从公有云到渗透进内网漫游

分手后的思念是犯贱 2024-04-07 10:40 10阅读 0赞

### **0x01 前言** ###

当一个企业把他的业务放到腾讯云或阿里云等公有云的时候，其是与企业的内网是不相通的，相当于逻辑隔离了(非物理隔离)，如果企业信息安全做的相对较好，不暴露VPN地址或者路由器或防火墙业务，信息收集的时候，是很难进精准定位到企业的内网使用的公网地址的。这个时候，想要渗透内网相对困难。

下面就介绍一下我从公有云到渗透进内网进行漫游的实际渗透过程。

### **0x02 前期打点** ###

怎样拿下云服务器的不是本文重点，故不做详细介绍，只简单介绍思路。

根据公司名字，直接百度，发现官网地址。根据官网地址，进行了一波信息收集：

1.  发现站点使用了CDN，是腾讯云主机，ip是变化的，无法探测真实IP；
2.  发现存在任意命令执行漏洞。直接RCE，拿下服务器权限；

先看下ip地址

![23c5819d54f0e423267812d089209325.jpeg][]

发现显示的是内网地址，这个时候，查看下真实的ip，虽然这个对接下来的内网渗透没什么diao用。

![fd5f9762ae8fb41ecec88a0772ee25ad.jpeg][]

到此才发现是腾讯云，主机不在内网。

### **0x03 想办法打内网** ###

这个时候，我就要办法获取公司办公网的外网IP了，这个外网ip要么是防火墙的，要么是路由器的。怎么获取呢？我想到了一个办法，一般云主机，运维人员会通过ssh来进行管理，一般在上班时间，他们会连接进来，这个时候，就会获取到公司的真实公网IP。

教大家一个小技巧，如果是小公司，运维可能十天半个月都不会连上来，这个时候，我们就可以搞点“小破坏”，逼迫运维上线。

**比如关闭它的web服务等等，大家千万注意两点：**

1.  动作不要太大，免得被运维发现被黑，当然你可以提前做权限维持，这里不做介绍；
2.  没有“授权”，千万不要乱搞；没有授权，千万不要乱搞；没有授权，千万不要乱搞，否则就会进局子吃免费的饭了，咋不能干违法的事，哈哈。

我们看看运维上线没：

[root@VM-0-13-centos~]# netstat -lantp | grep ESTABLISHED

![962b59596a6263529d4d1466d466ae46.jpeg][]

我们重点关注sshd进程，这个前面的公网IP就的运维所在公司的公网IP，我这里发现了两个。

### **0x04 对上面的IP进行渗透** ###

同样繁琐的事情来一波，信息收集。。。发现了shiro发序列化漏洞，直接反弹shell了

![cf8cccf5a1d4d35e68ce61b2076edea5.jpeg][]

直接进来了：

![67612ea1b2777bc61eaf397b0e14e08b.jpeg][]

看一下内网地址：内网地址是 10.10.10.187

![e63d7ac48528001ba9c3273cbaae15c8.jpeg][]

看看目标机器能否访问外网：

![52c5afcaa90a1264624e5bbaf3337710.jpeg][]

最理想的状态，可以访问外网，接下来就可以开始代理进内网进行渗透了。

### **0x05 愉快的内网漫游** ###

frp+Proxifier代理搞起来，这里怎样搭建就不详细介绍了，可以自行谷歌。很简单，最好是socks5代理，并加密，躲一下AV的流量检测；也最好增加代理的密码，防止“别人”使用。

我这里使用了修改版的frp，利用远程加载配置文件的方式，稍微躲避一下，增加一点点溯源的难度：

![f1b90547aed4e5abe5dc6b0c3c376fdf.jpeg][]

代理搭建完，接下来扫一下内网看看：

![60a95ba1c517c834b0ff2134ee9b1ada.jpeg][]

