渗透测试某大型集团企业内网

admin

2 v. F, }7 m. w. W/ u

& k$ I' ]8 c# A& Z! j 1、弱口令扫描提权进服务器 7 C- {9 H$ x- H: E

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下: / J0 J \9 |( y8 ~7 l

7 `4 x* y, k6 K

3 P: r2 U3 i8 n4 D, ?6 a

---

" J* f# b# D- Y( | W; T 6 ]* K3 j$ v, y/ D' i6 w

' d# c. K- A# e2 S# ~4 ]5 R, r

5 D" ~( r' t `2 \3 I+ D ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行

4 l1 u( |7 D) S* i/ V/ L" e

+ l- j9 s2 d6 d+ ?* @2 B% { 执行一下命令看看

2 _$ Y* e5 r q: w0 Z 7 ^; Y; m* R; d, R2 X. Z3 R

---

开了3389 ，直接加账号进去

' X6 D" T: @3 V2 g7 m' {* Z' f

---

( H7 a) b8 z2 s' L# l0 X

9 C% S! I& j5 P

9 j1 ]$ Z( R! K9 W, E3 ^

一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图

, d( [3 e3 q* u! v; t6 t4 h

, x/ ]+ a! O$ D7 t( p) _) l+ l

---

% Q6 m" _# n' x7 F$ ^

' ^5 L' l! w5 W! r, S, G" Y

0 h) l$ L% Q" j" F& g

# p4 i/ Y* z O7 V/ c, ~" h$ Q v' P$ R7 `+ W

直接加个后门，

' V1 ^% R0 c' b6 J6 m& n

' y' g s4 k5 f& h' q m 2 p# J( v& b) O/ u% M

! Z9 C# i: a/ E: @7 ]% @) d

---

0 ^2 g- H3 `5 B% c1 @! c

% L2 Z1 p; U: b9 N4 i 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。

7 O# x% A: [/ b! f

* {: Z4 u# C, H1 `- E% M( n 2 、域环境下渗透搞定域内全部机器

; A% q, {# h( v0 G9 o 经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知 & @4 \! o; R1 x0 ^2 A1 ]) O

% J7 R. @; t. z

---

0 h- T: l7 m/ i$ O6 h6 ~2 |" y # f5 v- d* F# ]6 ?0 j

6 R4 G& D d: a* h3 s" c

7 G# t% J9 q- {0 u( u

4 t5 T0 T% @6 W: V+ M 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图 ! x+ m4 {0 W: D. I' n! ?5 V. K/ p2 M' C

---

3 [1 ]; Y; b- s

0 E J( W# {6 T& d' w5 p! @* |

我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图： , S$ E0 K% {% y' o' N8 }

3 d! U! H* E d: A# R& {1 T6 m' k

2 Z8 t+ N `, _# b1 S5 b+ u

---

0 I& c4 f: k: x- `" W+ @5 R, P

1 M3 o. W g- } Z! U; _

" g7 r1 n. o J9 i x. H$ ^! b+ V! r 9 n- i& `9 D% N6 H

利用cluster 这个用户我们远程登录一下域服务器如图： + B) Z/ D; _* M$ R, @

9 v( O; r- R2 N( [6 ^

---

5 n% c( H2 O7 O( N( v$ r+ l3 q

# m* I( p4 C; O! [

) }8 F' ?0 N0 `5 P4 k

& Q% [9 y: M6 t c b 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

" o+ h& ^" \6 J: M8 D3 ^ ?: |! o# K

---

T4 c; O; d3 z# q8 q, \4 @

/ q% @# H0 D7 \# ^6 o

& S* W+ s8 Y! y% d" m! O, m B3 S8 x

4 a& r0 Z3 W7 F; E 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

% J, [+ n! o4 d9 U5 S# e

' X# f9 O. s/ U% K z

5 p0 P4 ~5 C! w: |# ~0 j 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping

