搜索

[8487] 2014-12-11_一个人的武林：内网渗透测试思路（二）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-17
2014-12-11_一个人的武林：内网渗透测试思路（二） 一 个 人 的 武 林 ： 内 网 渗 透 测 试 思 路 （ 二 ） m u m a r e n   F r e e B u f   2 0 1 4 - 1 2 - 1 1 写 在 前 面 写 在 前 面 跟 w e b 渗 透 （ 上 一 篇 ） 不 同 ， 内 网 渗 透 需 要 更 多 的 随 机 性 和 突 破 口 ， 情 况 较 为 复 杂 ， 遇 到 障 碍 ， 有 时 可 以 换 种 思 路 突 破 ， 很 多 时 候 则 无 奈 的 只 能 止 步 于 此 。 下 面 分 享 一 些 自 己 总 结 的 内 网 渗 透 经 验 。 主 要 是 以 w i n d o w s 下 的 操 作 为 主 。 0 × 0 1   斗 转 星 移 斗 转 星 移 （ 在 拿 到 w e b s h e l l 的 时 候 ， 想 办 法 获 取 系 统 信 息 拿 到 系 统 权 限 ） 一 、 通 过 常 规 一 、 通 过 常 规 w e b 渗 透 ， 已 经 拿 到 渗 透 ， 已 经 拿 到 w e b s h e l l 。 那 么 接 下 来 作 重 要 的 就 是 探 测 系 统 信 息 ， 提 权 ， 针 对 。 那 么 接 下 来 作 重 要 的 就 是 探 测 系 统 信 息 ， 提 权 ， 针 对 w i n d o w s 想 办 法 开 启 远 程 桌 面 连 想 办 法 开 启 远 程 桌 面 连 接 ， 针 对 接 ， 针 对 l i n u x 想 办 法 使 用 反 弹 想 办 法 使 用 反 弹 s h e l l 来 本 地 连 接 。 来 本 地 连 接 。 ①   W e b s h e l l 应 该 都 可 以 调 用 系 统 c m d 执 行 一 些 简 单 的 命 令 ， 那 么 w h o a m i （ 查 看 当 前 权 限 ） ， n e t u s e r （ 查 看 用 户 / 组 ） ， s y s t e m i n f o （ 查 看 系 统 补 丁 修 复 情 况 ） 等 常 见 命 令 应 该 是 首 先 被 执 行 探 测 的 。 I :   不 具 备 系 统 权 限 ： ①   S e r v - U 提 权 ， 现 在 很 多 的 w e b s h e l l 都 集 成 了 S e r v - U 一 键 提 权 功 能 ， 只 需 要 点 击 一 下 就 拥 有 了 系 统 权 限 ， 简 单 快 速 。
②   S Q L   S e r v e r 提 权 ， 利 用 w e b s h e l l 的 目 录 翻 阅 功 能 ， 查 找 网 站 根 目 录 下 的 数 据 库 配 置 文 件 ， 以 p h p 为 例 则 为 c o n f i g . p h p ； 查 看 文 件 内 容 一 般 都 会 发 现 数 据 库 的 登 陆 信 息 用 户 名 / 密 码 ， （ 密 码 m d 5 或 者 其 他 的 加 密 方 式 解 密 一 下 即 可 ） ， 通 过 w e b s h e l l 或 者 数 据 库 端 口 开 放 的 话 利 用 数 据 库 连 接 工 具 N a v i c a t 等 工 具 来 连 接 数 据 库 。 连 接 数 据 库 检 查 x p _ c m d s h e l l 是 否 存 在 ， 扩 展 存 储 过 程 是 否 打 开 ， 再 利 用 x p _ c m d s h e l l 来 执 行 系 统 命 令 ， 添 加 用 户 、 开 启 远 程 桌 面 等 。 