搜索

[868] 2018-07-04_【渗透技巧】内网渗透思路

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2018-07-04_【渗透技巧】内网渗透思路 【 渗 透 技 巧 】 内 网 渗 透 思 路 原 创   B y p a s s   B y p a s s   2 0 1 8 - 0 7 - 0 4 0 x 0 1   前 言           假 如 ， 有 一 个 接 入 点 ， 可 以 访 问 内 网 服 务 器 网 段 ， 如 何 尽 可 能 的 发 现 服 务 器 网 段 中 可 能 面 临 的 威 胁 、 存 在 的 安 全 弱 点 ？ 本 文 将 通 过 一 些 实 例 ， 分 享 一 些 简 单 的 内 网 渗 透 思 路 。 0 x 0 2   信 息 收 集         首 先 ， 对 服 务 器 资 产 信 息 进 行 收 集 ， 了 解 哪 些 i p 是 存 活 的 ， 存 活 的 i p 开 放 了 哪 些 端 口 ， 以 及 端 口 所 对 应 的 服 务 。 推 荐 工 具 ： F - N A S c a n g i t h u b 地 址 ： h t t p s : / / g i t h u b . c o m / y w o l f / F - N A S c a n 网 络 资 产 信 息 快 速 收 集 ， 结 果 生 成 h t m l 页 面 方 面 进 行 查 看 ， 并 且 对 服 务 作 了 统 计 ， 方 便 针 对 服 务 类 型 进 行 检 测 ， 如 下 图 ： 至 此 ， 对 整 个 服 务 器 网 段 的 端 口 业 务 情 况 有 了 一 定 的 了 解 ， 进 一 步 去 挖 掘 安 全 弱 点 。 0 x 0 2   弱 口 令 检 测         在 这 些 服 务 器 开 放 的 端 口 服 务 中 ， 主 要 服 务 由 为 系 统 服 务 、 数 据 库 服 务 、 w e b 服 务 。 对 常 见 的 端 口 服 务 进 行 弱 口 令 检 测 是 非 常 有 必 要 的 。 主 要 使 用 工 具 ： i s c a n 这 款 工 具 主 要 是 由 自 己 用 p y t h o n 编 写 的 ， 基 于 端 口 的 弱 口 令 检 测 工 具 ， 可 以 检 测 常 见 端 口 的 弱 口 令 。 目 前 支 持 以 下 服 务 ： 系 统 弱 口 令 ：     F T P 、 S S H 、 T E L N E T 、 S M B   数 据 库 弱 口 令 ： M S S Q L 、 M Y S Q L 、 P O S T G R E 、 M O N G O D B 中 间 件 弱 口 令 ：   T O M C A T 、 W E B L O G I C 、 P H P M Y A D M I N  
通 过 前 面 F - N A S c a n 的 探 测 结 果 ， 对 服 务 器 网 段 的 服 务 有 一 个 基 本 的 统 计 ， 可 以 根 据 统 计 结 果 进 行 弱 口 令 扫 描 。 常 见 系 统 服 务 弱 口 令 ： 1 、 I P C $ 、 S S H 、 T e l n e t 等 弱 口 令 ， 基 本 上 等 于 拿 到 了 系 统 权 限 了 2 、 M S S Q L 数 据 库 S A 弱 口 令 可 直 接 调 用 存 储 过 程 执 行 系 统 命 令 3 、 m y s q l 数 据 库 r o o t 弱 口 令 ， 可 尝 试 u d f 直 接 提 权 ， m y s q l 5 . 1 以 上 版 本 关 键 的 第 一 步 是 否 能 创 建 p l u g i n 目 录 ， 默 认 一 般 是 不 存 在 的 。 基 本 套 路 ： 弱 口 令 - - 提 权 - - 读 取 缓 存 密 码 常 见 W e b 常 见 应 用 端 口 服 务 ： 1 、 W e b L o g i c   默 认 端 口 ： 7 0 0 1     弱 口 令 ， c o n s o l e 后 台 部 署 w e b s h e l l   J a v a 反 序 列 化 2 、 T o m c a t     默 认 端 口 ： 8 0 8 0     弱 口 令 ， m a n a g e r 后 台 部 署 w a r 包 上 传 3 、 j b o s s           默 认 端 口 ： 8 0 8 0     弱 口 令 ， 未 授 权 访 问 ， j a v a 反 序 列 化 以 某 系 统 开 放 的 T o m c a t 服 务 为 例 ， 其 I P 地 址 为 1 9 2 . 1 . 3 3 . 1 3 3 : 8 0 8 0 。 通 过 i s c a n 的 弱 口 令 检 测 ， 发 现 T o m c a t 存 在 弱 口 令 ， 直 接 使 用 弱 口 令 可 以 成 功 登 录 T o m c a t 控 制 台 ， 如 图 所 示 。 （ 2 ） 直 接 上 传 w a r 包 ， 获 取 w e b s h e l l
（ 3 ） 查 看 当 前 权 限 ， 权 限 为 a d m i n i s t r a t o r ， 无 需 进 一 步 提 权 （ 4 ） 上 传 w c e 密 码 获 取 工 具 ， 在 w e b s h e l l 中 直 接 执 行 w c e . e x e   - w 顺 利 获 取 管 理 员 密 码 （ 5 ） 登 录 服 务 器 及 域 服 务 器 0 x 0 3   W e b 应 用 渗 透 通 过 服 务 器 资 产 探 测 ， 可 收 集 服 务 器 开 放 w e b 端 口 ， 内 网 系 统 中 ， 大 部 分 w e b 系 统 访 问 的 界 面 都 是 登 录 界 面 ， 需 要 用 户 名 密 码 进 行 认 证 。 以 某 内 网 系 统 为 例 ， 进 行 实 际 渗 透 测 试 。 （ 1 ） 在 登 录 界 面 ， 用 户 名 处 输 入 加 一 个 单 引 号   a d m i n ’ , 尝 试 登 录 ， 应 用 程 序 报 错