! R! C( E3 n- N. \% d) h blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

, O- |* M8 n( t/ @2 }

---

- o4 b2 C6 S& u4 l, u" s0 C

& J. p( ?# r6 v0 J( Y9 k

/ P1 p. m9 z& A T6 z" D+ Y 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

---

+ D$ T& b4 b3 Q; w

% P. p0 b- b$ i& y* W

% {% J( u; o5 O( V& k7 a9 N5 v

利用ms08067 成功溢出服务器，成功登录服务器 / E8 B% v, M+ D J! O

# d3 W7 [2 j5 W x" T 3 v. a. \( I! a" v( x. |1 ~ G @

---

% c4 c* X: J$ v" T O* g/ _

" r3 ~; F8 V' W, {: w

) X0 \, V& v; D. d4 o$ O \ 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

. F: R, o% n8 k# s2 M 这样两个域我们就全部拿下了。 , F' t* H2 t8 D( J) |5 f

2 _+ m& W5 |: h* q& V' s5 ^$ t

3 、通过oa 系统入侵进服务器

( f5 N( M8 J% L& x6 E I$ m) Z0 } Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 $ D9 p! b( r; H

9 `* d' @0 a! t3 j* @8 j6 p

- ]% w5 M' h m$ Y: Q" e

---

) o0 |2 w- o) }' l 0 }5 A2 u8 y7 M* y

+ |4 f V; r* X0 T% |( ~

" k) t/ b9 M2 [% j4 O- ^' H& q2 R 没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图 - t2 f( i# J% t, Y6 c3 l

/ L/ I* d2 Q- ?# S( V

2 g% N- ?3 T( e4 ^3 h

---

: o0 H6 @( ?0 \0 T- a

填写错误标记开扫结果如下

, `$ f- j: D; d1 e8 G& {

1 v( ~+ I8 D. l$ W' h

---

1 r2 A: {# I! p, a$ W& C+ |

- ]2 s" }/ x' N$ g& [6 D. C

/ ]* Y, e0 F" S. L4 A. O

* {2 X; g$ Y3 A5 I 下面我们进OA

i9 n: }' d* \' w# ^4 u

---

4 F ?. h5 n) F T! I% m5 r) r5 T0 T

/ o- o5 X+ ~- {3 o: T

# \% W; H7 D' [% A

' z, W& G. g; p# x2 Z% A

8 |. r8 V' t$ w( P8 J3 a) J+ o 我们想办法拿webshell ，在一处上传地方上传jsp 马如图 . p/ I: S0 p* n% E8 i0 E

