渗透测试某大型集团企业内网

admin

% ]- S+ x4 N0 S) x

, U' e# n- Q/ r; K! q E

$ [+ i9 ]6 @% g 1、弱口令扫描提权进服务器

- s9 W3 \' c% Y# |0 F1 {5 F! S

首先ipconfig自己的ip为10.10.12.**，得知要扫描的网段为10.10.0.1-10.10.19.555，楼层总共为19层，所以为19，扫描结果如下:

0 U0 [# n Q2 ^: K+ T

0 @. h4 C( m# u0 ?

---

' h3 x0 O" q1 {7 G4 z4 @* K6 E

+ \4 q, M- P' h

" E3 u/ C( _. a1 [: n8 x+ t

; T1 H5 \; A- ]7 t& R

# `/ _" G) R; j" d) w3 l

4 c, e5 c0 Z8 r2 m& V% l E9 C/ M ipc 弱口令的就不截登录图了，我们看mssql 弱口令，先看10.10.9.1  ，sa 密码为空我们执行 3 U$ G5 w; ~0 I* b3 g$ T! j

% T, p. Z! ]! z7 @3 L W 执行一下命令看看

! P. t2 f7 l+ l) Z3 e0 C

. _! |# q6 d* p( g3 j' J6 P

5 J/ o* ]' v# @8 k9 ~! d6 I p/ {0 P

---

开了3389 ，直接加账号进去

4 ?8 F* n: b+ i2 y$ ^, {, \ 6 \- E: b; ?( x/ T3 i. u

---

. b' E! r! p. J) h. q. Y' a

% ~ @% p- M: Y7 M+ e0 V

$ e: e# n) q3 n1 K- D5 {

, I2 h: M( b0 o4 ]- ] 一看就知道是财务系统的服务器，我们千万不能搞破坏呀，看看另一台如图 + B; R% L3 @* c" q: ?9 Z7 c4 N

2 U) B5 L( R: f8 x' M7 L- H

---

& S5 c& f1 |* k- Q+ e# Y) q u' A+ z3 l+ y# P" u5 q0 X

( g; P& R4 y/ i$ p8 r; O# h

3 f3 l4 G- e! g w( ]9 U" }, P2 _; q

$ k9 ^4 M" z- {( q' E* k 直接加个后门， # H* @1 `/ e. M. \0 W2 q" z9 N

' F& w# o) Q# P% g( ~+ Z* v

8 `# D7 s0 r; d9 l* @$ L/ T

9 B3 n# a2 C0 P0 x; c% z+ q* R5 g

$ Q R& H* S( {% e& z A% ] H9 X

---

+ K% q+ D l9 Q 有管理员进去了，我就不登录了，以此类推拿下好几台服务器。 - T% K" P5 w" i ~0 R+ }' o( }

2 、域环境下渗透搞定域内全部机器 & \% R8 K, C0 ]" B6 Q& n

经测试10.10.1.1-10.10.1.255 网段有域，根据扫描到的服务器账号密码登录一下，执行ipconfig /all 得知

6 f. i3 G9 {: A8 _6 j1 K( I

; r* Z( }3 }. u% S9 l ( S- R" x9 S. @

---

& M7 v8 o6 A8 c# ^

) n- }5 p& _" I3 h( m

/ I* x3 @6 ~& m \ K ( h; E/ q5 {% Q" s/ |5 Z

7 n1 A; A& ?; }

. v& H1 Q y! w. P, O h 当前域为fsll.com ，ping  一下fsll.com 得知域服务器iP 为10.10.1.36  ，执行命令net user /domain 如图

---

2 o4 [, R& K/ c

) {1 ]& F* s c0 a' A: x

7 E2 I4 ]$ ?0 g( q1 E

" w9 l. B8 q# ?- i0 p! Z9 ^/ |' l

7 {6 k/ h. s/ @2 m. L& ?, _ 我们需要拿下域服务器，我们的思路是抓hash ，因为嗅探的话管理员很少登陆所以时间上来不及，那好吧，执行PsExec.exe -s -u administrator -p administrator \10.10.1.36 -c  c:\s.exe，这句命令的意思是利用当前控制的服务器抓取域服务器ip的hash,10.10.1.36为域服务器，如图：