（ 2 ） 构 造 万 能 密 码 a d m i n '   o r   ' 1 ' = ' 1 尝 试 登 录 ， 成 功 登 录 后 台 P S : 登 录 处 S Q L 注 入 ， 用 户 角 色 为 s a ， 也 可 直 接 用 s q l m a p   - - o s - s h e l l 获 取 权 限 。 （ 3 ） 首 先 大 致 浏 览 了 下 后 台 功 能 ， 为 了 得 到 权 限 ， 我 们 可 以 通 过 常 规 的 手 段 ， 后 台 的 上 传 ， 命 令 执 行 ， 文 件 包 含 等 手 段 ， 最 简 单 有 效 直 接 的 就 是 文 件 上 传 。 在 后 台 中 发 现 上 传 点 ， 尝 试 上 传 正 常 图 片 ， 进 行 抓 包 。 （ 4 ） 通 过 抓 包 修 改 文 件 后 缀 ， 成 功 上 传 a s p x 木 马 ， 刷 新 页 面 获 取 图 片 链 接 （ 5 ） 访 问 a s p x 木 马 地 址 ， 查 看 当 前 权 限 ， 需 进 一 步 提 权 （ 6 ） 上 传 e x p 到 可 读 可 写 目 录 ， 尝 试 执 行
（ 7 ） 新 建 管 理 员 账 号 ， 登 录 服 务 器 ， 上 传 m i m i k a t z （ w c e 有 遇 到 蓝 屏 和 重 启 的 情 况 ， 慎 用 ） ， 读 取 系 统 缓 存 密 码 。 （ 8 ） 使 用 a d m i n i s t r a t o r 账 号 密 码 成 功 登 录 域 服 务 器 0 x 0 4   系 统 漏 洞 检 测         进 入 内 网 ， 一 般 通 过 弱 口 令 和 w e b 就 可 以 搞 定 部 分 服 务 器 ， 如 果 不 行 的 话 ， 可 以 试 试 系 统 漏 洞 ， 内 网 补 丁 很 少 的 情 况 下 可 以 试 试 远 程 溢 出 （ 慎 用 ， 可 能 导 致 系 统 蓝 屏 宕 机 ） 。 主 要 使 用 的 工 具 ： N e s s u s + M e t a s p l o i t 通 过 N e s s u s 扫 描 内 网 系 统 漏 洞 ， 使 用 M e t a s p l o i t 进 行 远 程 溢 出 ， 以 服 务 器 I P ： 1 9 2 . 1 6 8 . 2 0 4 . 1 4 8 的 N e s s u s 扫 描 结 果 为 例 ：
M S 0 9 _ 0 5 0 漏 洞 利 用 : M S 1 7 _ 0 1 0   漏 洞 利 用 :
0 x 0 5   定 制 化 弱 口 令 扫 描         通 过 前 面 的 几 个 步 骤 ， 控 制 了 大 部 分 服 务 器 ， 包 括 域 控 ， 但 同 网 段 或 多 网 段 的 服 务 器 不 一 定 都 在 域 控 之 内 。 如 果 可 以 获 取 到 每 一 台 服 务 器 的 a d m i n i s t r a t o r 账 号 密 码 ， 不 是 更 有 快 感 ！ ！ 同 网 段 服 务 器 ， 管 理 员 为 了 方 便 ， 大 部 分 服 务 器 采 用 同 一 个 密 码 ， 或 密 码 存 在 一 定 的 规 律 ， 根 据 以 往 的 经 验 来 看 ， 遇 到 的 几 种 的 密 码 规 律 如 下 ： 1 、 如 密 码 为 ： Q A Z @ 2 0 0 8 2 1 ， 对 应 的 服 务 器 i p 为 1 0 . 1 . 1 . 2 1 ， 看 到 i p 末 尾 和 密 码 末 尾 一 致 ， 可 以 构 造 一 个 后 缀 对 应 I P 尾 数 的 密 码 字 典 ； 2 、 如 密 码 为 ： Q A Z % 0 9 0 9 , 可 以 看 到 后 面 4 位 刚 好 是 一 个 日 期 ， 可 以 构 造 一 个 0 1 0 1 - 1 2 3 1 的 日 期 字 典 组 合 字 典 ； 3 、 如 密 码 为 ： Q A Z @ x x w e b ， 对 应 的 服 务 器 主 机 名 为 x x w e b ， 可 以 探 测 所 有 主 机 名 来 拼 接 前 缀 字 符 ， 形 成 一 个 字 典 。 可 进 行 大 胆 猜 测 ， 定 制 弱 口 令 字 典 ， 进 行 二 次 扫 描 ， 往 往 能 有 意 外 收 获 ， 屡 试 不 爽 ， 如 图 所 示 ， 基 本 上 可 以 控 制 整 个 网 段 9 0 % 的 服 务 器 。 本 文 由 B y p a s s 原 创 发 布 ， 转 载 请 保 留 出 处 。 欢 迎 关 注 我 的 个 人 微 信 公 众 号 ： B y p a s s - - ， 浏 览 更 多 精 彩 文 章 。 B y p a s s A b o u t   M e 一 个 网 络 安 全 爱 好 者 ， 对 技 术 有 着 偏 执 狂 一 样 的 追 求 。 致 力 于 分 享 原 创 高 质 量 干 货 ， 包 括 但 不 限 于 ： 渗 透 测 试 、 W A F 绕 过 、 代 码 审 计 、 安 全 运 维 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理