有经典的 MS17-010 漏洞，其实还发现了很多其他的漏洞。就拿最好利用的MS17-010快速开始吧，而且是windows服务器，利用价值大，且拿下后，用服务器再做一层代理，连RDP可以快速结束战斗，一把梭。

![2323ff8831b129dac6a76b16f328c954.jpeg][]

我的msf是公网，利用proxychains代理一下，直接攻击。

![95cbfa761b67bcd41732387eb84ae978.jpeg][]

开始攻击：多执行几次，有时候执行一次可能失败。

![0e34dad9b1f2c0553466ec0083d81c13.jpeg][]

攻击成功(这张图是后来补的，信息可能不一致，但原理一样)。

看下权限是system最高权限，省去提权了。

![58dfd328d4c4962e6baa65e4e09208a1.jpeg][]

利用mimikatz来抓取密码：

![739413a1691a2a1885293a1b258ecb30.jpeg][]

获取到了管理员的密码，发现开了3389，直接走代理登录

![cb07e92f5e171cccedc36135ff147fb4.jpeg][]

![60d0ff0a8181ca0eac6b85bc9e23f29e.jpeg][]

发现了这个，虚拟机备份，这个可以使用本地认证，有搞头。。。

![3fbf5570121ad5e8e36eb2e37e81e948.jpeg][]

![53fd6158fc5c9cef1060785bdcb9b103.jpeg][]

还发现了群辉NAS

![c36739e104e94f48ca72bff37916b118.jpeg][]

3台Vcenter，虚拟机超多呀，粗略看了一下，几百台。。。。全部可以接管了

![3b5ac245af69213dacebdb3379c8700a.jpeg][]

### 0x06 总结 ###

1.通过搜索目标公司名称，查询公司的官网地址，并进行信息收集，发信对应的IP存在CDN服务，无法获取到公司真实地址，且公司的子域名处存在远程命令执行漏洞，拿下服务器权限。

2.通过冰蝎远程连接，并执行命令查询ip地址(ifconfig),发现IP地址都是内网地址，以及公网地址，查询公网地址但还是腾讯云IP

3.需要获取到目标公司的出口公网地址，这里我们可以让目标站点进行WEB服务宕机以及异常(需要授权，如关闭服务以及导致WEB服务流量异常)，那么运维人员就会登录堡垒机，并登陆到腾讯云主机进行查看WEB服务。

4.这时候可以查看网络连接，并获取到目标公司的出口公网地址

netstat -lantp | grep ESTABLISHED

5.通过信息收集，发现目标公司公网的IP某个端口出，存在shiro反序化漏洞

6.执行命令查看IP地址，发现目标是内网地址:10.10.10.187,并测试是否通外网

ping www.baidu.com

10.通过frp+Proxifier或者proxychains进行socks5代理，这里需要设置frp的密码以及简单加密

12.通过proxifier加载fscan对目标内网进行端口扫描，发现10.10.10.105存在ms17-010

13.通过proxychains加载msf运行，并使用ms17-010模块进行攻击,并mimikatz获取明文

msf>use exploit/windows/smb/ms17\_010\_eternalblue

msf>set rhosts 10.10.10.105

msf>run

meterpter>getuid //显示是system权限

meterpreter>load\_kiwi //加载mimikatz

meterpreter>creds\_wdigest //获取hash值

14.获取到了管理员的密码，发现开了3389，直接走proxifier的socks5代理登录远程桌面

15.进入系统后发现有虚拟机，虚拟机中使用本地认证，登录虚拟机后，发现是群辉NAS

16.在群辉NAS中有vmware vsphere，其中有3台vcenter

原文链接：

[https://mp.weixin.qq.com/s?\_\_biz=Mzg4NTUwMzM1Ng==&mid=2247492954&idx=1&sn=412bbb64e880e6f63ba3ae05b2129eb0&chksm=cfa54149f8d2c85f3145e011edf2ec5b05b2d0614b0408d4d48ea8daa03087037228502c1686&scene=178&cur\_album\_id=1553386251775492098\#rd][https_mp.weixin.qq.com_s_biz_Mzg4NTUwMzM1Ng_mid_2247492954_idx_1_sn_412bbb64e880e6f63ba3ae05b2129eb0_chksm_cfa54149f8d2c85f3145e011edf2ec5b05b2d0614b0408d4d48ea8daa03087037228502c1686_scene_178_cur_album_id_1553386251775492098_rd]