# _$ V! Y. F' N- O' ]

7 _# t) n e* Y: m$ }/ g

---

" w. r6 K u6 l " }4 R4 q7 t( Y: [. _

5 [; o) @. N' Z0 d* ^1 m

E0 H# C! r) K& a

, {& l4 @8 m& w0 ~6 ?( d) k5 K# ] 利用cluster 这个用户我们远程登录一下域服务器如图：

: E- ?, L% C$ ]

4 g" I7 G) u8 W* D, V

---

/ j9 ]- a9 y+ V' M

* {1 |$ S' V) c( Z 尽管我们抓的不是administrator 的密码，但是仍然可以远程登录，通过本地抓取域服务器我们得到了administrator 的密码如图：

/ J& R( M1 h4 [1 u 2 B r2 v0 r% \! y' m: f

---

8 p& J) v6 U2 h) x

! V: ]- z6 k5 V) l 7 `$ S( ?" L- ]7 i! X/ W

9 e3 W. U; s; k: I

3 C. |% C9 z! e3 t, i" o8 W" ~ 得知域服务器管 理员密码和用户名同名，早知道就不用这么麻烦抓hash 了，那么我们获得域服务器，那又该如何获得域下的服务器呢，大家看我的思路如图：

( d( ]- u+ T5 i2 U8 R

, s% X" J$ P/ ?. L5 Q& R 域下有好几台服务器，我们可以ping 一下ip  ，这里只ping  一台，ping # u$ C/ u4 Y) b' c( x

. l7 d4 `6 H- i blade9得知iP 为10.10.1.22 ，然后我们右键管理添加账户密码这样就可以远程登录了，以此类推，就可以拿下域下的所有机器。。如图：

/ g! W. o# [. |* V' j

3 l, ^7 F* f2 u% H& c5 g! \3 h

---

+ r4 u6 _% U( J& M

0 E) I; E: ~! w' M 经过的提前扫描，服务器主要集中到10.10.1.1-10.10.1.254 这个段，加上前面弱口令的一些服务器这个段算是搞完了。我在打开域服务器的远程连接中查看到还有10.13.50.X  段，经扫描10.13.50.101 开了3389 ，我用nessus  扫描如下图

: y9 W" \& w/ t+ F! I: K2 N ) X0 E, K4 B5 |/ s# h. C T

---

6 h5 _" h0 v9 g: [0 z X . s- P W% A4 D; {+ w. M

2 q7 E( `! B* r! e8 K2 o* _

利用ms08067 成功溢出服务器，成功登录服务器

% N& g6 g* q% B5 s

. ^- O" d% `$ R- `2 ^

---

' B3 d! p) H' K# J2 a

2 S7 p/ x6 t' @5 b& b8 l; _( k

' S* R/ \+ }4 S6 I, P5 [

+ y/ |' w0 N( l- a

% D+ q! E# S% P8 |# x 我插管理员在线，貌似也是有域的，这就是域服务器，而且域下没有别的机器，我们经抓hash 得知administrator 密码为zydlasen

