记一次APT攻击(简略)

admin

在这次APT中，笔者完全是吃饱了撑着没事做。因为来打国内的目标。

" G3 Z7 u2 D( N6 y( t* U
5 Y) t# w, E- C$ K: M如果你觉得我本文写的不好，你可以BYPASS或者不看我的文章。 当我是个SB，而我也会说是乱写的。
; V' q' X" \  `
5 f/ L/ Q4 l5 V! P1 L, P! w7 y
, r' F. v& C0 t. l因为对方公司比较敏感，而且我也怕事。所以以文本的方式来写把。
. u9 A' C4 P) W/ S& E
------------------------------------------------------------------------------------
) }4 u" }! o7 D0 l
% O0 Y0 v3 {9 g$ z先前发现过国内最大的某社交网站的漏洞，得到了第一笔奖金以外。愈发不可收拾。

8 N3 Z7 N1 @3 X4 [2 v第二次渗透维持在几个月前，通过社工进入了后台，拿到了WEBSHELL以及端掉了整个内网，在去那公司上报。
' u' L2 o0 g$ e# Q/ k' F
1 I2 ]' _( v3 T8 L
毫无疑问，IPAD又奖励到了。
4 s+ m) s2 J5 d/ J' |% E4 e" A

于是我和社交网站的主管说：你要啥时候才给我部iPhone。
" Z1 I2 i8 ]% S& G, o

主管回答：等你把我个人机打了或者在把整个内网的Windows打了而不是打了Linux就给我部iPhone.
% U% Y0 `8 h0 w4 p$ J
4 ?" I+ A5 h+ c" [0 j0 j
于是我回答主管:我不从你们的WEB下手了,直接从你们的人下手. 分分钟打进去. 你信吗?(装B)
% F+ ?8 l) k* r4 x6 @  G
' K2 l# v. e: x3 W! y) ?/ _
& B' M% T' s& X9 _5 Y主管回答:那就来把.打下来了给你iPhone5..

----------------------------------------------------------------------------------------------------------
4 [3 @; q$ [% g' b7 wA公司的外部保密做的还行，找不到几个员工的公司邮件地址。

之前爆他们漏洞的时候(姑且暂时叫那公司为A公司),A公司的1管理员加我来请教问题.然后才是A公司的主管加的我.
  w" c$ K* N4 h0 Y2 ?
# K1 |) N3 u4 d  j
; O! G2 i' G  E- Y1 q5 Q7 Q. F好把,我这次不直接从WEB下手,毕竟这是我第三次搞A公司了.A公司的WEB确实做的也很安全了.我是通过WEB弄不进了.


直接先从A公司的管理下手,通过观察和A公司的人讨论问题.发现A公司的管理员不仅技术差,而且安全意识也差.


' T! b: ^  l/ T对方对我丝毫没有防备，只想来和我请教和讨论一些问题。好把


) q+ W2 C2 t4 K, ~7 X( X: f3 P/ L思路：先搭建WEB，探测对方杀毒软件以及office版本以及系统的一些组建。


于是我搭建了1个WEB，去找A公司的管理员，问他这个是不是A公司的应用。 因为之前就和A公司的管理聊得还行，获取了对方的信任。尤其又爆了对方2次漏洞了。

) a- t, A2 ~) a7 H9 ?( W
8 d" e7 `, Z6 v$ v1 s2 F对方深信不疑。自然回去访问。

7 R: ?! ^# u0 j4 T' [
好把，大概等了几秒钟，WEB那边有session是记录了。
6 Z" v0 f+ D) {' F6 ]" ~
$ \* j6 N' s. ^! x; V
+ m, ]; ]. D3 X+ ?" R  E9 `一看，出口IP为X.X.X.14，office版本为2007. 当然现在出口IP还不能够判断。谁知道是不是野鸡。那管理竟然是裸奔。。没装杀毒软件。
1 Z. [+ x' e% c+ B/ m7 N2 ]

我很委婉的问了他office版本是多少，说我装的是office 2013  怕兼容不好 打不开。

) D, V& c- x  t5 z7 g3 B
, L6 W9 V% u2 S8 `# LA管理员说是office2007 ，这样更加证明了我的探针是对的。


. b# j' e2 m- Q9 D于是我和A管理员说，有封渗透测试的报告要发他，让他给我邮箱。

& A8 ~* x2 J7 Q1 U5 S
A管理自然就给了我，好把。 office 0day打之。

0 ]$ _& Q/ ^) m- N1 ?* |
1 w) r: A5 [1 ^4 }打开远控，等着上线，可是就是没上。 出问题了。
1 ~( v" U/ j/ ]# c- W

