网安初学者的简单溯源反制

初学者的文章 大佬勿笑..也希望有大佬指点一二，虚心请教，爱你们（这篇文章拖了很久很久了）

风和日丽的一天，远控查看服务器，发现又有攻击告警信息….我滴天，不就是之前搞了一点钓鱼有必要嘛..

查了下IP-发现用的是国内的企业专线IP??  嗯这么大胆？有点怕蜜罐..管他的 用服务器"试试看"..

微步查看ip行为等、goby探测其开放端口内容（goby虽慢但细啊）

扫一下端口信息，发现开了很多web，这下就有的玩了

Shiro服务器管理员权限

8091端口发现了shiro特征

直接shiro工具传马梭哈

拿到服务器管理员权限

找到todesk配置信息

通过本地替换配置文件看到密码为Aa123456.

得到clientid设备代码为228491349,连接，如下图：

好的 卡在这了 不晓得密码咋玩 （跪求指导），挖挖其他的

Sql注入

2345端口发现web服务-找到登录口的SQL注入漏洞

Sqlmap找到数据库

这个postgresql数据库我不熟 好像每次都是打出public数据库 望大佬留言说一下这个是个啥库

 

2300端口存在Git信息泄露

http://121.10.xxxxxx:2300/.git/config

文件中有指向一个IP 查到IP归属东莞xxxx有限公司        盲猜他们客户的IP资产

信息泄露->MySQL数据库

获取到服务器权限之后 开始翻文件..太菜..对数据库文件不是很敏感，还没有那种肌肉记忆，也只能是漫无目的去一个个点....

（希望有大哥能分享这种找敏感文件的小技巧）

server.port=8091

spring.datasource.druid.driver-class-name=com.mysql.cj.jdbc.Driver

spring.datasource.druid.url=jdbc:mysql://127.0.0.1:3308/borekm?useUnicode=true&characterEncoding=utf-8&allowMultiQueries=true

spring.datasource.druid.username=borekm

spring.datasource.druid.password=borekm

探测数据库服务开启，立马navicat

找到web账号密码

登录成功

web系统内也没啥玩意..但有一个执行器，联想到了xxl那个任务调度平台的执行器反弹shell漏洞

但是执行类有些许的不同，试了试反弹shell没成功..看大佬们有什么思路可拿shell没..

隧道

 

到这我还能干啥  desk上了、敏感文件搞了、接下来只会隧道了呗..

搭建ksa隧道（折磨了几天  才知道目标机Linux系统生成服务，我win机子连接也是可以的）

连通截图

上传fscan_amd64

通过ifconfig查询内网ip信息，发现存在多个网段信息

192.168.122.1、192.168.127.32

将两个网络的c段都初步跑了一下，将结果生成并下载到本地查看

其中192.168.127网段的内容最”丰富”，那就针对此网段继续测试..

数据库弱口令

mssql:192.168.127.232:1433:sa sa123456

先连接数据库弱口令

靠北 一个web系统数据加密了

想着泄露了用户名  单独去爆破一手密码，结果数据包也加密…

好在其数据不是都加密了  马上找到一个名为SAP RFC连接的账号密码

百度一下连接方法，没看懂 跳过…

数据库加密账密+ip

Ssh弱口令

192.168.127.7:22:root 123456

Root权限

rdp弱口令

rdp://Administrator:123456@192.168.127.6:3389

好家伙 终于不锁屏了  但是是不是动作有点大了...草，赶紧下机

这里应该就可以翻文件翻一些浏览器记录什么的，但是当时没操作 后续又关站就没深入了，我把自己仅存思路放这了。

后续还有一些ms17-010当时没敢打，但是有位佬跟我说："蓝屏咋了,我win10机子一样天天蓝屏，瞬间醒悟了，下次"勇敢点试试"，哈哈

还有一些headump信息泄露，也是通过heapdump_tool.jar拿到一些数据库的账密但没什么太大用，还有一个华为的secret，最近才接触云接管什么的，oss工具接管华为云除了ak sk好像还有一个地址什么的要填吧，我就想用visualvm查看一下泄露的文件位置，查看一下地址但没找到...

中途也是因为太多工作上的事情了就没玩了   后续再想玩发现关站删马了（反思下次应该得留个门啥的）

 

 

 

 

 

 

 

 

 

 

原文始发于微信公众号（符符要努力）：网安初学者的简单溯源反制