设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15862] 2020-09-17_攻防演练之柳暗花明又一村 ...
返回列表 发新帖
查看: 6|回复: 0

[15862] 2020-09-17_攻防演练之柳暗花明又一村

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 17:47:38 | 显示全部楼层 |阅读模式
2020-09-17_攻防演练之柳暗花明又一村 攻 防 演 练 之 柳 暗 花 明 又 一 村 酒 仙 桥 六 号 部 队   F r e e B u f   2 0 2 0 - 0 9 - 1 7 * 严 正 声 明 ： 本 文 仅 限 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 途 径 ， 违 者 后 果 自 负 。 严 正 声 明 ： 本 文 仅 限 于 技 术 讨 论 与 分 享 ， 严 禁 用 于 非 法 途 径 ， 违 者 后 果 自 负 。 背 景 背 景 某 年 的 某 个 夏 天 ， 某 单 位 需 要 做 攻 防 演 练 ， 而 且 是 全 仿 真 的 演 练 ， 只 有 客 户 名 ， 没 有 任 何 资 产 信 息 。 时 间 紧 ， 任 务 重 ， 于 是 我 们 兵 分 两 路 ， 一 波 人 在 远 程 从 外 围 突 破 ， 我 和 另 一 个 小 伙 则 踏 上 了 旅 途 ， 准 备 从 内 部 来 瓦 解 。 出 师 未 捷 险 掉 坑 出 师 未 捷 险 掉 坑 红 蓝 对 抗 中 ， 最 爽 的 事 儿 是 什 么 ？ 当 然 是 能 直 接 连 入 目 标 的 内 网 。 我 们 进 入 单 位 后 ， 首 先 就 开 始 搜 寻 w i f i ， 看 是 否 有 直 接 访 问 内 网 的 可 能 。 单 位 w i f i 应 该 是 给 客 户 临 时 用 的 ， 本 身 没 有 密 码 ， 使 用 手 机 号 即 可 登 录 。 找 了 个 角 落 ， 掏 出 电 脑 一 番 探 测 ， 结 果 发 现 访 客 w i f i 和 内 网 完 全 不 通 。 没 办 法 ， 我 们 只 能 另 想 出 路 。 就 像 《 我 是 谁 ： 没 有 绝 对 安 全 的 系 统 》 说 的 一 样 ： “ 人 类 才 是 最 大 的 漏 洞 ” 。 单 位 这 么 大 ， 一 定 会 有 一 些 漏 网 之 鱼 的 。 于 是 我 们 尝 试 去 寻 找 私 搭 的 W i - F i ， 使 用 某 w i f i 密 码 探 测 软 件 探 测 ， 走 了 两 层 楼 ， 都 没 有 发 现 可 破 解 的 w i f i 。 到 了 三 楼 ， 终 于 发 现 一 个 提 示 可 连 接 的 。 使 用 手 机 连 接 w i f i 后 利 用 w i f i 分 享 功 能 得 到 w i f i 密 码 。 密
码 强 度 还 是 很 不 错 的 ， 如 果 没 有 这 个 w i f i 密 码 探 测 软 件 ， 等 破 解 出 来 我 们 的 项 目 应 该 已 经 结 束 了 。 掏 出 电 脑 蹲 在 门 口 ， 开 启 探 测 ， 发 现 虽 然 直 接 获 取 的 是 1 9 2 开 头 的 I P ， 但 实 际 是 能 p i n g 通 内 网 的 。 刚 开 始 扫 描 ， 就 有 里 边 的 工 作 人 员 出 来 问 我 们 在 干 嘛 ， 还 好 我 们 俩 都 长 得 比 较 面 善 ， 蒙 混 过 关 ， 但 也 不 得 不 撤 离 了 。 发 现 不 远 处 有 个 卫 生 间 ， 但 在 卫 生 间 内 ， 连 接 的 那 个 w i f i 信 号 不 好 ， 断 断 续 续 ， 只 得 暂 时 作 罢 。 继 续 在 楼 里 搜 寻 了 一 圈 ， 未 发 现 更 多 可 用 的 W i - F i ， 决 定 还 是 从 之 前 的 那 个 W i - F i 入 手 。 多 年 的 游 戏 经 验 告 诉 我 ， 遇 到 打 不 过 的 b o s s ， 氪 金 升 级 装 备 可 以 使 你 变 强 。 返 回 酒 店 ， 找 公 司 小 姐 姐 请 求 硬 件 支 援 ， 小 姐 姐 听 了 我 的 需 求 后 ， 快 马 加 鞭 的 给 我 邮 寄 了 一 个 大 型 装 备 过 来 ， 第 二 天 收 到 货 后 重 新 返 回 现 场 ， 成 功 在 卫 生 间 连 上 了 w i f i ， 氪 金 的 感 觉 真 爽 。