" ]3 p: ^2 C8 A9 Q( @

. v+ q9 W2 p% K9 d" s

---

+ P N/ O+ `9 t0 i

- @* ^2 G0 x6 T

# n2 P5 ]' v( d5 R+ X- r D 9 t# s- a' q$ H1 x* ~. F% {" X1 P

5 u) m4 }) A$ b$ {: }) G" G

# Z6 Q7 z: i) b8 E# H 利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了 2 I c9 Z1 ?0 S2 V

4 、利用tomcat 提权进服务器 # @: b; E# j) R6 B9 \5 h% n

用nessus 扫描目标ip 发现如图

---

, z! d% P/ ]9 H K4 T' S

8 Z3 E/ {1 c1 ?3 J9 I" M

1 I9 w L# ^# H# c 登录如图： 5 G$ v3 F# d6 G8 m% X1 u

, x% a7 Q4 I9 ` o/ p

---

& R. L9 x. [$ [- `2 I ) O% V g4 f6 d

; E! R% E7 B' q

" x. ~ [9 C$ k0 m0 j

" F0 x# ]7 y* r% }( Z* l 找个上传的地方上传如图：

3 } Q8 Z" l1 C5 `

---

7 @- F( o$ x, g- l& {

) N3 F, z: Y- F ; _2 u, v1 K/ t$ Y# Y

* I0 L9 r& Z' R& S x9 N! z0 R( b 然后就是同样执行命令提权，过程不在写了

9 {- V" z/ c$ a' N3 p: C* T

8 I( i i" L" F0 [" Z; m 5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

6 f4 B8 N: x6 F) z 首先测试ARP 嗅探如图

: j3 | B$ M, H8 d

7 p! n u- C9 q _% J* h

---

' _" F7 ?! P% D) ?# k

0 g+ S- B$ x! B( U0 |1 F

- p" b) X+ X3 F) q( p9 F

测试结果如下图：

/ [3 l) ~ B8 G7 ^+ }# Y+ f

---

9 E* C6 W$ e" B! V3 f4 e s $ T; l+ S/ T( q3 H

% _9 C: |1 ~! A. n4 |" w2 |1 g8 ?

哈哈嗅探到的东西少是因为这个域下才有几台机器 6 _( a! g! f9 h, \9 _( k. u4 \

# a: K% A {8 t+ I6 x; a

下面我们测试DNS欺骗，如图： : N4 s4 I8 ?' [8 q) w1 Y

7 l/ H4 d4 G1 ~4 C% ^) P5 g" L$ @

---

5 b6 l: w! h- s( _, @

Q& Z! k+ _0 F9 \% b

& b0 p7 _/ [# ]9 B6 o5 A 2 b- u w1 Q q& a) r% X

" H3 N$ S$ l4 H s1 c8 L8 b

10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

* b+ X4 \1 d4 V [6 n

) @5 f1 s( k# ]0 F' o, P

---

9 _" t9 J- y' C- x

' c4 r# ^2 r6 M3 }' h

& _* g+ w: d! b5 d5 G6 h

（注：欺骗这个过程由于我之前录制了教程，截图教程了） . ]; t z+ U8 _" n1 ]

2 L6 R5 p" x* r2 q) M 6 、成功入侵交换机

" k! W8 B) ~: @# U$ c

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀 # v0 J' A6 I; a# h& c$ w L

! J- {4 Z X1 z# e/ |' L6 y- u

' \. t2 S. J+ H! z8 w 我们进服务器看看，插有福吧看着面熟吧 + i$ H6 {: N7 A# }

6 a, R4 l8 ~4 o

---

+ ]0 k5 L8 Y1 V0 X% M9 L

4 R+ Y" u" g( f; b

5 X) e7 X5 Q7 a! t

, P9 ^5 U' P. x9 L) j

/ h. L- T3 h9 Q- _& M# C 装了思科交换机管理系统，我们继续看，有两个 管理员 ) J# b3 j: b: O8 n1 h

- D) J& Q* R C. D1 m3 v

---

% a |6 v1 H& A O2 W

7 c! J @* y) m: S6 n1 h6 ^9 g

" v2 J- X( v7 Q, x

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图 7 I- c$ f- T Q9 U* e" X+ N& @

---

$ z1 a7 f8 M6 D( _+ Y+ e1 }6 V

R+ s8 H- ^: C. I. L( F) i( w

$ u4 P# M7 I$ n# V2 N7 C, A 172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： % m! f" L, @$ k2 l# o

