记一次某医院渗透（近源）

admin

1 X; L" v1 }5 L 声明：文中涉及到的技术和工具，仅供学习使用，禁止从事任何非法活动，如因此造成的直接或间接损失，均由使用者自行承担责任。 4 C$ ^6 ?$ z5 y% Q

众亦信安，中意你啊！

ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">

ingFang SC,serif;">

9 n1 M4 n5 z4 o* {) v+ c, H

- k$ w3 i4 W g% O) l/ `# B; d 众亦信安 : j1 `1 b6 e7 r5 x7 ` U5 e5 h4 @

9 H& u8 U2 A! i, a 红蓝对抗、内网渗透、ingFang SC,serif;">web安全、ingFang SC,serif;">src挖掘ingFang SC,serif;">

/ m1 H5 V- C b ingFang SC,serif;">26篇原创内容ingFang SC,serif;">

" [( B) m4 w' [5 I! O3 K' [

: ?! X1 h0 r; g6 G$ k 公众号ingFang SC,serif;"> 2 j/ R9 Z- x4 {4 C

! ?- V9 I' k8 N! P$ B + ^( |* W4 e( _6 c, L( j" F4 S

' F9 O8 A2 @( e. K+ \$ L

点不了吃亏，点不了上当，设置星标，方能无恙！ : U! H3 V) c0 D. N. D

ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">ingFang SC,serif;font-size:13.0pt;letter-spacing:.4pt;">  8 j, c# e8 t# M& c# ~) Z

2 k! J7 |. a, x* k; Q 背景：在某次地市攻防，外网给的资产基本上都打了，恰巧此时裁判说可以近源，我和伙伴直接就背上书包打车往医院跑。 8 M- K$ `2 d1 _7 w' [

( \: v. B) b+ P, F8 ?/ v   ! U7 Y- \9 }& L' R9 W+ @$ w2 T

3 B' F8 A+ l, [: w; g

# k' Z, c. V# T* j0 z 无线or有线 ! \/ H! o$ c: O! I" \: t$ R

7 Y9 c) \6 q4 r, ~$ ~6 E

0 T$ }+ X* E6 {9 l* _0 u6 Y

大致思路：近源攻击——>突破逻辑隔离进入内网核心业务网段——> 获取大量敏感数据、服务器系统和数据库权限等。 4 k6 Y; I- a* ]' c$ s

& C- c2 c1 c. f5 c4 d, w3 Z: h 一开始我们想的是找无线网络，左手wifi万能钥匙，右手fscan一把搓，摸了半天就一个TP-LINK路由器收场，显然和我尊贵的身份不符。

& ]7 Z& t4 c. P$ w

$ b/ y5 X0 E' ~% o: `+ _% ^3 s

1 N+ H* F: G0 I

这时候都到了主楼，不进去看一圈也不合适，在里边溜达了会，我的同伙注意到，地上有很多网线口。 % z: ~' I4 M( Z3 J2 \

2 u+ |; a- C. @: x5 B

' b0 ?' V# c5 R0 s, i 很快啊，美团下个单，没得网线啥也不能干啊。（血亏21）

) G5 O; k9 b/ C: L2 q% C

1 w: Y; |( U' m& q; ~

插上网线后等了好一会都没有自动获取到ip，想了想这种网线接口基本上不会自动分配ip都得设置静态的。 9 B! T1 Z D y0 @4 F( E, ~

" t! I( ~3 l+ m! }

这时候同伙又来点子了，医院现在都有这种自助机器，他操作系统一般是windows，在有些机器在下边会写这个设备的ip。在该设备上获取到ip之后，直接在自己电脑上配置一个同网段不冲突的ip地址就可以了。 & d, A9 x& N p, e$ ~- ] S

一顿操作后，电脑也是可以和自助机器通信了，fscan启动！(因为是地市hw，所以直接干)。

- U- F: K `/ g; k9 H8 `

内网渗透

win下搭建cs和linux类似。 1 P w' ~' S9 Q

teamserver.bat + ip + 密码

5 ^5 L' C! g5 |4 y/ G u a, @

. L, K& j+ j0 n8 l- t3 l

! \! n! E( x, L& }- A

8 L# f3 J/ Y. n' I# ?

+ L, g6 T C1 J) Q: r% X( t fscan扫出来一个mssql弱口令，翻了下目录像是pacs服务器（关于pacs，百度上是这样解释的） " \9 Y, O9 K4 ~5 s

( e. d0 ~( q: _

9 }; H6 `0 Z/ @! y( b9 z

* D$ S0 p4 H( i* m& R9 a5 O/ B! F

1 A( x% B3 \5 y 通过mdut工具链接后，执行系统命令上线cs，然后提权抓系统密码远程链接。登陆系统发现可以管理所有的病患数据，该主机是172段的，但是看到很多和10段的连接。

2 z0 }7 H5 Y2 Q6 _$ t" P4 C+ S+ A

) D- T) M& h2 V' J5 [, Q- ]

fscan再来一遍，直接拿到pacs，his，互联互通系统的权限，但后边听移动的师傅说，互联互通没有建设完毕，不然还能通其他的医院。

8 @9 U9 v) g/ ?' i# r PACS系统 + K4 L! E6 r: n2 K1 G9 v6 ^

5 K0 P P }) e: e! Z

2 ~/ t; K; j8 a$ d8 I

: k0 r' @6 I! [7 L) J

) h8 d7 X' [& L- K0 c

v/ v; V6 v2 K( T i+ N' a9 z7 M* b' J. N

HIS系统

$ `& |$ l2 [7 n' C6 `) s ' N* c6 t; B" }, q8 z& E/ U* L, O

0 o- f7 I+ X' |

 

' O6 j8 z @! P3 U5 }

5 S2 M: T- r. ]' X6 L5 ]0 P

还有几个重要系统的数据库，摸到了几十万的敏感数据，对一个地市的医院也差不多了，这里就不放图了。 9 c, L, T2 ^; o4 J _+ U0 b N, b

+ m. }: c/ n$ {
) s) I/ A2 N7 R% D+ ?6 p: e
! L/ `7 O; Z$ w( @$ F; ^# z

1 W3 @4 {. d8 b8 _! L C

后话

5 t$ L0 y5 d& c$ `$ F& I# q7 ]/ b

算是趣事，后边还和同伙去了另外一家医院，开始不知道这家医院是治疗精神的医院，在住院部门口和保安叔叔对线了很久说我是上去看朋友的，能感觉到大叔看我的眼神中有疑惑、困惑到理解，用亲身经历提醒各位师傅，干活前先调查清楚情况，不然会被当成奇怪的人，怎么进去的都不知道。

* L6 i6 f; w1 M, d0 z ; T: S! q" F! u

---

& ^9 r% N0 Q# {9 u % M5 _8 U6 d. n, r) g9 p2 w

( Z( z) O. c' h- G1 p3 Z2 C5 s, z

) e. V7 d$ I, ] [2 x2 M$ G2 x 点点关注不迷路，每周不定时持续分享各种干货。可关注公众号回复"进群"，也可添加管理微信拉你入群。

6 j, `% K2 ~& \; y) C; z

+ f1 d P2 c# K# a& p  

! f2 M: Z8 J/ @& F: H; `. |7 F