社 工 踹 门 真 好 使 社 工 踹 门 真 好 使 有 了 装 备 的 升 级 ， 顺 利 的 连 上 w i f i 之 后 ， 重 新 扫 描 。 同 一 网 段 的 只 有 开 网 关 的 p c ， 和 一 个 看 起 来 像 手 机 的 设 备 。 扫 描 发 现 ， 这 台 p c 开 了 4 4 5 和 远 程 桌 面 。 先 用 一 个 t o p 1 0 0 0 的 字 典 跑 远 程 桌 面 ， 没 成 功 。 接 着 再 去 尝 试 永 恒 之 蓝 漏 洞 ， 发 现 也 未 能 成 功 ， 怀 疑 是 打 了 补 丁 。 偶 然 发 现 那 台 计 算 机 的 名 称 是 叫 ， 猜 测 他 的 真 名 叫 ， 然 后 直 接 谷 歌 找 到 该 单 位 官 网 ， 发 现 有 个 专 家 介 绍 ， 由 于 计 ， 猜 测 他 的 真 名 叫 ， 然 后 直 接 谷 歌 找 到 该 单 位 官 网 ， 发 现 有 个 专 家 介 绍 ， 由 于 计 算 机 名 是 名 字 全 拼 ， 通 过 专 家 介 绍 确 定 有 个 叫 算 机 名 是 名 字 全 拼 ， 通 过 专 家 介 绍 确 定 有 个 叫 * 的 工 作 人 员 过 程 并 没 有 花 费 很 多 时 间 。
该 工 作 人 员 还 挺 有 名 ， 还 有 百 度 百 科 。 又 经 过 了 一 番 搜 索 ， 成 功 找 到 了 他 的 手 机 号 ， 之 后 利 用 他 的 手 机 号 得 到 了 邮 箱 和 S F Z 信 息 。 通 过 我 们 收 集 到 的 信 息 ， 组 了 个 字 典 ， 再 次 去 爆 破 远 程 桌 面 。 没 想 到 竟 然 成 功 爆 破 进 去 了 。 看 来 生 日 相 关 的 密 码 还 真 的 是 很 多 人 的 习 惯 。
登 陆 成 功 后 ， 发 现 他 的 浏 览 器 中 保 存 了 他 们 单 位 多 个 系 统 的 密 码 ， 好 几 个 系 统 都 是 用 的 他 的 电 话 号 码 或 者 和 电 脑 的 密 码 相 同 。 同 时 还 发 现 该 p c 安 装 了 T e a m V i e w e r ， 终 于 不 需 要 再 躲 在 厕 所 了 ， 记 下 远 程 链 接 密 码 就 回 酒 店 去 了 。 一 阵 扫 射 陷 僵 局 一 阵 扫 射 陷 僵 局 凌 晨 2 点 左 右 ， 我 直 接 连 上 了 那 台 p c 的 T e a m V i e w e r 。 我 后 面 的 工 作 打 算 都 在 这 台 电 脑 上 面 完 成 。 从 他 浏 览 器 的 页 面 发 现 ， 他 们 内 网 的 业 务 系 统 都 在 1 7 2 . 3 0 . 0 . 段 上 面 ， 所 以 我 们 开 始 对 这 个 段 做 个 详 细 的 探 测 ， 通 过 信 息 收 集 ， 发 现 如 下 存 活 主 机 数 量 还 挺 多 ， 同 时 各 种 服 务 也 有 不 少 。 简 单 的 漏 洞 扫 描 发 现 虽 然 有 一 些 开 着 4 4 5 端 口 的 服 务 器 ， 但 都 不 存 在 m s - 1 7 - 0 1 0 漏 洞 ， 爆 破 也 就 发 现 几 个 f t p 弱 口 令 。
查 看 f t p 没 有 发 现 太 多 有 用 的 信 息 接 着 对 信 息 收 集 得 到 几 个 w e b 页 面 进 行 渗 透 ， 发 现 信 息 查 询 系 统 中 存 在 S Q L 注 入 ， 判 断 后 得 出 该 注 入 权 限 过 低 ， 无 法 直 接 写 s h e l l ， 放 弃 该 系 统 。 收 集 的 信 息 中 有 一 个 o a 系 统 ， 发 现 可 以 爆 破 通 过 爆 破 进 入 o a 系 统 ， 没 有 找 到 可 以 直 接 拿 到 w e b s h e l l 的 方 式 ， 但 发 现 存 在 越 权 漏 洞 ， 可 以 直 接 访 问 到 管 理 员 的 配 置 页 面 。
其 中 一 个 页 面 泄 露 了 敏 感 信 息 ， 可 以 直 接 显 示 出 数 据 库 和 用 户 名 发 现 数 据 库 都 为 s a 权 限 ， 思 考 了 一 下 ， 是 否 可 以 通 过 数 据 库 提 权 ， 利 用 获 取 到 的 用 户 名 和 密 码 成 功 连 接 到 数 据 库 ， 数 据 库 中 泄 露 了 不 少 个 人 信 息 通 过 X P _ C M D S H E L L 用 来 执 行 C M D 命 令 ， 使 用 以 下 命 令 把 x p _ c m d s h e l l 顺 利 打 开 ， 接 下 来 就 是 执 行 c m d 命 令 了
