# D6 N8 b6 f' n/ R 公众号ingFang SC,serif;"> 6 ^- w; k. v7 Q2 J
& | u o+ X7 |2 g: ~% B0 p2 D
. q k S+ U y
1 o7 o8 h5 m5 ]5 H
. i* `2 R5 ?$ e6 x 3 E6 p. h9 g/ {/ a( z
# w7 f4 t; O, y2 S& U" L5 o! ~
点不了吃亏，点不了上当，设置星标，方能无恙！ # f% ], N7 d" t3 x* Z W
+ x0 ^9 |4 d1 v" L ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;"> % c' `! h7 X2 }. N( f2 j5 g( \: `
8 F* g- J7 T4 o
$ O" A! b: f! _1 ~0 O0 I 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 ( b: O, u( N2 j5 [! h' ^+ r8 f! R
. a) J, u6 T( X
% E m/ C" a) R3 g4 h. g2 v 2 L' {% G" T+ o; P' m2 {% h D
@" A4 v0 A/ J! E3 h' W# r
: h' ^1 p. b/ Y % r* e m2 \: c# h" x! L% J" p
7 r3 f0 @ S" w8 |6 t' m) S 无线or有线' B" S: P( k2 v) X
0 g- W& R9 I, K# R9 e% k 0 _2 T3 T3 c% h1 D. \5 g; z( x
- v/ j' ~/ V9 o# T0 { ) n! m" R7 M: b' q9 z4 [2 O- B
) I* T9 Z* @( c) n 大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 * A/ P. H8 i: {- N) F0 h. M4 y/ y
, h# g$ P, b* b5 b) [% L `
% b" l6 v, X- y 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。 9 q! g! P# o- w f% N
1 w" |7 f+ B: {1 w
' @# i' L* `+ J& _7 A8 ^$ a 9 |) C* j1 N! n- i5 M
0 p0 b- W1 z+ ?4 y4 [
3 G+ i4 O- k1 \# _! O) J 4 q9 u8 k5 m5 K' d9 C7 x
& e5 Y# V& W8 f7 E% o2 {9 u
& l9 p* z6 Y$ \2 |& g% } 这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 $ r1 r0 z6 `) R+ }
% @0 u( g! W! @8 d1 s! z
0 s P3 v+ I3 U# Y6 A 5 d& y% V9 z" M7 T8 {1 L1 C
9 n- D4 F& W4 Q4 c8 b0 J6 K" r7 C( J
, J$ |" G" b6 D: ], j 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21） ' [# }9 I0 B4 k( j9 m* |, T
+ E* }: k0 h+ s9 R) Y/ o
& ]4 d3 N1 z! L3 ?- O 0 [% g P; J9 w7 Z8 I2 \7 L* d
/ S% o7 `, ^% D/ z) y; _
+ U" J" U( f8 H$ z* m 插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 9 _( O' Z- {! \) Y/ ~+ l/ {
- z, W( Y, i9 l" t- h
7 r6 m7 X/ F8 C5 _. ` 这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 ! U. I7 S# b& A; ? a2 U3 N- l
" j2 C) H( w* f. L( \5 k
- o; K0 _0 o/ q3 Y' Y( ~" V" O 一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。 ; d! J/ r: O- n T$ q
