设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [26566] 2021-08-10_红队实战攻防（一）
返回列表 发新帖
查看: 1|回复: 0

[26566] 2021-08-10_红队实战攻防（一）

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 4 天前 | 显示全部楼层 |阅读模式
2021-08-10_红队实战攻防（一） 红 队 实 战 攻 防 （ 一 ） M 7 8 安 全 团 队   2 0 2 1 - 0 8 - 1 0 编 者 荐 语 ： 4 0 4 实 验 室 好 文 ， 大 家 多 多 支 持 哦 ~ 以 下 文 章 来 源 于 S e e b u g 漏 洞 平 台   ， 作 者 4 0 4 实 验 室 作 者 ： 风 起 作 者 ： 风 起 @ 知 道 创 宇 知 道 创 宇 4 0 4 实 验 室 实 验 室 时 间 ： 时 间 ： 2 0 2 1 年 年 8 月 月 9 日 日 大 家 好 ， 我 是 风 起 ， 最 近 一 直 在 做 安 全 研 究 及 K u n y u 的 开 发 维 护 ， 已 经 好 久 没 有 写 红 队 攻 防 相 关 的 文 章 了 ， 那 么 近 期 将 带 来   “ 红 红 队 实 战 攻 防 技 术 队 实 战 攻 防 技 术 ”   系 列 系 列 的 文 章 。 当 前 行 业 内 组 织 的   “ 红 蓝 对 抗 演 习 ”   在 检 验 企 业 安 全 的 同 时 也 在 磨 练 技 术 人 员 的 技 术 水 平 ， 在 近 几 年 的 演 习 中 可 以 发 现 攻 防 双 方 的 水 准 都 有 了 极 大 的 提 升 ， 本 文 将 以 红 队 的 视 角 去 阐 述 技 术 思 想 。 与 常 规 的 渗 透 测 试 相 比 ， 红 队 攻 防 更 多 的 是 渗 透 思 想 上 的 差 异 ， 而 我 个 人 的 理 解 认 为   “ 隐 蔽 ” 、 “ 持 久 化 ” 是 最 重 要 的 思 想 ， 如 何 做 到 快 速 、 高 效 的 拿 下 目 标 ， 隐 蔽 、 持 久 的 进 一 步 操 作 ， 也 正 是 核 心 的 差 异 所 在 。 熟 悉 我 的 读 者 ， 一 定 看 过 之 前   “ 红 队 攻 防 基 础 建 设 ”   相 关 的 文 章 ， 本 文 也 会 串 联 之 前 知 识 点 灵 活 的 运 用 到 实 战 场 景 下 。 作 为 本 系 列 的 第 一 篇 文 章 ， 将 以 一 次 公 司 红 蓝 对 抗 实 战 演 练 平 台 的 渗 透 ， 引 出 一 系 列 的 知 识 点 及 渗 透 时 的 一 些 小 T i p s ， 希 望 能 够 对 您 有 所 帮 助 。 本 文 仅 做 安 全 研 究 作 用 ， 切 勿 违 法 乱 纪 。 本 文 仅 做 安 全 研 究 作 用 ， 切 勿 违 法 乱 纪 。 快 速 打 点 快 速 打 点 拿 到 一 个 目 标 ， 我 们 首 先 要 做 的 就 是 快 速 的 对 目 标 进 行 信 息 收 集 。 对 相 关 的 功 能 点 进 行 测 试 、 熟 悉 网 站 的 业 务 流 程 ， 这 是 非 常 S e e b u g 漏 洞 平 台 漏 洞 平 台   . S e e b u g ， 原   S e b u g   漏 洞 平 台 ， 洞 悉 漏 洞 ， 让 你 掌 握 第 一 手 漏 洞 情 报 ！
