渗透测试——从公有云到内网漫游

偏执的太偏执、 2021-07-25 23:27 519阅读 0赞

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70]

### 0x01 前言 ###

当一个企业把他的业务放到腾讯云或阿里云等公有云的时候，其是与企业的内网是不相通的，  
相当于逻辑隔离了(非物理隔离)，  
如果企业信息安全做的相对较好，不暴露VPN地址或者路由器或防火墙业务，  
信息收集的时候，是很难进精准定位到企业的内网使用的公网地址的。

这个时候，想要入侵内网相对困难。  
下面就介绍一下我从入侵公有云到渗透进内网进行漫游的实际渗透过程。

### 0x02 前期打点 ###

怎样入侵拿下云服务器的不是本文重点，故不做详细介绍，只简单介绍思路。  
根据公司名字，直接百度发现官网地址。根据官网地址进行了一波信息收集：  
1、发现站点使用了CDN，是腾讯云主机，ip是变化的，无法探测真实IP  
2、发现存在任意命令执行漏洞。直接RCE，拿下服务器权限。  
先看下ip地址

![在这里插入图片描述][20210519212331197.png]  
发现显示的是内网地址，这个时候，查看下真实的ip，虽然这个对接下来的内网渗透没什么diao用。

![在这里插入图片描述][20210519212347801.png]  
到此才发现是腾讯云，主机不在内网。

### 0x03 想办法打内网 ###

这个时候，我就要办法获取公司办公网的外网IP了，  
这个外网ip要么是防火墙的，要么是路由器的。怎么获取呢？  
我想到了一个办法，一般云主机，  
运维人员会通过ssh来进行管理，一般在上班时间，他们会连接进来，这个时候，就会获取到公司的真实公网IP。

教大家一个小技巧，如果是小公司，运维可能十天半个月都不会连上来，  
这个时候，我们就可以搞点“小破坏”，逼迫运维上线。

比如关闭它的web服务等等，大家千万注意两点：

1.动作不要太大，免得被运维发现被黑，当然你可以提前做权限维持，这里不做介绍。  
2. 没有“授权”，千万不要乱搞；没有授权，千万不要乱搞；没有授权，千万不要乱搞，  
3. 否则就会进局子吃免费的饭了，咋不能干违法的事，哈哈。

我们看看运维上线没：  
\[root@VM-0-13-centos~\]\# netstat -lantp | grep ESTABLISHED  
![在这里插入图片描述][20210519212503683.png]  
我们重点关注sshd进程，这个前面的公网IP就的运维所在公司的公网IP。  
我这里发现了两个。。。

### 0x04对上面的IP进行渗透 ###

同样繁琐的事情来一波，信息收集。。。  
发现了shiro发序列化漏洞，直接反弹shell了  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 1]  
直接进来了：

![在这里插入图片描述][20210519212543826.png]  
看一下内网地址：内网地址是10.10.10.187  
![在这里插入图片描述][20210519212556663.png]  
看看目标机器能否访问外网：  
![在这里插入图片描述][20210519212613877.png]  
最理想的状态，可以访问外网，接下来就可以开始代理进内网进行渗透了。

### 0x05 愉快的内网漫游 ###

frp+Proxifier代理搞起来，这里怎样搭建就不详细介绍了，可以自行谷歌。  
很简单，最好是socks5代理，并加密，躲一下AV的流量检测；  
也最好增加代理的密码，防止“别人”使用。  
我这里使用了修改版的frp，利用远程加载配置文件的方式，稍微躲避一下，增加一点点溯源的难度：

![在这里插入图片描述][20210519212647408.png]  
代理搭建完，接下来扫一下内网看看：  
![在这里插入图片描述][20210519212658767.png]  
有经典的MS17-010漏洞，其实还发现了很多其他的漏洞。  
就拿最好利用的MS17-010快速开始吧，而且是windows服务器，利用价值大，且拿下后，  
用服务器再做一层代理，连RDP可以快速结束战斗，一把梭。

