记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。
& H* l6 ?6 a$ P3 ~" v

; m/ Y; b, p: ]/ g如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。


. Z( [+ y; Y5 i因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。

------------------------------------------------------------------------------------
* ]1 o; i3 o" a8 s
先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

& d7 w; q$ h2 b% R* G第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。


2 f: U8 P1 t- G/ o6 i毫无疑问，IPAD又奖励到了。
% G8 S* R2 L# W9 O: u4 P

+ X4 _: t1 H4 I) f' k) V& P# X) U- Y于是我和社交网站的主管说：你要啥时候才给我部iPhone。


主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
% v# K1 N/ Q( m2 k$ ~
$ R3 T4 ]# M( U
7 [6 H# K, j2 H, v) X/ f于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
9 C' L0 O8 k/ e0 r1 v

主管回答:那就来把.打下来了给你iPhone5..
. V* `0 o9 {9 K5 J/ H1 S
----------------------------------------------------------------------------------------------------------
A公司的外部保密做的还行，找不到几个员工的公司邮件地址。

之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.


- z; d# L! m* C; I. p好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.
$ X! o' b# R; ~# o& O

直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.
% j) ]& s& ?9 m* ?4 e/ d7 M$ k
$ Z0 V9 m# J3 \$ e' x
- t4 |1 N, Z" t' q& n0 |# O8 z对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把

/ J: H# B, S- u3 V; Z: p+ U
6 Z4 F2 A) Q3 P3 z6 N" Q7 N* Z4 T# S思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。


于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。
& `; d: a) Y0 U6 b; _/ m1 D1 ^" r
- G# i( u: i9 G! z
对方深信不疑。自然回去访问。
6 c& G3 I$ N* s  w4 I' ?! [
# J4 A5 }; G9 ~* |
好把，大概等了几秒钟，WEB那边有session是记录了。


; b6 Q" n0 p3 ]5 H0 H6 B% D一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。
1 p/ _7 T7 l" ^9 x5 M! @
# M- d0 s9 ^% b( `) }* f! t
我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。


# }: q4 z& j+ x% v" V6 k6 ]A管理员说是office2007 ，这样更加证明了我的探针是对的。

) _( b- U7 G) g7 q2 V' x4 A
于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。
: q3 l) e% D3 z5 |' q) M% F" C

A管理自然就给了我，好把。 office 0day打之。


打开远控，等着上线，可是就是没上。 出问题了。

: w3 W. V5 z) G: P2 ~9 B' e5 N& t
7 H! M. _& Y3 Y4 y" aA管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。
6 \; |4 R: b. @9 d. x  M
" h0 k6 x  f5 i- ~6 a
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。
/ d4 \  b$ f& Y1 [- R3 h

同样的对方去访问了，系统应用很多被探测到了。
! b1 ^4 j) ?! e. P+ ~4 p. P

+ V9 ~2 J8 {! N% F2 |5 v) G# h好把，出口IP也是.14.
- [0 }+ [5 E6 I0 @" P/ r$ m
9 T/ T, R7 k. `5 m. ]3 C
没问题了。出口IP确定了。


于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。

( [* _, ]( `& X* j6 b
马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
) R7 }; t! D1 B, h" ]" N7 ?) `

马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。
. B9 \0 ]# v: g9 b" a% C- I
7 W1 c& m7 `. ~
8 k1 y' Q: o( e( [0 Z  b! _net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
, P9 @  h) {4 o: U" a( M
1 `$ q9 l0 E! [! q! @
8 f* [/ p# l8 K% J同时间通过密码记录，得到了内部Linux服务器的账户密码等。
" J: U7 z; Q) ]# U2 o

向主管个人PC机进攻。
6 X* B$ }, S& N
! O1 s0 ?; ?5 U. c简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。


4 Q2 E& b) G% S2 T: |1 k于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。


---------------------------------------------------------------------------------


( Y0 l# w5 @( N( z; F3 p0 V晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。


' g! W2 D8 l! L$ V9 \$ v. J' f晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone
* w  N4 G* X: u1 ~& |+ G/ `" v- s

2 ^$ A' F$ N4 |3 ?我觉得人还是别太贪心了好。贪心会出事。

  s6 f/ w% P6 a3 T: G) n" q7 w9 q
于是我坚决的把马给卸载了。
/ J2 H8 h5 E2 u- \7 a

---------------------------------------------------------------------------------
% P0 H4 @6 D  A( A& i7 w对于后续攻击，我的思路如下了：
- D: ~# c% X! b
+ P; A* ^9 ]+ c1 K
搜集内部员工的EMAIL，探针+office打之。

! T2 k4 o% w) O3 W2 `! V( x0 s0 L
内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
( c2 b7 {4 ]) N5 Z
4 u- N6 e" W; t+ s# \: e
& |( N5 b- ~0 y7 b; X通过登录A管理员公司邮箱发邮件下手。
* Q0 b- q5 `7 ]5 \
& b7 J: F- N- f; ]# j$ [# v
) f, ]$ P$ P" }! C8 v1 X内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。
* G; v' C: D6 w
, k& n* H$ [9 e* V, c  `# [8 s厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
-------------------------------------------------------------------------------
! c& _- H2 B: m6 @+ p
最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。
; D/ F  m0 i. l- Y* g