重 要 的 一 个 环 节 。 应 对 不 同 的 渗 透 场 景 ， 可 以 将 这 个 环 节 仔 细 或 简 略 去 做 。 这 里 建 议 在 打 点 的 时 候 下 挂 代 理 ， 选 择 这 里 建 议 在 打 点 的 时 候 下 挂 代 理 ， 选 择 S S R 的 负 载 均 衡 模 式 ， 防 止 被 封 禁 的 负 载 均 衡 模 式 ， 防 止 被 封 禁 I P 、 、 I P 定 位 到 真 实 位 置 ， 尤 其 是 企 业 专 线 ， 例 定 位 到 真 实 位 置 ， 尤 其 是 企 业 专 线 ， 例 如 埃 文 科 技 、 如 埃 文 科 技 、 I P I P 对 于 企 业 专 线 的 定 位 非 常 准 确 。 对 于 企 业 专 线 的 定 位 非 常 准 确 。 使 用 K u n y u 快 速 对 该 站 点 进 行 信 息 收 集 ， 可 能 大 家 会 想 空 间 测 绘 去 做 信 息 收 集 是 否 会 有 一 定 的 不 准 确 性 ？ 是 的 ， 对 于 一 些 新 增 的 资 产 可 能 未 必 会 及 时 更 新 上 去 。 但 是 通 常 对 于 一 些 成 熟 的 业 务 站 点 ， 并 不 会 去 频 繁 的 对 站 点 进 行 变 动 端 口 服 务 等 操 作 ， 所 以 在 快 速 打 点 时 这 样 的 方 式 无 疑 大 大 提 高 了 效 率 ， 同 时 也 避 免 了 主 动 扫 描 可 能 造 成 的 影 响 。 如 上 图 ， 通 过   T i t l e   不 难 判 断 出 不 同 端 口 相 关 的 业 务 ， 首 先 来 看 第 一 个 。 E u r e k a   是   N e t f l i x   开 源 的 一 款 提 供 服 务 注 册 和 发 现 的 产 品 ， 可 以 与 S p r i n g b o o t 构 建 的 微 服 务 很 容 易 的 整 合 起 来 。 这 里 我 们 发 现 该 服 务 直 接 暴 露 在 公 网 中 可 未 授 权 访 问 ， 于 是 我 们 快 速 对 其 进 行 信 息 收 集 分 析 。 但 是 很 遗 憾 ， 这 些 实 例 所 指 向 的 是 内 网 地 址 且 端 口 不 对 外 开 放 ， 但 是 我 们 得 到 了 本 服 务 器 的 内 网 I P ， 并 且 得 知 是 一 台 A l i y u n
I D C 服 务 器 。 这 里 读 者 们 可 以 留 意 一 下 ， 我 们 下 面 会 再 次 迂 回 到 这 里 。 继 续 看 一 下 6 3 6 3 端 口 的 服 务 ， 推 荐 大 家 使 用 W a p p a l y z e r 对 站 点 框 架 信 息 快 速 收 集 ， 下 图 中 可 以 直 接 通 过   W a p p a l y z e r   得 知 目 标 环 境 ， 当 然 上 面   “ 小 绿 叶 ”   的   I C O   图 标 也 可 以 看 出 是 S p r i n g B o o t 的 框 架 。 对 于 S p r i n g B o o t 框 架 的 站 点 ， 我 们 可 以 快 速 F U Z Z 下 未 授 权 端 点 。 这 里 有 一 个 T i p s ， S p r i n g   B o o t   A c t u a t o r   1 . x 版 本 默 认 路 由 的 起 始 路 径 为 / ， 2 . x 版 本 则 统 一 以 / a c t u a t o r 为 其 实 路 径 。 通 过 上 图 不 难 看 出
目 标 站 点 是 S p r i n g   B o o t   A c t u a t o r   1 . x 版 本 。 这 里 造 成 信 息 泄 露 的 原 因 是 相 关 人 员 没 有 更 改 配 置 文 件 ， 忘 记 切 换 环 境 配 置 。 这 里 我 们 重 点 关 注 e n v 、 j o l o k i a 、 h e a p d u m p 、 t r a c e 四 个 端 点 即 可 。 