常 用 命 令 ： s e l e c t   c o u n t ( * )   f r o m   m a s t e r . d b o . s y s o b j e c t s w h e r e   x t y p e   =   ‘ x ’   a n d   n a m e = ’ x p _ c m d s h e l l ’ 返 回 值 是 1 就 是 有 x p _ c m d s h e l l 存 储 过 程 e x e c   m a s t e r . d b o . s p _ a d d e x t e n d e d p r o c   ‘ x p _ c m d s h e l l ’ , ’ x p l o g 7 0 . d l l ’ 添 加 c m d s h e l l （ S q l s e r v e r   2 0 0 0 ） e x e c   s p _ c o n f i g u r e   ‘ s h o w   a d v a n c e d   o p t i o n s ’ , 1 ; 当 设 置 a d v a n c e d   o p t i o n s 参 数 为 1 时 ， 系 统 才 允 许 修 改 高 级 选 项 ； r e c o n f i g u r e ； e x e c   s p _ c o n f i g u r e   ‘ x p _ c m d s h e l l ’ , 1 ;
开 启 扩 展 存 储 过 程 ； r e c o n f i g u r e ;   ( S q l s e r v e r   2 0 0 5 ) 通 过 x p _ c m d s h e l l 来 执 行 命 令 ： x e c   m a s t e r . d b o . x p _ c m d s h e l l   ‘ 命 令 ’ ③   M Y S Q L 提 权 ， 如 S Q L   S e r v e r 一 样 ， 首 先 找 到 数 据 库 连 接 文 件 来 找 到 数 据 库 的 登 陆 信 息 ， 登 陆 M Y S Q L 数 据 库 ， 利 用 M Y S Q L 的 C r e a t e F u n c t i o n 来 添 加 自 定 义 函 数 ， 向 m y s q l 添 加 命 令 执 行 函 数 来 执 行 系 统 命 令 。 需 要 使 用 的 文 件 为 u d f . d l l 。 也 有 一 些 自 动 化 工 具 可 以 完 成 以 上 操 作 。 I I ： 具 备 系 统 权 限 ： 直 接 通 过 w e h s h e l l 来 执 行 相 关 命 令 ， 添 加 用 户 等 操 作 。 ②   可 能 遇 到 的 障 碍 ： 1 .   无 法 执 行 c m d 命 令 ： 有 可 能 执 行 的 命 令 不 具 备 执 行 权 限 或 者 s y s t e m 3 2 / c m d 文 件 自 身 拒 绝 被 调 用 ； 一 般 可 以 通 过 自 己 上 传 c m d 命 令 程 序 来 解 决 ， 为 当 前 用 户 权 限 。 2 .   添 加 用 户 的 命 令 n e t   u s e r   / a d d 不 能 被 执 行 ： 一 般 是 由 于 n e t . e x e 文 件 不 存 在 或 者 拒 绝 被 调 用 导 致 ， 可 通 过 上 传 n e t . e x e 文 件 来 解 决 ， 包 括 t a s k l i s t 等 命 令 无 法 被 执 行 时 ， 都 可 以 通 过 上 传 相 应 可 执 行 文 件 来 解 决 。 3 .   S Q L   S e r v e r 扩 展 存 储 过 程 无 法 开 启 ： 在 管 理 员 做 过 数 据 库 加 固 的 情 况 下 ， x p l o g 7 0 . d l l 文 件 会 被 管 理 员 删 除 ， 从 而 不 能 够 成 功 开 启 数 据 库 扩 展 存 储 过 程 ， 解 决 方 案 为 上 传 x p l o g 7 0 . d l l 文 件 。