[23c5819d54f0e423267812d089209325.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/cfa0f0d03ecc4b818a4b8ce226cf3116.jpeg
[fd5f9762ae8fb41ecec88a0772ee25ad.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/815e9d69d2f944b3bdd3c09348eafb2b.jpeg
[962b59596a6263529d4d1466d466ae46.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/13de283062274ef584eee8d84a7d1ae9.jpeg
[cf8cccf5a1d4d35e68ce61b2076edea5.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/bd1caff08f4c4b2aac4c0b6c519b0f20.jpeg
[67612ea1b2777bc61eaf397b0e14e08b.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6307606a7a8c45b28f227f5bcf3d59c4.jpeg
[e63d7ac48528001ba9c3273cbaae15c8.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/210ed29f6e9e4ccfac93a60c54b038a3.jpeg
[52c5afcaa90a1264624e5bbaf3337710.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/37fc40b03399457cb39ed0f445ce8975.jpeg
[f1b90547aed4e5abe5dc6b0c3c376fdf.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/dd0c5bdeac994f1bae5e61578332c590.jpeg
[60a95ba1c517c834b0ff2134ee9b1ada.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/6959ff4df8e4458585f7aa8ad1f6c899.jpeg
[2323ff8831b129dac6a76b16f328c954.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/92d119131b8f4f13926e699e29147194.jpeg
[95cbfa761b67bcd41732387eb84ae978.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/9d06a8a0ee554ee19f4a9632e4fa8192.jpeg
[0e34dad9b1f2c0553466ec0083d81c13.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/0ad90a57946d4c1a8125c7f9b9825bbc.jpeg
[58dfd328d4c4962e6baa65e4e09208a1.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/a2fa7c7895874c178b85a2faf2035761.jpeg
[739413a1691a2a1885293a1b258ecb30.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/20b3754cf0b44a0db45cfbb092601ce2.jpeg
[cb07e92f5e171cccedc36135ff147fb4.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/99db841bd4c34ce0a5255668357f025e.jpeg
[60d0ff0a8181ca0eac6b85bc9e23f29e.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/d335c56623684a6c861bc74f9a309c4e.jpeg
[3fbf5570121ad5e8e36eb2e37e81e948.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/1f91b3db3cc84c978673b654be62475f.jpeg
[53fd6158fc5c9cef1060785bdcb9b103.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/5cdda1b831b94201a8540fcc065d8d57.jpeg
[c36739e104e94f48ca72bff37916b118.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/fcf18a8896584fe3b8a63f8940f664bd.jpeg
[3b5ac245af69213dacebdb3379c8700a.jpeg]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/07/ff9eb7b36028484da9dc13daaad7d531.jpeg
[https_mp.weixin.qq.com_s_biz_Mzg4NTUwMzM1Ng_mid_2247492954_idx_1_sn_412bbb64e880e6f63ba3ae05b2129eb0_chksm_cfa54149f8d2c85f3145e011edf2ec5b05b2d0614b0408d4d48ea8daa03087037228502c1686_scene_178_cur_album_id_1553386251775492098_rd]: https://mp.weixin.qq.com/s?__biz=Mzg4NTUwMzM1Ng==&mid=2247492954&idx=1&sn=412bbb64e880e6f63ba3ae05b2129eb0&chksm=cfa54149f8d2c85f3145e011edf2ec5b05b2d0614b0408d4d48ea8daa03087037228502c1686&scene=178&cur_album_id=1553386251775492098#rd