e n v   获 取 全 部 环 境 属 性 j o l o k i a   获 取 全 部 环 境 属 性 h e a p d u m p   返 回 一 个 G Z i p 压 缩 的 h p r o f 堆 转 储 文 件 t r a c e   提 供 基 本 的   H T T P   请 求 跟 踪 信 息 当 我 们 访 问 未 授 权 的 / e n v 端 点 的 时 候 ， S p r i n g   A c t u a t o r 将 会 返 回 一 些 配 置 信 息 ， 其 中 不 乏 一 些 用 户 凭 证 ， 但 是 会 将 一 些 含 关 键 字 ( 如   p a s s w o r d 、 s e c r e t ) 的 属 性 用   *   替 换 以 达 到 脱 敏 的 效 果 ， 如 下 图 。 同 时 也 会 有 一 些 未 进 行 脱 敏 的 属 性 ， 像 本 次 的 目 标 比 较 有 趣 的 是 它 使 用 了 二 层 加 密 ， 致 使 我 们 得 到 这 些 属 性 信 息 也 无 法 进 行 直 接 利 用 。 这 个 加 密 以   @   分 隔 前 面 一 段 像 是 h a s h ， 后 面 像 是 b a s e 6 4 加 密 ， 有 熟 悉 的 同 学 可 以 留 言 交 流 一 下 。 前 面 F U Z Z 我 们 得 知 目 标 开 放 了 / j o l o k i a 端 点 ， 我 们 可 以 据 此 进 行 读 取 脱 敏 数 据 或 G E T S H E L L 获 取 权 限 。         通 过 调 用   o r g . s p r i n g f r a m e w o r k . c l o u d . c o n t e x t . e n v i r o n m e n t . E n v i r o n m e n t M a n a g e r   类 实 例 的   g e t P r o p e r t y   方 法 获 取 脱 敏 后 的 数 据 ， 得 到 的 属 性 值 在 返 回 J S O N 的 v a l u e 中 。 如 上 所 说 ， 也 是 二 层 加 密 后 的 数 据 。 可 能 小 伙 伴 会 问 ， 如 果 恰 好 没 有 开 放 / j o l o k i a 这 个 端 点 呢 ？ 确 实 在 很 多 情 况 下 ， 并 不 一 定 都 会 开 放 这 个 端 点 。 所 以 此 时 可 以 关 注 一 下 / h e a p d u m p ， 通 过 下 载 本 端 点 的 文 件 可 获 取 到 服 务 器 相 关 堆 信 息 ， 通 过 对 该 文 件 进 行 审 计 也 可 能 获 取 到 经 过 脱 敏 处 理 的 数 据 ， 可 以 使 用 M e m o r y A n a l y z e r 或 者 V i s u a l V M 打 开 该 文 件 ， 这 里 经 过 测 试 发 现 我 们 想 获 取 到 的 属 性 值 都 经 过 了 二 层 加 密 ， 所 以 就 不 进
行 审 计 了 ， 下 面 贴 一 张 图 。 根 据 关 键 字 匹 配 找 相 关 的 值 就 行 ， 考 验 眼 功 的 时 候 到 了 。 最 后 是 / t r a c e 端 点 ， 可 以 获 取 到 一 些   h t t p   请 求 包 访 问 跟 踪 信 息 ， 有 可 能 在 其 中 发 现 内 网 应 用 系 统 的 一 些 请 求 信 息 详 情 ； 以 及 有 效 用 户 或 管 理 员 的   c o o k i e 、 j w t   t o k e n   等 信 息 。 主 要 的 作 用 还 是 帮 助 我 们 得 到 一 些 用 户 的 登 录 c o o k i e 信 息 ， 从 而 登 录 到 后 台 。 但 是 值 得 注 意 的 是 ， 并 不 是 其 中 记 录 的 所 有 C o o k i e 都 可 以 使 用 并 登 录 ， 因 为 有 一 些 未 经 过 鉴 权 之 前 的 请 求 也 会 记 录 在 里 头 ， 这 时 我 们 可 以 通 过 判 断 请 求 的 资 源 来 确 认 哪 些 是 登 陆 后 进 行 的 。 当 然 如 果 距 离 该 请 求 的 时 间 过 久 ， C o o k i e 失 效 了 同 样 也 不 行 。
