记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
: E9 \' r  C; h4 O# r

如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
  \% r: q5 n; F( z
. F- q+ S3 D% _8 A3 T
; v$ {0 ^5 o. m/ U& q1 y因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
; W" `! p6 ^+ W2 t. G! \
------------------------------------------------------------------------------------

# Z6 U0 C7 ^6 O1 ?# u: l先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

" n# a7 D, J$ C第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。

3 Y' D' N% {0 |& G+ s
, i- _1 x. _% {' |9 `毫无疑问，IPAD又奖励到了。

8 H: i! s8 b) n, z1 {4 z" z  a# A
: }: z2 z4 c: S于是我和社交网站的主管说：你要啥时候才给我部iPhone。


& t# H# t0 G7 O& N主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.


于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)


主管回答:那就来把.打下来了给你iPhone5..

1 n) t- w1 u3 o  o$ I& F7 D----------------------------------------------------------------------------------------------------------
  u. O4 {) ^, A* G4 ]) U$ }- IA公司的外部保密做的还行，找不到几个员工的公司邮件地址。
- q9 X3 r+ N/ k5 i7 Y7 m5 g6 F3 J/ C
之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.


好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.

- B" O9 c* l* Q! G/ S9 }
1 k2 j% M2 W9 K8 v. I1 T直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
- d! }# W% j) H8 m! s8 ]) v" ?

对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把
& ?! S. R' W" y2 r" B6 Z

6 r! @) K, i' [2 [7 R思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。
% ?" `' i9 ^7 V9 c4 N) v7 t
+ L+ a  [* X( V9 Q+ z& ?
于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。


8 h# X" x2 o$ c* q% i对方深信不疑。自然回去访问。

6 j7 D; j5 ]7 g5 n; B+ k
- i* o: y8 D1 V5 v* y, r! L( X好把，大概等了几秒钟，WEB那边有session是记录了。
1 H2 _  D+ e, r6 o
9 |4 Z, D1 [# G% j
1 q! _, @( m7 a一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。
6 V& U2 a/ J( }) n
, w6 O$ I/ V' I5 K
我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。


) C$ k; M. ^& N/ I, LA管理员说是office2007 ，这样更加证明了我的探针是对的。
8 L* d0 J- J3 w9 q% F- U

于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
8 T1 h$ t" V" B* @  e3 k
; D4 ~) ~( F1 S7 c! U
7 u& Z- c' r* D6 S7 b& vA管理自然就给了我，好把。 office 0day打之。

. z, L% V& ?0 k" |( z
2 {+ d8 a" ~; N+ {2 _  a打开远控，等着上线，可是就是没上。 出问题了。

" y: @7 \7 m  C
% @0 y8 H! ^! C2 jA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。

4 |! U3 Z3 K' P
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。

/ j4 L, z" p- f6 P% w/ U
同样的对方去访问了，系统应用很多被探测到了。
) n; E& Y' R' L0 A5 R3 M
# A$ ?4 U. x0 d; {+ P% ?. [
3 \7 B! ~1 s8 g  T好把，出口IP也是.14.
; c- t8 W. i( T. e

没问题了。出口IP确定了。

0 }4 E' D4 e  q
* ]' p' h, p( T# e于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
' W. d! ^: G3 K4 w* F

  m3 M3 L- z  L. z- G- |  d马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。


  I0 [4 y8 B9 b% a+ L马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
0 X# q1 e6 K  ^3 }; e
9 C% }# g. Q1 z
net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。


* R" j* H+ S; ^* M5 r2 ?, B1 b/ r同时间通过密码记录，得到了内部Linux服务器的账户密码等。
- N  _. @5 I6 Q
- A5 F/ p3 b3 ^
向主管个人PC机进攻。

简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。


于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
7 e, d! a" U! x; f  B7 Q( d

9 K: j# D9 r' |- C---------------------------------------------------------------------------------

: v+ T; g: L/ A) @. }2 y
3 m  m" M2 u; Y晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
3 |/ h5 @, j9 E# A" C$ f8 I
+ u8 \% `4 L" G7 S0 E  {/ }
晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone

9 P2 P- e' s' x7 d
我觉得人还是别太贪心了好。贪心会出事。


" m9 s$ Q4 g; Z9 S/ i于是我坚决的把马给卸载了。

0 d) b% k( ~& h9 j% ]7 v; B8 j) A
---------------------------------------------------------------------------------
对于后续攻击，我的思路如下了：


  r8 m! ]3 e# F: v% r8 C' G搜集内部员工的EMAIL，探针+office打之。


6 G, f, u, f) w内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码

7 [7 r% Z% z/ Q
通过登录A管理员公司邮箱发邮件下手。
4 o, ~' c9 m: I: X
$ W4 T$ M$ d8 x" B3 }; N
# p4 r4 q7 ]) Y) n内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。

厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
  k2 _. x. B( W3 w-------------------------------------------------------------------------------
9 p  u  E/ l: y1 M( U' P" c. |; x
# b4 E- \0 ?8 M最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
1 A7 Z4 |$ R1 T4 I- v; ^# w