4 .   不 能 在 目 录 下 上 传 文 件 ， 或 者 上 传 的 文 件 执 行 权 限 不 够 ： 根 据 文 件 目 录 的 执 行 权 限 ， 首 先 查 找 可 读 、 可 写 目 录 ， 假 如 不 好 找 的 话 ， 一 般 建 议 将 文 件 上 传 到 相 应 盘 符 的 r e c y c l e r 文 件 夹 内 ， 这 个 文 件 夹 在 每 个 盘 下 面 默 认 都 会 存 在 ， 并 且 具 有 可 读 、 写 、 执 行 权 限 。 5 .   新 建 用 户 成 功 ， 但 是 无 法 确 定 管 理 员 组 ： 没 有 明 确 标 识 的 a d m i n i s t r a t o r 组 ， 在 新 建 用 户 加 入 管 理 员 组 的 过 成 中 ， 系 统 管 理 员 已 经 将 管 理 员 组 更 名 ， 此 时 需 要 查 询 管 理 员 组 名 称 ， 再 在 相 应 的 组 中 加 入 。 6 .   3 3 8 9 端 口 虽 然 打 开 ， 但 是 远 程 桌 面 无 法 连 接 ： 一 般 这 种 情 况 是 由 于 w i n d o w s 的 防 火 墙 进 行 的 端 口 限 制 或 者 在 远 端 服 务 器 网 络 出 口 有 安 全 设 备 如 防 火 墙 进 行 了 外 联 端 口 限 制 ， 这 个 时 候 就 要 祭 出 前 辈 大 神 的 L C X 端 口 转 发 工 具 ， 对 相 应 端 口 进 行 转 发 到 常 规 使 用 的 端 口 上 , 再 从 外 部 连 接 转 发 后 的 端 口 。 二 、 二 、   没 有 通 过 常 规 渗 透 拿 到 没 有 通 过 常 规 渗 透 拿 到 w e b s h e l l ， 但 是 由 于 中 间 件 的 配 置 失 误 ， 可 以 上 传 ， 但 是 由 于 中 间 件 的 配 置 失 误 ， 可 以 上 传 s h e l l 。 。 A p a c h e ， T o m c a t 等 中 间 件 以 s y s t e m 权 限 运 行 ， 存 在 管 理 控 制 台 m a n a g e r ， 尝 试 弱 口 令 或 者 暴 力 破 解 登 入 ， 可 以 通 过 控 制 台 上 传 j s p 、 w a r 等 格 式 的 w e b s h e l l ， 从 而 进 一 步 执 行 系 统 命 令 。 三 、 三 、 W e b 存 在 存 在 s q l 注 入 ， 数 据 库 为 注 入 ， 数 据 库 为 S Q L S e r v e r ， 通 过 ， 通 过 S Q L   S e r v e r 的 特 性 ， 开 启 扩 展 存 储 过 程 的 特 性 ， 开 启 扩 展 存 储 过 程 X P _ c m d s h e l l ， 从 而 添 加 管 理 员 用 户 ， 从 而 添 加 管 理 员 用 户 / 组 ， 开 组 ， 开 启 远 程 桌 面 。 或 者 启 远 程 桌 面 。 或 者 M Y S Q L 存 在 存 在 w e b   s q l 中 注 入 ， 则 不 通 过 中 注 入 ， 则 不 通 过 w e b s h e l l 翻 阅 文 件 来 获 取 数 据 库 连 接 密 码 ， 直 接 从 外 部 利 用 数 据 库 连 接 工 具 翻 阅 文 件 来 获 取 数 据 库 连 接 密 码 ， 直 接 从 外 部 利 用 数 据 库 连 接 工 具 来 进 行 提 权 。 来 进 行 提 权 。 四 、 利 用 系 统 已 知 漏 洞 来 提 权 ， 通 过 四 、 利 用 系 统 已 知 漏 洞 来 提 权 ， 通 过 w e h s e l l 执 行 执 行 s y s t e m i n f o 来 确 定 系 统 打 补 丁 的 情 况 ， 从 而 使 用 来 确 定 系 统 打 补 丁 的 情 况 ， 从 而 使 用 m e t a s p l o i t 来 溢 出 提 权 ， 选 择 来 溢 出 提 权 ， 选 择 p a y l o a d s 来 开 启 远 程 桌 面 。 在 来 开 启 远 程 桌 面 。 在 w i n d o w s 下 比 较 出 名 的 漏 洞 如 下 比 较 出 名 的 漏 洞 如 M S - 0 8 0 6 7 , M S 1 1 - 0 8 0 , M S 1 1 - 0 4 6 等 。 等 。 五 、 对 于 五 、 对 于 L i n u x 系 统 ： 系 统 ：