漏 洞 利 用 漏 洞 利 用 那 么 上 面 说 到 通 过 / j o l o k i a 端 点 可 以 进 行 R C E ， 现 在 我 们 转 变 战 略 ， 先 拿 S H E L L 再 进 行 审 计 。 这 里 我 们 利 用 的 是 j o l o k i a   R e a l m   J N D I   R C E 漏 洞 ， 基 础 理 论 知 识 这 里 不 再 赘 述 ， 感 兴 趣 的 同 学 可 以 看 下 面 的 文 章 ， 很 详 细 的 把 S p r i n g   B o o t 的 各 类 安 全 问 题 都 进 行 了 梳 理 ， 但 是 我 们 这 里 的 利 用 会 有 点 不 同 寻 常 。 h t t p s : / / g i t h u b . c o m / L a n d G r e y / S p r i n g B o o t V u l E x p l o i t 利 用 条 件 ： • 目 标 网 站 存 在   / j o l o k i a   或   / a c t u a t o r / j o l o k i a   接 口 • 目 标 使 用 了   j o l o k i a - c o r e   依 赖 （ 版 本 要 求 暂 未 知 ） 并 且 环 境 中 存 在 相 关   M B e a n • 目 标 可 以 请 求 攻 击 者 的 服 务 器 （ 请 求 可 出 外 网 ） • 普 通   J N D I   注 入 受 目 标   J D K   版 本 影 响 ， j d k   <   6 u 1 4 1 / 7 u 1 3 1 / 8 u 1 2 1 ( R M I ) ， 但 相 关 环 境 可 绕 过 这 里 如 何 判 断 什 么 时 候 用 哪 一 种 利 用 方 式 其 实 很 简 单 ， 访 问     接 口 ， 查 看 是 否 存 在     和     关 键 词 。 其 他 的 利 用 方 式 也 是 同 理 ， 去 查 看 相 匹 配 的 关 键 字 ， 如 果 有 那 么 基 本 就 是 可 用 的 。 首 先 我 们 跟 着 上 面 链 接 所 指 出 的 利 用 方 式 走 一 遍 ， 但 是 出 现 了 一 个 很 有 意 思 的 问 题 ： m a r s h a l s e c   接 收 到 了 目 标 请 求 ， 并 且 请 求 到 了   J N D I O b j e c t . c l a s s ， 但 是 没 有 正 常 反 弹 回 来 s h e l l ， 如 下 图 ： / j o l o k i a / l i s t t y p e = M B e a n F a c t o r y c r e a t e J N D I R e a l m
根 据 经 验 ， 我 首 先 意 识 到 这 种 情 况 下 只 能 是 目 标 主 机 执 行 了 命 令 请 求 到 了 架 设 的 R M I 服 务 ， 但 是 命 令 执 行 了 却 未 成 功 。 那 么 调 转 枪 头 ， 在 G i t h u b 上 找 另 一 份 可 以 执 行 指 定 命 令 的 E X P ， 进 行 高 版 本 J D K 的 J N D I 注 入 。 通 过 w h i c h   p y t h o n 命 令 发 现 目 标 主 机 有 p y t h o n 2 环 境 ， 可 以 提 升 至 完 全 交 互 式 S h e l l ， 防 止 意 外 掉 线 ， 当 然 这 里 一 定 要 注 意 ， 像 这 一 类 的 反 弹 s h e l l 我 们 一 定 要 用 反 向 代 理 之 类 的 手 段 隐 匿 真 实 V P S   I P ， 并 对 N e t c a t 进 行 流 量 加 密 ， 隐 匿 效 果 如 下 ：