---

/ ^5 p% y2 c0 k. s! d6 d: R& e& q

点config ，必须写好对应的communuity string 值，如图：

6 \4 M. y0 o/ K6 c: {

; } U, @6 R7 f. {0 @7 c" x7 t

---

% r' `. b; T) o$ A( n7 V) u/ `

远程登录看看，如图：

# V( B0 ~7 U- D8 l. A1 Z : r) n/ k5 f9 z6 h" O6 H& R. L

---

q- Y4 H5 z+ G; ` m / O2 V8 |, ?# {. D5 [! W0 X' r

7 Z6 D% {9 G5 n" u

% T$ [2 N7 D' r1 w' W/ R& r

直接进入特权模式，以此类推搞了将近70 台交换机如图： # G$ q4 j! H& z$ Q4 O% o

0 {3 s3 e z2 O" r

---

$ V3 r/ w. \( Q! t3 k6 l

; z& p( b) S/ p) y

. J1 t$ V2 a! H% c* x

0 S# \3 w" b, z1 P# n" o; e& ]

总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，**

" e8 e6 ^! r- z8 M" V- y 1 A$ n1 T# ]' S5 }" r: g- I: q

---

8 H& `0 |: o3 @8 s* Y, F+ R

% ^3 D( r# k0 p* X( T& I- M ; X4 U- a& f9 r9 {# `* u

9 q2 @0 D+ z1 P, i: g b

6 [, V' ~2 c9 D7 e; U 确实可以读取配置文件的。 $ u" y7 S* H2 }- F" d: ~7 z$ n5 {

6 f( G7 w4 U! l( m4 Z. X; d2 m

9 q. s9 @6 T( U/ M$ ], u& i 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 4 r4 M1 O% H- z$ _3 v

+ E6 |) k) t1 q* M; ?) l1 Y; }& f

---

, a" b4 P2 l! v6 [$ p6 y, ]

8 x C+ C5 y9 Y% h; v& x% B0 x

5 V1 q5 B8 J* M( T % B) W0 |* A% ]3 P4 V6 m' ~* P

7 V2 I) x' ^* }; M8 x

; b4 S3 k2 J2 g" B/ K4 p Z v% {

: G) e" F9 [. x# l6 A

直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

---

1 U1 K* \9 K! d: p- i1 ~

5 m/ Y1 x7 x- {3 m0 s3 i 7 D; h( R3 R& Y0 B

7 s8 X9 m- y. N$ \6 c+ M 上图千兆交换机管理系统。 3 P9 e; M% ]' Q- ^, }- H- b

/ { `/ w( @# K" ~) U: P

- B" ^9 n3 G9 c8 H( ? 7 、入侵山石网关防火墙 + W. [8 `7 U( E% B0 J

/ I: G Q7 [0 t* d' y2 S& E

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

# \, \+ M( e* W4 l0 L

+ @ X# w9 i/ ^) ]$ b" x1 n

---

7 V& N, p3 p8 a- C

6 Y4 d- f" I+ q) t* x6 H9 T

* d5 `& k% G& f9 q/ U/ m6 B

+ \ s; I0 k6 S3 ]& H: p" T/ W

/ U d! V% a( l4 s! x5 H9 w 网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图： ' x% N) \# K, d4 d: l) @8 G

* u* Y: Y7 A$ u# s

---

* B5 |3 x: L- S5 {4 k {

1 R; c) G' y! p' J+ m$ Y

+ E$ y: r3 P" b! g7 r2 o 然后登陆网关如图：**

* b6 n; s' R# A2 U

. _/ z% b+ G3 q! I. } D( z9 J" M

---

; W3 }3 Y" I4 Y2 y/ {# _ " F7 D, H/ G: n+ d$ h* o2 \7 F) K

) z$ m: x. F9 ^ 0 g/ X; n1 F5 J0 N6 I

4 |8 o) f! ^4 A0 ^# [+ w, w

---

5 }$ w O' _- e4 Z6 e ( p2 M' u E7 j- C! z1 k

8 B6 ?3 t) b, X/ |% _

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。 1 b5 {8 U$ S: b, m0 e# Z% j, n" u

补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：** / a3 H- t; g e( D/ Y2 X

) h) X% _3 h7 `% K; \' ?' R

---

3 ?9 Q& y2 {; G& l4 J" A: }

) K* G' o4 M5 K

$ T% M$ [8 @. `6 Q$ g* z3 i. H ( s( Q) Z0 r' K, ?( {. r

+ Y; ` v) V, L' r

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。 / ?0 P0 Z ]; S

' q& @2 y2 E( `" b6 S/ {& P

 

3 \2 d# I3 P2 O& P" k$ F