这样两个域我们就全部拿下了。 $ ^: k o$ f5 T# n9 K, y" T

) L; u- J+ p: h1 O" k

E) J) e. h; z4 U 3 、通过oa 系统入侵进服务器

Oa 系统的地址是http://10.10.1.21:8060/oa/login.vm如图 $ i, h0 h. j; Z- W8 M( c

; @+ Q1 F6 k9 r# j1 {$ z/ o

---

/ |4 n1 e( `- Z" E% U; C! D8 `$ k / S- Z: o3 F2 d' q! g: A8 G, D y

! h% v( y- B! R" \* ^; |- R! Z$ x

没有验证码，我插，试了好多弱口令都不行，没办法想到了溯雪，所以就开溯雪配置好如图

: V+ o8 e [$ O

---

* D& M' V3 k% S% B+ P6 |$ i

3 ]. U* O# y. V5 S* p$ U% i) `

2 H- h" d9 X1 T! ^ 填写错误标记开扫结果如下

5 w# Z# e$ i9 Q: H* l# _2 H

: U" U! v. i" W0 y% N4 `! O

---

! f8 ]1 Y7 U$ M- Y2 p8 w7 F

, P1 j/ B, e @1 N8 A

9 [# M1 w. \ C! S

" k z# M. {7 S' l/ ^+ D+ T 下面我们进OA

& w( D$ _3 n) i9 }! L A; u) n

5 {" @: X$ I8 V4 `# ~. |$ i9 I# x2 v

---

! r9 ]" f5 u" o: Q

& M: s- ~; X l- a% q- K

& V. O2 d3 x9 F9 }0 a 0 y9 D' Z( u# P H9 {) X

我们想办法拿webshell ，在一处上传地方上传jsp 马如图

' R; o" x7 W* K2 n" u3 A( w" Y

4 r& i W$ j' ^/ j( K$ f4 {/ P

---

8 q( W" i) j6 F/ J) S

% p! T" J g9 U" Y8 F

利用jsp 的大马同样提权ok ，哈哈其实这台服务器之前已经拿好了

# K5 |0 v. Z" s! @7 M

4 、利用tomcat 提权进服务器 0 K9 E3 E" s0 e$ C$ a3 ?" p

用nessus 扫描目标ip 发现如图 % g, E$ \! g9 D" o

---

7 Y2 b% p9 T; b, r

登录如图：

4 M T o+ x) g# a$ k

---

' x% } G. t1 x' w- C

, ^+ A9 K0 i3 k+ r" u2 g

+ ]- U1 n& c& d9 K' \# T

: \, I! D) ?/ i 找个上传的地方上传如图：

% }0 U D% b4 }' o0 U1 W0 F

---

6 d5 v$ j2 ^& c# N

# L! O) l. V6 H- c$ Z0 ?

; h& r: h% |: c- E

7 f' w! \. |$ G5 D 然后就是同样执行命令提权，过程不在写了 " R. I' s* o. A! l+ l c

5 、利用cain 对局域网进行ARP 嗅探和DNS  欺骗

首先测试ARP 嗅探如图

2 N+ w7 r5 ]5 F% x& j* }) p/ \+ j

---

' y$ H; T# N( ~- X

* P% y* J# u" m( S0 O) y$ d0 ~

6 O2 B% i/ Z, k3 w$ E

- C' g1 I( L0 {8 G! H* ^

测试结果如下图： 1 q6 f- D/ D9 y3 |1 C

' d5 B2 @2 n2 m5 v! i! ]

---

; n7 i# p; A* n+ z& m& b

I) |* n) z% g+ ], G `) J8 ^4 M0 F 哈哈嗅探到的东西少是因为这个域下才有几台机器 " W6 {: T$ d4 M8 {0 ?

# ?) \& \) G* A- }' A

9 N* R. f) W Q& A& l: s2 ^6 z' G 下面我们测试DNS欺骗，如图：

; h0 H7 m- X3 d% ^% ] G2 o. E

---

5 p5 R8 w; N2 ^$ ^. U& v 0 o. y# g8 Z8 ~

8 H# |9 p, l! K+ y. @

10.10.12.188 是我本地搭建了小旋风了，我们看看结果：

---

* k5 P* [: e V5 {" a$ y

* b! y+ @4 o6 P( i. Y: c" m+ T

9 y2 `, ^6 a$ d& n; t3 k/ P W

/ @1 b1 |$ N$ N: L6 n+ B/ w

（注：欺骗这个过程由于我之前录制了教程，截图教程了） + }" k. c2 i" d; P9 J( h

* a6 @' U2 y" u2 p- \# f8 W

6 、成功入侵交换机 4 S' K. w- j6 U7 y% x

7 t- d) C* {/ L

我在扫描10.10.0. 段的时候发现有个3389 好可疑地址是10.10.0.65 ，经过nessus 扫描也没发现明显可利用的漏洞，后来经过查看之前抓hash 得到这台服务器的密码为lasenjt, 我插，感觉测评我们公司的运气是杠杠的，不过也从侧面知道安全是做的何等的烂呀

0 Q( T3 k' ?# {2 M% G" B7 e% p' ^$ X3 U 我们进服务器看看，插有福吧看着面熟吧 5 c7 C, W1 t1 P+ l5 A6 F% W

---

8 A1 k2 I2 [1 U6 P9 [- X* u, ~) M1 w

4 \8 p+ u; X& ^2 c

$ R" P( H+ ]# `% ]. ?' J- U! P

. K* k1 z' \; ]