可 以 看 到 显 示 的 仅 是 我 们 的 代 理 地 址 ， 并 且 网 络 连 接 为 代 理 服 务 器 的 I P 及 端 口 ， 与 实 际 本 地 监 听 端 口 不 同 ， 而 流 量 加 密 可 以 帮 助 我 们 执 行 的 命 令 不 会 被 态 感 设 备 捕 获 到 ， 这 也 是 红 队 攻 防 基 础 建 设 的 一 环 ， 非 常 重 要 。 目 标 J A V A 版 本 为 1 . 8 . 0 _ 2 4 1 ， 是 高 于 上 面 所 述 的 普 通 J N D I 注 入 要 求 的 利 用 条 件 ， 这 也 解 释 了 我 们 刚 开 始 利 用 失 败 的 原 因 。 这 里 发 现 目 标 主 机 开 放 了 大 量 的 W e b 服 务 以 及 r e d i s 数 据 库 服 务 ， 并 且 都 是 以 j a r 包 的 形 式 启 动 W e b 服 务 的 ， 这 也 就 是 说 ， 除 非 我 们 把 j a r 包 下 载 回 来 进 行 反 编 译 修 改 添 加 W e b S h e l l 并 替 换 重 启 原 有 的 W e b 服 务 才 可 以 添 加 W e b S h e l l ， 通 常 来 讲 为 了 不 破 坏 原 有 业 务 正 常 运 转 ， 我 们 是 不 能 进 行 这 种 操 作 的 。 很 遗 憾 r e d i s 服 务 并 没 有 未 授 权 漏 洞 ， 所 以 我 们 继 续 对 j a r 包 下 载 回 来 进 行 反 编 译 ， 对 源 码 进 行 审 计 ， 看 一 下 有 没 有 一 些 用 户 凭 证 或 者 服 务 配 置 信 息 等 。
这 里 配 置 的 I P 均 为 内 网 地 址 ， 这 也 对 应 了 我 们 最 开 始 获 取 到 的 内 网 I P 为 当 前 主 机 。 其 中 包 含 了 不 少 内 网 其 他 主 机 的 登 录 凭 证 接 口 管 理 平 台 、 消 息 推 送 平 台 等 服 务 的 T o e k n ， 这 里 发 现 r e d i s 的 密 码 为 X X R e d i s 6 3 9 0 2 0 X X   这 时 ， 机 智 的 风 起 哥 立 马 发 现 了 他 的 命 名 规 则 是 根 据 r e d i s 的 端 口 来 设 置 的 ， 其 中 前 后 缀 不 变 ， 仅 改 变 中 间 的 端 口 号 ， 这 里 我 们 直 接 拿 下 了 当 前 服 务 器 多 个 r e d i s 数 据 库 。 继 续 审 计 ， 发 现 了 A l i y u n 的 A K / S K 。 至 此 控 制 目 标 多 台 云 服 务 器 ， 并 且 发 现 均 为 同 一 内 网 下 ， 这 时 根 据 之 前 获 得 的 其 他 凭 证 即 可 进 一 步 横 向 移 动 ， 不 乏 例 如 ： m o n g o d b 、 M y s q l 等 搭 建 在 其 他 服 务 器 的 数 据 库 服 务 凭 证 。 这 时 在 当 前 目 标 上 起 一 个 反 向 代 理 ， 因 为 实 际 测 试 过 程 中 发 现 ， 目 标 S S H 服 务 并 不 能 通 过 外 网 直 接 连 接 ， 所 以 利 用 这 样 的 方 式
进 行 连 接 ， 当 然 也 有 一 个 好 处 ， 就 是 目 标 上 记 录 日 志 的 登 录 I P 为 内 网 本 地 的 ， 也 达 到 了 一 些 隐 匿 的 效 果 。 当 然 ， 查 看 日 志 也 发 现 了 ，   另 一 个 登 录 的 I P 为 企 业 专 线 ， 这 也 解 释 了 ， 目 标 服 务 器 的 登 录 应 该 是 做 了 安 全 组 限 制 了 登 录 S S H 服 务 的 网 段 仅 能 从 其 企 业 内 网 连 接 。 至 此 ， 演 示 结 束 。 