命 令 执 行 成 功 来 看 看 权 限 ， 是 m s s q l s e r v e r 权 限 ， 很 明 显 被 降 权 了 ， 查 看 了 其 他 几 个 数 据 库 也 是 一 样 的 结 果 ， 所 以 这 个 点 也 利 用 不 了 。 继 续 寻 找 突 破 口 ， 在 跳 板 p c 上 发 现 一 个 护 理 病 历 系 统 ， 并 且 发 现 是 登 录 状 态 ， 猜 测 这 个 软 件 应 该 很 多 员 工 都 安 装 了 ， 于 是 想 到 从 这 个 软 件 下 手
通 过 逆 向 得 到 代 码 ， 查 看 代 码 ， 看 看 能 不 能 对 代 码 进 行 修 改 可 以 修 改 我 的 思 路 是 ， 在 软 件 中 去 种 马 ， 诱 导 工 作 人 员 去 安 装 ， 这 部 分 过 于 敏 感 就 简 单 的 描 述 一 下 。 通 过 跳 板 p c 机 浏 览 器 历 史 记 录 ， 保 存 有 邮 件 系 统 地 址 和 用 户 名 密 码 ， 登 录 邮 件 后 在 通 讯 录 里 面 找 到 大 量 员 工 邮 箱 地 址 ， 接 下 来 构 造 一 封 邮 件 ， 诱 导 员 工 下 载 更 新 该 带 有 后 门 的 软 件 ， 等 到 隔 天 晚 上 2 点 查 看 结 果 ， 上 线 了 不 少 用 户 （ 由 于 他 们 的 用 户 名 很 容 易 被 逆 向 分 析 出 目 标 单 位 ， 所 以 打 码 有 点 全 ， 大 家 见 笑 了 ） 有 $ 的 密 码 是 我 后 加 的 ， 当 时 他 们 要 证 明 能 不 能 对 电 脑 进 行 实 际 操 作 ， 所 以 都 添 加 了 个 用 户 名 ， 用 户 名 涉 及 到 敏 感 信 息
所 以 也 打 码 通 过 对 上 线 用 户 的 分 析 ， 发 现 这 些 都 是 个 人 p c ， 系 统 上 面 特 别 干 净 ， 而 且 都 是 以 a d m i n i s t r a t o r 用 户 上 线 ， 电 脑 上 只 安 装 了 一 些 和 单 位 相 关 的 软 件 ， 没 有 其 他 敏 感 信 息 ， 显 示 这 都 是 单 位 统 一 配 的 办 公 电 脑 ， 虽 然 获 取 了 这 么 多 p c 权 限 但 是 没 有 我 想 要 的 东 西 ， 到 这 里 渗 透 陷 入 了 僵 局 。 一 个 一 个 0 d a y 定 乾 坤 定 乾 坤 脑 子 现 在 没 啥 思 路 了 ， 小 学 老 师 告 诉 我 们 ， 当 你 遇 到 一 道 题 解 到 一 半 的 时 候 ， 发 现 前 面 都 风 调 雨 顺 ， 越 到 后 面 越 迷 茫 的 时 候 ， 可 以 忘 掉 之 前 做 过 的 ， 重 新 开 始 ， 于 是 乎 我 又 回 头 去 翻 f t p ， 无 聊 的 翻 了 2 个 小 时 左 右 ， 发 现 了 一 份 备 份 源 码 ， 于 是 乎 下 载 了 下 来 ， 先 看 下 目 录 ， 发 现 是 用 的 T h i n k P H P 框 架 ， 突 然 想 到 之 前 收 集 的 信 息 中 有 一 个 w e b 程 序 就 是 用 t h i n k p h p 框 架 写 的 。 看 了 下 框 架 的 版 本 3 . 2 . 3   这 个 版 本 是 有 官 方 未 修 复 的 注 入 漏 洞 ， 我 们 先 找 到 后 台 登 录 位 置 直 接 就 拼 接 字 符 串 了 省 的 我 们 去 全 局 找 了 注 入 了   看 看 g e t V a l u e   方 法 过 滤 了 什 么 满 脸 问 号 没 看 懂 这 段 正 则 匹 配 的 意 义 在 那 里 ， 应 该 是 想 写 匹 配 手 机 号 登 录 的 ， 注 出 数 据 是 不 可 能 了 但 可 以 利 用 万 能 密
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-3 04:10 , Processed in 0.604426 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表