8 k7 \1 \1 W( R7 A8 R q; r$ z8 @
% ?3 q4 j: p( k7 R" P& I' H( ? / ~3 C5 ^! V! o3 t2 E f' |' v
) N5 y. a7 H8 G5 P$ n+ p8 ?3 R 内网渗透/ d& T# A5 {4 e8 C
) Z" z8 y+ k1 b) ~' a 0 Z* A3 M# l& t% M
8 w& j* ]+ r. u- p ; K) T0 n w8 ~5 P @1 r9 z$ O
4 k, v5 R( F6 t- n) f& t win下搭建cs和linux类似。 2 Y v; p7 q; E
4 X; ?, B9 q; k% l4 j' A1 ?
0 n- q) r m$ D/ A+ k) G
teamserver.bat + ip + 密码
6 t# a- r" x% _. k2 A8 v
3 t0 M; {) Y% F0 d4 p5 r
* p8 d4 l. i! b' C ) {9 B6 e2 s" C+ M8 D& R
, c8 W/ [' r( f4 o- y
) |% s/ t% K7 ] fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） ; Q' C/ E. [# s% w' E, m5 s1 z
' M( o" D5 k! t- F' _# e4 c( Y
6 q+ Q3 A K& f; I. k/ ] & h$ V4 l5 F7 D8 u% X/ d
% F9 W9 b# e& F% z/ y, N( T8 X" _0 P
/ Y1 {( j z) p5 D' H4 r, G4 _& h3 G 9 M& U2 ], P# e- |7 z2 t" `" J
x" x$ L5 w4 g9 u1 t0 V
3 X o- z+ Y" b1 O4 f; g& X$ C6 ]7 m% B 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。
' u- }, w# z X4 A8 y" K) e
2 T% a" I) Z- `( L( Q9 p4 U9 A' _" [" l& S
4 M/ N1 ~8 [9 D: K# T/ d% N r
& F; J8 x; Y# y$ w & i" o {! W; \( y0 k: q7 ~
, b4 ~" ]+ T+ b
" R( |7 K5 S9 f/ P8 K5 U$ D' Z fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。 4 s8 G5 V8 s \: k+ w2 b! p4 P, ^
1 C0 ~+ W' N X K8 i, J
% x4 `' j1 x4 |- m; l( _6 Z0 ~$ n PACS系统 ' [5 r7 s8 Q8 |9 s! p# }6 P
/ M4 a+ A( ~( V. ?, Z
7 @2 s$ |$ t3 P' ] ' l& ^1 x* \0 B2 S
/ G/ V5 t2 _& s& `
" ?& |. Y! @+ t2 `) \/ U4 j
$ f4 c) w- x2 c. m. M# i/ q9 |$ z
- x7 B' E% I8 ~# |4 K, E! n7 l/ S 3 \ |9 ~! D& e3 E" U

8 U! T3 v/ P% G2 t8 d+ A$ M HIS系统 1 x7 _0 n$ b3 O. k( ~ L+ d0 R5 \9 ]
0 V# |; d8 u; p0 t
! ^0 y* _ o Z% n, a/ @5 H 0 K+ I" g$ |" {. u, H$ U
9 M' Q2 n/ t# w! J+ s9 x" r
6 a' C7 I- r3 `% X4 n $ x3 H' A& j. \" Z v0 g3 @
% m, b( j; U& g4 m8 u! z
$ L3 p9 \7 w" a+ W) J, Y3 { 8 }$ h+ X" k+ G4 X* U; b( m
# L- g4 E7 S7 o. z& x9 S+ m
{7 M& `8 m0 G 还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 6 d j. ^5 \5 l6 ~( E
w! X' F9 j1 }: k
- P2 \1 G; h; Q/ S! m
/ K) N* F0 { x R2 h
|# w$ L3 A' i" N. |, x+ R ( P: V( B4 Q$ u3 v* m
% q+ m; m y% Z, m
/ P8 l! b' ]1 r! V# T6 P: S 后话 " K$ m8 J4 _" u0 f
3 m2 n% H; W' O8 `5 s9 n+ n
; O* G( Z$ c+ a$ I# {0 x1 G# t 算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。 * P2 S! \+ S/ ?3 X7 u" C# t/ l% v
x7 u) ]+ `) E# _
7 P' W3 K% t) i+ Q+ Q & ]+ {/ c' N" g! W/ }2 s$ W
: U! {' |4 J5 s8 }& _% O 5 X* k% x, [5 K* K
! h# r% ~$ @7 `# X" m6 H 7 B- n9 ^( Q& |9 L
* f& K9 N2 j9 d: L! u- R 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。 3 F4 z% b# l A- D" s
9 f7 T& N8 b3 s6 W) ^& I* L
- N1 w( c, q/ G' ~4 @1 b u % ]7 i } [ c2 T
+ o. G( f9 S; r! k: B: Z