192.168.1.1-路由器设置 | 192.168.0.1-无线路由器设置

对某公司一次内网渗透测试

发布时间:2015-04-05 11:22

    这是一次内网渗透,为何标题不写内网呢,因为当时搞的时候不知道是内网,搞到一台主机之后才知道是双网卡,有对内的网卡,以为只是一次简单web渗透, 所以没必要夸大标题。
     不会写的太详细,大概记录下流程
1、突破口
    通过内部扫描器没有什么服务器方面漏洞,只有一些信息泄漏,调试信息等,根本对这次的渗透起不到关键的作用,当时看了几天没啥思路了,该看的漏洞都看过去了,比如上传啊 社工啊  注入啊等等的都没办法用,当时二级域名扫出来了,也没啥思路了,就去看二级域名的c段了,在二级域名的c段的用iis put scaner(可返回title)工具扫描的时候发现了一个主机头绑定是blog的子域名,当时其实他们的blog的子域名是解析到另外一台主机的,我本地host绑定扫出来ip跟blog域名,直接访问,变成了另外的一个网站,是wordpress,那么剩下的就是找漏洞了。wpscan扫描没啥漏洞,通过目测wordpress插件进行查找,也没啥大的问题,祭出最无奈的一招,暴力破解,抓取用户,进行密码爆破,密码为弱口令,进去后台,在模版处拿webshell,ifconfig查看双网卡,内网。
2、内网渗透
   从上面博客已拿到了webshell,开启s5的反向代理,在博客的那个机器用py脚本扫描常见的端口,常见端口,通过扫描发现9200 27017  27018 6379端口,看到9200立马想到了ElasticSearch的代码执行,发现存在CVE-2014-3120漏洞,直接执行命令,wget下载 反弹个shell,通过翻看/etc/配置文件目录发现zabbix的服务端地址,正常情况下服务端都有web管理界面(其实zabbix服务端的机器当时我看过,但是直接现显示是redhat页面还是apache页面默认的页面,忘记了,当时没扫目录,假如扫目录就可以发现zabbix的机器,因为zabbix的web控制端目录是zabbix),访问zabbix web管理端,脑子立马反映这玩意有个注入Zabbix SQL Injection/RCE – CVE-2013-5743,哦呵呵  一测试 还确实存在 但是表名修改了,丢到sqlmap里面去跑了,跑到密码,有几个不能解密,解密了一个登录进去,权限太低,啥都干不了, 当前库的用户是新建的用户不是root但是权限挺大可以直接访问mysql数据库,查询mysql.user查看到root的密码,(这个Mysql的密码 还是blog的机器的ss密码,当时blog的时候)连接mysql,update了一个高权限的用户,进去zabbix的管理控制端,本来是想着利用zabbix的命令执行搞内网的机器呢,结果客户端不能执行命令,只有zabbix服务端可以执行命令,那么我就把zabbix服务端这太机器反弹回来了。(zabbix的表中存有session id 可以利用session欺骗进去,不用添加用户的,两种办法。)


3.跨网段
  上面把zabbix的机器反弹回来了,因为目标的主站客户说在40网段,但是我们搞的是198.168.1.1,跨不过去,但是把zabbix机器搞下来的时候时候可以跨了,因为对内网的很多主机要进行监控,当然不能做隔离嘛,并且通过netstat 查看发现很多内网ip,之后有在zabbix的机器配置文件 发现了内网dns服务器.测试发现存在域传送漏洞。并知道主站的ip地址,其实发现dns域传送漏洞之前我们已经找到了目标站了,并不是客户说的40网段,在20网段,我们怎么样的发现的呢? 是这样发现的,用nmap扫描的在Zabbix看到网段的时候,访问内网的一个ip的时候直接跳转到主站了,那时候%70确定了,之后有发现了dns域传送,更加确定了。之后通过收集的信息,拿下了客户的数据。

 简单的叙述下这次的过程
 进内网 本地host绑定blog,blog爆破拿websell进入内网-> 内网渗透 扫描192.168.1网段发现ElasticSearch的代码执行, 在这个ElasticSearch的机器上在配置文件发现zabbix的服务端,->转战zabbix的机器,访问管理页面发现存在注入,拿到了数据库的账户密码,且数据库的密码是blog的那台服务器ssh->跨网段 通过zabbix机器发现内网其他网段的ip地址,并可达,查看配置文件发现内网dns->确定目标 扫描zabbix的网段访问20段某个内网ip跳转的主站,猜测是目标,更加确定,过zabbix发现内网的dns 发现域传送 发现目标主机。

  由于工作原因,不能写太过于详细,要是有什么问题,或者疑问直接留言给我就行了。

关于我们 - RSS地图 - 最近更新 - 友情链接 - 网站地图 - 版权声明