老外的一份渗透测试报告

最新推荐文章于 2024-10-04 15:30:00 发布

f777x0

最新推荐文章于 2024-10-04 15:30:00 发布

阅读量3.2k

点赞数 1

分类专栏：渗透文章标签：渗透

渗透专栏收录该内容

1 篇文章 0 订阅

订阅专栏

From:penetration-testing-sample-report-2013.pdf

offensive security出的一份渗透测试报告，翻译了下重点内容 :)

过程还是很精彩的~

本次测试的域名为：megacorpone.com

先查看一下其DNS服务器：

enter image description here

然后发现 ns2.megacorpone.com 存在域传送漏洞。

enter image description here

关于域传送的漏洞，可以参考这里http://drops.wooyun.org/papers/64

从图片中可以看出域名都在50.7.67.x的IP段内，网络拓扑图：

enter image description here

在admin.megacorpone.com服务器的81端口发现了apache的webserver，然后扫一下文件路径：

enter image description here

可以看到/admin是一个需要身份验证的路径。

enter image description here

根据www.megacorpone.com网站内容做了一个字典，爆破密码，用户名就用admin了。

enter image description here

破解出密码为：nanotechnology1

进入后界面：

enter image description here

可以看到是一套phpSQLiteCMS，管理SQLite数据的：

通过此页面可以直接查询用户名和密码的hash：

enter image description here

测试发现保存的hash并非常规的方式，于是下载一份phpselitecms观察其中的hash方式：

enter image description here

知道了hash的方式是使用使用了一个10位字符的salt一起做sha1，并且字符串拼接原始salt一起放在数据库中。

我们采用同样的hash方式来暴力碰撞密码，尝试破解其他账户，又破解出两个来，收集密码的好处是可能其他系统也会使用相同的用户名密码，这样就可以轻松的进入了。

SQLite Manager软件存在一个已公开的代码注入漏洞，可以使用exp直接打：

http://www.exploit-db.com/exploits/24320/

enter image description here

反弹回shell：

enter image description here

服务器拓扑：

enter image description here

同时发现服务器可以提权，利用exp提权：

http://www.exploit-db.com/exploits/18411/

enter image description here

此时已经完全控制此台服务器。

然后好好的分析了一下此台服务器，查看到web目录下java应用只允许一个网段来访问。

后来发现这个管理员网络之一：

enter image description here

我们在web客户端增加了一个Java小程序，可以直接控制远程客户端。

（PS：出了这么多Java 0day不知道直接挂到页面上，老外的中马率怎么样）

在管理员下载并允许后：

enter image description here

此时网络拓扑：

enter image description here

发现管理员的电脑在域中，开始提升到域管理员。

发现系统中有一个组管理文件。

（ps：关于这个专门去查了一下是2008域管理存在的一个问题：http://www.carnal0wnage.com/papers/LARES-GPP.pdf）

metasploit上有rb脚本可以查找xml文件并解密：https://github.com/rapid7/metasploit-framework/blob/master/modules/post/windows/gather/credentials/gpp.rb

enter image description here

查看groups.xml文件：

enter image description here

解密：

enter image description here

解密的ruby脚本贴出来：

使用方法是：

#ruby decrypt.rb 密文

 
        require  
        'rubygems' 
       
        require  
        'openssl' 
       
        require  
        'base64' 
       
        #encrypted_data = "AzVJmXh/J9KrU5n0czX1uBPLSUjzFE8j7dOltPD8tLk" 
       
        encrypted_data =  
        ARGV 
       
        def 
         decrypt(encrypted_data) 
       
        padding =  
        "=" 
         * ( 
        4 
         - (encrypted_data.length %  
        4 
        )) 
       
        epassword =  
        "#{encrypted_data}#{padding}" 
       
        decoded = Base64.decode64(epassword) 
       
        key =  
        "\x4e\x99\x06\xe8\xfc\xb6\x6c\xc9\xfa\xf4\x93\x10\x62\x0f\xfe\xe8\xf4\x96\xe8\x06\xcc\x05\x79\x90\x20\x9b\x09\xa4\x33\xb6\x6c\x1b" 
       
        aes = OpenSSL::Cipher::Cipher. 
        new 
        ( 
        "AES-256-CBC" 
        ) 
       
        aes.decrypt 
       
        aes.key = key 
       
        plaintext = aes.update(decoded) 
       
        plaintext << aes.final 
       
        pass = plaintext.unpack( 
        'v*' 
        ).pack( 
        'C*' 
        )  
        # UNICODE conversion 
       
        return 
         pass 
       
        end 
       
        blah = decrypt(encrypted_data) 
       
        puts blah