装了思科交换机管理系统，我们继续看，有两个 管理员

. m. c' h7 i/ ^8 A, c5 L

---

2 p( ~; D& a- N6 F

: x% w4 r6 L+ P* E3 J9 Q

8 H' p& Y" Y+ z+ O) `3 L

这程序功能老强大了，可以直接配置个管理员登陆N 多交换机，经过翻看，直接得出几台交换机的特权密码如图

0 a: H0 z' ?/ U* s/ J0 @

% P) [% \) M" X

---

. l9 ?% x6 {* }3 K6 u9 z5 F/ R

! @& d, M7 y: n; L3 T , {( `1 G ^. X: e# n! d

2 F; c: I% C L% l/ w- t8 r

172.16.4.1,172.16.20.1 密码分别为：@lasenjjz ，@lasenjjz ，好几个特权密码这里就不一一列举了，下面利用另一种方法读配置文件，利用communuity string 读取，得知已知的值为lasenjtw *，下面我们利用IP Network Browser 读取配置文件如图： 4 A* B2 v+ |5 J- ]. I

/ z3 T' d3 T: ~; y$ m5 c7 }, B . T- f2 @- m- R) [/ ]+ A3 J

---

; Q3 l: B9 B" z2 }7 A5 n- D

4 @3 Z3 y3 P+ c# @+ B% r

, @0 Q5 H8 e' J% O 点config ，必须写好对应的communuity string 值，如图： / L* `8 ~9 B& g: |( `

L1 F/ t3 Z6 d 5 \: X1 o) ~4 i/ L$ h

---

: c. u$ p3 [4 l# J/ ^- F

* D. H2 h" @! z

) p$ C: W& g8 W 远程登录看看，如图： ; h# V. r1 j9 m& N

* I0 X) K$ ~* E0 {

2 P; S- F: ~ V : t+ B9 r- V! c( m0 T

---

4 J/ X o: G( s3 r

) D5 Q: t; I1 z7 m$ _

/ E5 d' q- _: `, ]

. i" o$ a0 ]$ e1 ]7 P0 q6 R 直接进入特权模式，以此类推搞了将近70 台交换机如图：

---

" p0 T3 _; S" X$ K# K' m3 A ' T3 v5 f3 b9 V# |+ |- @. G

) e: I @, n2 }, p& d! g2 a

; g: l9 Y" [/ I# L2 S/ T4 D

( J' T8 ~. A; T* y3 \" u l9 H m 总结交换机的渗透这块，主要是拿到了cisco  交换机的管理系统直接查看特权密码和直接用communuity string   读取配置文件查看交换机用户密码和特权密码，如果没拿到思科交换机管理系统的话就只能靠nessus  扫描了，只要是public 权限就能读取配置文件了，之前扫描到一个nessus  的结果为public ，这里上一张图，** 5 f( m/ A) i5 V& g+ {3 e

---

/ P" f! }4 s3 Y3 W

" u& K7 r; y$ z/ e* C

3 m; Y J1 U4 a( m; X# r2 b 确实可以读取配置文件的。 2 s( ]) l7 A7 T l: v8 V$ d

2 }6 U4 y& l; G; W 除此之外还渗进了一些web 登录交换机和一个远程管理控制系统如下图 8 Y |2 @: u' G' e+ R% {

& \0 s9 O! M+ q/ ?8 @9 K$ |$ o0 r

---

2 _( u2 b. S; s : C- z" S1 t- q( U* b- ^- p4 a8 w

4 u2 J4 y& y) Y" i# t o9 {

% q- a3 l5 }/ g, e! R* |

- ~3 L5 [& D7 Z+ s: w ' z. U8 b/ k8 ^1 f- M

6 V, u0 i: ^0 G" v

X/ E2 ]1 G" r( L1 B" r1 U1 A- g 直接用UID 是USERID  ，默认PW 是PASSW0RD( 注意是数字0 不是字母O) 登录了，可以远程管理所有的3389 。

/ o) {" g+ n9 f8 B

---

9 K$ _1 v& i' H3 {* G2 ^

0 @3 h' C$ f) B/ K" L

$ v7 k$ y* P" N l' ?- x/ ^# \ 上图千兆交换机管理系统。

' X+ n. n5 V0 \% ]! H- t8 R

7 、入侵山石网关防火墙 , a) |& m a( l8 d$ R0 t( |

对某公司网关进行渗透测试。。。具体详情如下： 思路是通过社工来搞定网关，所以就想办法收集内网管理员的信息，经测试发现域服务器的域用户比较多，所以就给服务器安装了 cain 进行本地 hash 的读取，读取信息如图：