①   在 拿 到 w e b s h e l l 的 前 提 下 ， 一 般 的 流 程 为 使 用 相 应 e x p 或 者 执 行 上 传 的 脚 本 ， 反 弹 s h e l l 出 来 在 本 地 进 行 连 接 ， 运 行 提 权 程 序 获 得 r o o t 权 限 。 如 w i n d o w s 下 一 样 ， 在 L i n u x 下 首 先 通 过 w e b s h e l l 执 行 w h o a m i 来 确 定 当 前 用 户 是 什 么 用 户 ， 执 行 u n a m e – r 来 确 定 L i n u x 的 内 核 版 本 ， 依 照 此 版 本 来 找 对 应 的 e x p ； 当 然 对 应 很 多 版 本 的 L i n u x 内 核 ， 都 是 没 有 e x p 来 对 用 执 行 的 ， 很 多 情 况 下 只 能 无 奈 止 步 或 者 另 辟 蹊 径 。 常 用 工 具 n c 。 ②   可 能 遇 到 的 障 碍 ： 1 . 反 弹 s h e l l 的 时 候 在 本 地 无 法 正 常 连 接 ： 一 般 这 种 情 况 是 由 于 L i n u x 的 i p t a b l e s 防 火 墙 进 行 的 端 口 限 制 或 者 在 远 端 服 务 器 网 络 出 口 有 安 全 设 备 如 防 火 墙 进 行 了 外 联 端 口 限 制 ， 这 个 时 候 就 要 祭 出 前 辈 大 神 的 L C X 端 口 转 发 工 具 ， 对 相 应 端 口 进 行 转 发 到 常 规 使 用 的 端 口 上 。 2 . 提 权 e x p 或 者 自 己 远 程 编 译 的 脚 本 无 法 执 行 ： 检 查 是 否 当 前 文 件 具 有 可 读 、 写 、 执 行 权 限 ， 尝 试 修 改 目 录 、 文 件 的 权 限 ， 使 用 c h m o d   u + x ， 假 如 无 法 修 改 权 限 的 话 就 寻 找 具 有 相 应 权 限 的 目 录 重 新 上 传 执 行 。 六 、 关 于 一 句 话 木 马 ： 六 、 关 于 一 句 话 木 马 ： 使 用 w e b s h e l l 方 式 固 然 好 处 是 强 大 的 各 种 功 能 ， 但 是 w e b s h e l l 的 缺 点 体 现 在 ： 1 . 很 容 易 被 管 理 员 发 现 清 除 ， 2 . 复 杂 冗 余 的 功 能 根 据 不 同 的 情 况 可 能 无 法 使 用 ， 3 . 在 w e b 应 用 中 上 传 w e b s h e l l 的 时 候 困 难 重 重 。 对 于 一 句 话 木 马 ， 在 w e b 应 用 中 可 以 根 据 情 况 直 接 插 入 ， 对 应 的 菜 刀 c h o p p e r 可 以 轻 松 连 接 一 句 话 翻 阅 目 录 ， 并 且 可 以 进 行 数 据 库 管 理 和 自 定 义 c m d 路 径 执 行 。 好 处 主 要 在 于 不 容 易 被 查 杀 ， 并 且 不 容 易 被 管 理 员 发 现 。 在 上 传 了 w e b s h e l l 后 ， 在 可 读 可 写 的 目 录 下 新 建 一 句 话 木 马 连 接 文 件 也 不 失 为 一 种 保 存 后 门 的 方 式 。 同 时 注 意 隐 藏 ， 将 一 句 话 木 马 的 文 件 名 改 名 为 c o n f i g . p h p   ,   r u n . p h p 等 系 统 文 件 名 更 具 有 迷 惑 性 。 0 × 0 2   隔 山 打 牛 隔 山 打 牛 （ 在 拿 到 一 台 服 务 器 的 时 候 ， 拿 下 内 网 更 多 的 服 务 器 ， 更 有 用 的 信 息 ） 1 .   信 息 获 取 信 息 获 取 信 息 获 取 总 是 第 一 步 执 行 的 操 作 ， 利 用 管 理 员 的 疏 忽 或 者 内 网 机 器 的 弱 口 令 来 发 现 更 多 的 信 息 。 ①   可 以 使 用 工 具 p w d u m p 来 抓 取 管 理 员 h a s h ， 配 合 彩 虹 表 或 者 在 线 h a s h 破 解 ， 获 得 管 理 员 的 明 文 密 码 ， 这 个 可 以 作 为 自 己 的 密 码 表 ， 在 进 行 内 网 其 他 机 器 的 登 陆 时 尝 试 。 ②   查 看 远 程 桌 面 的 连 接 信 息 ， 一 般 通 过 远 程 桌 面 经 常 连 接 的 机 器 会 在 该 程 序 打 开 时 候 的 下 拉 菜 单 中 保 存 ， 如 果 管 理 员 选 择 的 是 记 住 密 码 的