我的msf是公网，利用proxychains代理一下，直接攻击。  
开始攻击：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 2]  
攻击成功（这张图是后来补的，信息可能不一致，但原理一样）

看下权限是system最高权限，省去提权了。  
![在这里插入图片描述][20210519212744771.png]  
利用mimikatz来抓取密码：  
![在这里插入图片描述][20210519212754500.png]  
获取到了管理员的密码

发现开了3389直接登录

![在这里插入图片描述][20210519212808153.png]  
发现了这个，虚拟机备份，这个可以使用本地认证，有搞头。。。  
发现了群辉NAS  
发现了3台Vcenter  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 3]  
虚拟机超多呀，粗略看了一下，几百台。。。。全部可以接管了  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 4]

感谢 黑猫老哥 提供 文章 【再次感谢 】

--------------------

QQ 1274510382  
Wechat JNZ\_aming  
商业联盟 QQ群538250800  
技术搞事 QQ群599020441  
解决方案 QQ群152889761  
加入我们 QQ群649347320  
共享学习 QQ群674240731  
纪年科技aming

网络安全 ,深度学习,嵌入式,机器强化,生物智能,生命科学。

叮叮叮：产品已上线 —>关注 官方-微信公众号——济南纪年信息科技有限公司  
民生项目：商城加盟/娱乐交友/创业商圈/外包兼职开发-项目发布/  
安全项目：态势感知防御系统/内网巡查系统  
云服项目：动态扩容云主机/域名/弹性存储-数据库-云盘/API-AIeverthing  
产品咨询/服务售后（同）

## 纸上得来终觉浅,绝知此事要躬行 ！！！   寻找志同道合伙伴创业中。。。抱团滴滴aming联系方式！! ##

--------------------

#### \#本文为广告系统自动投放广告 ####

#### \# 如有侵权 删改 请速速联系我们 ####

外包接单 程序代写

QQ群 ： 678653112

手机淘宝 扫描 淘宝店铺 ：![在这里插入图片描述][20210519210015646.png]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70]: /images/20210725/1ef19788e46e4fff9d0ac00342f3a3be.png
[20210519212331197.png]: /images/20210725/66cc1cc31b9a4df8b9192dc57bd54994.png
[20210519212347801.png]: /images/20210725/4601e6ff1fe44345aae8dd25d34bb3e7.png
[20210519212503683.png]: /images/20210725/976d836b3bc34e44afefd0942ed05819.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 1]: /images/20210725/413fa23ca60b488a86fb6f800c25bdbc.png
[20210519212543826.png]: /images/20210725/f6d573de7e3e45c89aac6db71f427cfd.png
[20210519212556663.png]: /images/20210725/b831e68cde3a4273b343004d10bedffb.png
[20210519212613877.png]: /images/20210725/0a3aaed79afc4d9ba52d93ccc019b85d.png
[20210519212647408.png]: /images/20210725/4be7845ada7847bebb2cf87f1af9b47a.png
[20210519212658767.png]: /images/20210725/0ade3c9da7ff40639bfb682826816ff2.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 2]: /images/20210725/6b72b1bf380547848c4a0622bd87d830.png
[20210519212744771.png]: /images/20210725/f6670bb759dc4f75b7a7ac4b4d12032f.png
[20210519212754500.png]: /images/20210725/226b9a10bead44dd8b0b69e937b859e6.png
[20210519212808153.png]: /images/20210725/1f08db10eb5f4a3099319962fc8f45cf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 3]: /images/20210725/21ad6a1df1e4475ab305d2d03cac3057.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzMzNjA4MDAw_size_16_color_FFFFFF_t_70 4]: /images/20210725/9473d5f69ae240d0b29deb097ef8e274.png
[20210519210015646.png]: /images/20210725/a64333c428cf4fe3ab1932abeb5c9004.png