A管理员他office2007有问题，打不开。 但是我在给他发邮件的时候，探针早就加上了。确实是运行了。 好把 无语了。

6 i9 l. X, ?2 @! M' b
为了判断是否同一出口IP，找了A主管，继续诱骗，问我搭建的WEB是不是他们的应用。


, q1 D2 Q$ q" P/ Q同样的对方去访问了，系统应用很多被探测到了。
$ h% }( E2 f9 s
$ c' Z& L5 U! m/ x
好把，出口IP也是.14.
  f+ |6 L; ~: W6 A  B: l# }
# N# u- h. \# P( i
/ z$ j' V+ w' v" r8 i5 M没问题了。出口IP确定了。

' \. c/ |1 P* L8 r
; R2 c% Z2 b8 g# D于是A管理说要学反弹，让我教他。 好的，我非常乐意教他。
0 S$ U9 D- z% U  N9 b% t
/ S8 ^4 Q* m$ M/ s7 E  E
9 n: [& j; ]; V4 c+ f# Y$ t马绑之，一会就上线了。 之后很耐心的教了A管理反弹的一些方式。
( |5 g* D/ r9 |2 M; V
3 t2 }9 L* `' [. }, c7 `; r
马上线之后，速度浏览个人电脑的磁盘文件。下载了一些敏感数据。 比如 应用账户密码等等，同时也获取到了内部大量员工的个人联系方式。


net view 发现是在工作组下。 通过与A主管的QQ邮箱对比，确定了当前工作组下的XXXPC就是A主管的电脑。
. L6 k7 [; p8 d, a8 L# d
) }: Q! B% Q! v
同时间通过密码记录，得到了内部Linux服务器的账户密码等。


, ^- {  m: p0 x' _+ ]6 o向主管个人PC机进攻。

简单的判断了一些，发现对方电脑是WIN7，开了防火墙。 IPC共享也建立不了。

" C3 ]  l# _2 D2 q6 o
+ x8 I6 ]0 Z) w  O; S8 s于是想，难道又给他发封渗透测试的邮件？ 暂时搁浅。
6 d( |1 E8 _& O/ b. \7 A* l  Y
$ W1 W8 q7 Q5 K# g
( V2 Y. U( v4 A/ ^---------------------------------------------------------------------------------
  l& R- I8 D) h/ `4 C4 y
) l# d( S6 G$ l4 ]; W
# f9 d! ~. H: G$ L5 n" _0 n晚上和朋友聊的时候，说别人会不会给我iPhone， 几个朋友劝我。 别被弄去捡肥皂了。
* @) z3 i% G. k" E2 k% C

晚上睡觉的时候想了想，虽然媳妇快生日了。我舍不得拿5K买个iPhone
. Y: ]- f, \# o
3 D, v/ w3 p- Z. ]0 @: O
  v1 U4 x$ _1 j! q) o我觉得人还是别太贪心了好。贪心会出事。


于是我坚决的把马给卸载了。

5 u0 z( r( N% M' v. I1 {! k% v7 ?
---------------------------------------------------------------------------------
对于后续攻击，我的思路如下了：
8 _3 f1 O% T1 l! p, a) A' v% Y  ?
7 }8 M: \4 t. X5 P. B& ]( y: r
, Z+ [+ z3 g! h: G8 K  h) c搜集内部员工的EMAIL，探针+office打之。


2 L* O$ F4 G9 i+ }+ G' U/ Z内部应用下手。因为已经得到了一些Linux机器账户密码和WEB应用账户密码
) y8 {9 z! I9 p0 l% K* _! r, k

通过登录A管理员公司邮箱发邮件下手。
3 }4 `* Y+ J% `: [% s+ ~  X, e

3 f% _3 O; m  U5 K内网工作组渗透很恶心，都是WIN7。防火墙开着。 扯淡去把。。。

厉时很长，但是写起来很轻松。 呵呵。。。。。。。。。。。。。。。。。。
-------------------------------------------------------------------------------

最后：我也学着玩微博了 ：http://t.qq.com/Axis_2  求关注， 谢谢。