权 限 维 持 权 限 维 持 这 里 因 为 不 准 备 进 一 步 横 向 ， 所 以 仅 以 本 地 环 境 讲 解 思 路 。 对 于 L i n u x 的 主 机 我 们 在 外 部 打 点 之 后 ， 首 先 需 要 做 的 就 是 权 限 维 持 ， 其 实 红 队 演 练 与 A P T 相 似 的 是 核 心 同 样 在 于   “ 持 久 化 ”   ， 我 通 常 习 惯 留 私 钥 登 录 以 及 创 建 高 权 限 用 户 ， 一 般 创 建 的 用 户 名 以 服 务 命 名 非 常 迷 惑 ， 但 是 通 过 这 么 不 寻 常 的 权 限 也 一 定 能 看 出 来 端 倪 。 这 时 不 要 为 了 方 便 而 这 么 做 ， 非 常 容 易 暴 露 ， 这 时 可 以 做 一 些 s u d o 提 权 或 者 S U I D 文 件 等 操 作 间 接 的 使 用 r o o t 权 限 ， 如 下 图 ( 反 面 例 子 ) ： 当 然 ， 红 队 攻 防 不 仅 仅 是 一 个 人 战 斗 ， 所 以 在 拿 到 s h e l l 后 可 以 上 线 到 自 己 C 2 上 ， L i n u x 上 线 C o b a l t S t r i k e 的 方 式 可 以 使 用 C r o s s C 2 插 件 进 行 ， 这 里 仅 作 安 全 研 究 ， 所 以 不 做 此 操 作 。 而 使 用 n o h u p 的 方 式 留 以 持 续 性 的 代 理 的 方 式 也 比 较 容 易 被 发 现 ， 所 以 建 议 使 用 f r p 进 行 代 理 ， 也 因 为 它 的 可 拓 展 性 非 常 高 ， 通 过 免 杀 或 修 改 配 置 文 件 等 方 式 可 以 进 行 躲 避 流 量 监 测 。 需 要 注 意 的 是 ， 一 定 要 对 痕 迹 进 行 清 理 。 在 蓝 队 处 置 的 过 程 中 ， 重 点 关 注 的 对 象 就 是 一 些 登 录 、 服 务 日 志 、 进 程 、 端 口 ， 新 建 文 件 ， 这 也 是 雷 区 所 在 ， 一 定 要 在 这 些 方 面 下 功 夫 。 尤 其 是 历 史 命 令 ， 不 清 理 被 还 原 出 攻 击 路 径 的 概 率 非 常 大 ， 这 也 会 被 一 步 步 揪 出 来 。 如 果 能 够 顺 利 通 过 处 置 人 员 的 排 查 ， 那 么 恭 喜 你 可 以 安 心 继 续 了 ， 因 为 在 非 必 要 或 确 认 失 陷 的 情 况 ， 没 有 甲 方 愿 意 去 隔 离 当 前 业 务 ， 尤 其 是 对 外 服 务 、 内 部 O A 、 工 控 系 统 等 ， 停 止 业 务 系 统 都 可 能 造 成 不 可 估 量 的 损 失 。 当 然 要 是 一 些 不 重 要 的 业 务 ， 也 可 能 直 接 就 给 关 掉 了 ， 虽 然 不 符 合 规 定 。 在 进 入 内 网 环 境 下 ， 每 一 步 操 作 都 需 要 非 常 的 慎 重 ， 尤 其 是 涉 及 端 口 、 进 程 的 操 作 。 因 为 稍 有 不 慎 ， 被 捕 获 到 异 常 操 作 ， 会 引 起 防 守 方 极 大 的 重 视 。 尤 其 是 多 次 异 常 告 警 的 情 况 下 ， 通 常 在 第 一 次 告 警 的 情 况 下 ， 蓝 队 成 员 未 排 查 出 异 常 操 作 后 会 对 该 主 机 进 行 重 点 关 注 ， 如 果 继 续 出 现 告 警 ， 那 么 极 有 可 能 直 接 进 行 单 机 隔 离 。 那 么 此 时 在 权 限 掉 线 又 没 有 办 法 清 理 痕 迹 的 情 况 下 ， 不
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:37 , Processed in 0.856930 second(s), 30 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表