9 E. P2 Q* f& C" Q! K! u

. L" |3 t( q4 g( [) p% { . D i6 z* x& |; s, U8 \3 r# x7 `

---

5 @" e& l2 h- T S4 _ 7 z, G$ S8 w4 ]7 B! C, ~- D, O

- U$ Z3 H) [7 O$ u7 ] , e/ J9 _' M; V% f$ T. b9 T

网关是山石网关，在不知道具体有哪些用户名（默认有个 hillstone 无法删除，属于内置用户）的情况下只能根据最有可能的账号结合抓到的密码一个一个测试，最终还是没成功，后来想到叫人写个程序暴力破解，但是发现错误三次，就会锁定 IP2 分钟，所以效果不是很好，登陆域服务器发现桌面有个屏幕录像专家，打开看个教程，发现服务器登陆过网关，里面有 id 地址记录，地址是 172.16.251.254 这样就想到用 ie 密码读取器来查看 ie 历史密码 如图：

# m/ ^- j! F! Y% \/ ]5 ~

) @. K4 @7 \. V( l7 t" P) ^, _ 4 r s6 w# H s+ y1 k+ u

---

! }5 |0 x' D* k1 x9 h/ }* ~

4 n9 V- T H3 }) F; Z* O# Q

[+ Q! R! ?! A3 B' q, x 然后登陆网关如图：**

9 Q& b+ {& f" g7 h

* R/ e- A8 D( R X" C" C6 N0 _

---

" d+ u* H0 c" U ' J! L8 [( I0 k0 ?2 X9 B

# G' v4 r6 W7 Y7 g# z4 t 3 n( q7 o( S* s% K4 |

7 P* V0 n5 J: [; i* U& ? 2 w# h6 G& g1 C5 a$ z* Q6 x2 q

---

( W5 w8 V) e: g7 _4 K# E

经过半天的努力，防火墙网关我进来了，我渗透进一台域服务器，进去抓了域所有用户的密码一个个去试网关，都没成功，忽然发现桌面上安装了屏幕录制专家，我就打开看了，发现有个录像里**ie家里里172.16.251.254，这不就是网关的地址么，所以我就用administrator登陆了域服务器，然后打开网关地址，妈呀网关的账号直接就在记录里，可惜没有密码，哈哈不过这也不错，真心比乱搞强多了，然后忽然想到用IE密码记录器查看密码，于是乎下载了一个工具查看密码，这样网关就搞定了，彩笔的是原来这个早已经被我搞出来了，是交换机的特权密码，73台的密码我也不可能一个个的试吧，本来想写个程序，结果打电话给山石人家说密码错误三次直接封IP好吧，有时候有些东西真的是需要耐心的，当然也需要一定的智慧，当然也有一定的运气成分在里面，就这样网关就被拿到了，之前用nessus扫没扫到漏洞，至此大型局域网渗透就完结，哈哈，大牛不要笑话哦！**

$ Q8 S2 L) s9 m+ A' V B* Z' |

! d' g9 n$ L" S5 I 总结：本渗透测试过程没有什么高的技术含量，全靠运气和细心的发现才得以有此过程，整个渗透测试过程全部录制为视频教程。。。由于时间仓促，所以渗透就到此为止，在工作组下的个人PC还没有拿下，严格的说这个渗透是不完美的，本来还想再做交换机端口镜像的教程，但是考虑到网络的稳定性这里就不搞测试了，还请大家海涵。。谢谢观赏。。鄙人QQ：635833，欢迎进行技术交流。

' f9 F' ~6 I z! @2 T& y2 m

i* D* a- P7 q, E' c 补充：最近公司换领导，本来想搞搞端口镜像，嗅探和dns**欺骗，但考虑到其有一定的风险性就后续暂时不会搞了。现在上一张摸清楚的拓扑图：**

! \ t' P& D0 i2 d' t$ a/ f

; l% d- l9 C/ h$ w , r- d- U0 P& L6 y

---

% h3 @0 M4 p8 z( Y3 \

注：已经给公司提交渗透测试报告，并已修复漏洞，为了尽量不影响文章的观赏性，故不再打码处理。。。

  # D6 {) k) k/ |4 b4 z/ M$ S+ w

6 B; U& W0 R k9 }4 ^( c% a

; Y( o* q1 `; a" x% b