话 ， 那 么 就 轻 松 跳 转 其 他 机 器 。 ③   假 如 存 在 数 据 库 管 理 工 具 ， f t p 管 理 工 具 等 ， 如 N a v i c a t ， S e c u r e C R T ， f l a s h f x p 等 ， 查 看 是 否 是 保 存 的 密 码 ， 尝 试 登 陆 。 ④   各 款 浏 览 器 的 保 存 登 陆 密 码 ， 作 为 自 己 的 密 码 表 ， 在 进 行 内 网 其 他 机 器 的 登 陆 时 尝 试 。 ⑤   有 无 V P N 连 接 信 息 。 2 .   内 网 探 测 内 网 探 测 ①   通 过 c m d 下 执 行 命 令 a r p   – a ， 查 看 相 邻 主 机 I P 。 ②   通 过 上 传 一 些 工 具 ， 如 C a i n ， 可 以 探 测 本 地 程 序 缓 存 的 密 码 ， 通 过 嗅 探 器 可 以 嗅 探 到 相 邻 机 器 的 u s e r n a m e 和 p a s s w o r d 。 ③   通 过 上 传 一 些 工 具 ， 如 H S c a n ， 可 以 探 测 同 一 个 段 内 存 活 机 器 的 I P ， 端 口 ， 开 启 的 服 务 等 信 息 ， 包 括 存 活 机 器 的 弱 口 令 。 ④   通 过 本 地 远 程 桌 面 跳 转 到 相 应 的 服 务 器 上 。 ⑤   如 w e b 渗 透 一 样 ， 在 进 行 端 口 / 服 务 探 测 时 ， 可 以 根 据 探 测 到 的 服 务 版 本 信 息 ， 根 据 已 知 的 漏 洞 来 使 用 m a t e s p l o i t 进 行 溢 出 攻 击 ， 从 而 获 得 对 应 服 务 器 权 限 。 3 .   找 到 交 换 机 找 到 交 换 机 / 路 由 器 路 由 器 通 过 内 网 端 口 / I P 扫 描 找 到 类 似 交 换 机 / F 5 的 设 备 ， 网 络 设 备 没 有 特 殊 安 全 加 固 的 话 一 般 没 有 设 置 权 限 密 码 或 者 使 用 默 认 密 码 / 弱 口 令 ， 比 较 好 突 破 。 也 可 以 下 载 路 由 器 / 交 换 机 的 配 置 文 件 ， 从 而 读 取 到 登 陆 密 码 。 拿 到 网 络 设 备 以 后 该 网 段 的 拓 扑 结 构 基 本 上 能 做 到 心 中 有 数 。
对 内 网 渗 透 而 言 ， 更 多 的 是 利 用 管 理 员 或 者 用 户 组 的 疏 漏 而 进 行 的 深 入 ， 具 有 较 大 的 随 机 性 ， 很 多 情 况 下 也 是 无 疾 而 终 ， 无 奈 的 终 结 于 此 。 不 过 思 路 和 方 法 是 多 变 的 ， 正 所 谓 没 有 绕 不 过 的 防 火 墙 ， 终 归 会 有 更 好 的 方 法 出 现 来 解 决 更 多 的 问 题 。 对 于 外 网 — — 内 网 渗 透 思 路 系 列 ， 并 不 是 倡 导 一 个 如 何 有 效 入 侵 的 方 案 ， 而 是 通 过 种 种 思 路 的 总 结 来 帮 助 我 们 的 管 理 员 同 志 更 好 地 抵 御 外 界 的 威 胁 ， 同 时 我 们 也 倡 导 大 家 做 有 社 会 使 命 感 的 白 帽 子 。 在 技 术 方 面 共 同 进 步 ， 不 浮 于 表 面 ， 更 多 的 去 进 行 学 习 漏 洞 挖 掘 分 析 等 更 深 层 次 的 技 术 细 节 ， 了 解 漏 洞 的 原 理 ， 为 提 高 我 们 的 技 术 水 平 而 不 懈 努 力 。 [ 本 文 作 者 m u m a r e n ， 本 文 属 于 F r e e B u f . C O M 独 家 发 布 文 章 ， 未 经 许 可 禁 止 转 载 ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理