如何通過WIFI滲透企業(yè)內(nèi)網(wǎng)?

責(zé)任編輯:editor005

作者:felix

2016-05-24 15:12:19

摘自:Freebuf

黑盒滲透測(cè)試意味著白帽子對(duì)目標(biāo)網(wǎng)絡(luò)一無所知。在經(jīng)過多次嘗試后,我們終于想辦法成功利用了漏洞,得到了一個(gè)本地管理員權(quán)限的shell。為了能夠持久訪問這個(gè)被攻破的系統(tǒng),我們創(chuàng)建了一個(gè)后門用戶,并將之添加到本地管理員組中。

  介紹

黑盒滲透測(cè)試意味著白帽子對(duì)目標(biāo)網(wǎng)絡(luò)一無所知。模擬黑客攻擊網(wǎng)絡(luò),并獲取敏感信息。進(jìn)一步,探索內(nèi)網(wǎng),識(shí)別內(nèi)網(wǎng)中的漏洞,通過漏洞訪問網(wǎng)絡(luò)里的重要資源。目的

在這篇文章中,我們假設(shè)白帽子不知道目標(biāo)網(wǎng)絡(luò)的任何信息。目的是獲取目標(biāo)網(wǎng)絡(luò)的敏感信息,獲取整個(gè)域,并攻破目標(biāo)網(wǎng)絡(luò)里的重要資源。讓們開始吧。條件

在開始審計(jì)之前,我們不知道目標(biāo)網(wǎng)絡(luò)里的任何信息,只能物理訪問目標(biāo)網(wǎng)絡(luò)的賓客區(qū)。開始攻擊

我們檢測(cè)可用的網(wǎng)絡(luò)連接。沒有可供我們連接的有線網(wǎng)接口。所以我們把注意力轉(zhuǎn)向了無線連接。

為了進(jìn)行無線網(wǎng)絡(luò)偵查,我們需要使用Kali Linux里的aircrack-ng工具集,以及Alfa無線網(wǎng)卡USB適配器。我們搭建好環(huán)境,查找可用的無線連接。

無線枚舉功能列出了賓客區(qū)可以訪問的一個(gè)隱藏的SSID“Corporate WLAN”。這個(gè)SSID使用了WPA2-PSK認(rèn)證機(jī)制,這是可以暴力破解的,這樣我們就可以訪問公司網(wǎng)絡(luò)了。

我們首先成功抓取“Corporate WLAN”SSID的握手包。

接著,我們想辦法破解握手包,從中獲取“Corporate WLAN”SSID的密碼。

 

  介紹

黑盒滲透測(cè)試意味著白帽子對(duì)目標(biāo)網(wǎng)絡(luò)一無所知。模擬黑客攻擊網(wǎng)絡(luò),并獲取敏感信息。進(jìn)一步,探索內(nèi)網(wǎng),識(shí)別內(nèi)網(wǎng)中的漏洞,通過漏洞訪問網(wǎng)絡(luò)里的重要資源。目的

在這篇文章中,我們假設(shè)白帽子不知道目標(biāo)網(wǎng)絡(luò)的任何信息。目的是獲取目標(biāo)網(wǎng)絡(luò)的敏感信息,獲取整個(gè)域,并攻破目標(biāo)網(wǎng)絡(luò)里的重要資源。讓們開始吧。條件

在開始審計(jì)之前,我們不知道目標(biāo)網(wǎng)絡(luò)里的任何信息,只能物理訪問目標(biāo)網(wǎng)絡(luò)的賓客區(qū)。開始攻擊

我們檢測(cè)可用的網(wǎng)絡(luò)連接。沒有可供我們連接的有線網(wǎng)接口。所以我們把注意力轉(zhuǎn)向了無線連接。

為了進(jìn)行無線網(wǎng)絡(luò)偵查,我們需要使用Kali Linux里的aircrack-ng工具集,以及Alfa無線網(wǎng)卡USB適配器。我們搭建好環(huán)境,查找可用的無線連接。

無線枚舉功能列出了賓客區(qū)可以訪問的一個(gè)隱藏的SSID“Corporate WLAN”。這個(gè)SSID使用了WPA2-PSK認(rèn)證機(jī)制,這是可以暴力破解的,這樣我們就可以訪問公司網(wǎng)絡(luò)了。

我們首先成功抓取“Corporate WLAN”SSID的握手包。

接著,我們想辦法破解握手包,從中獲取“Corporate WLAN”SSID的密碼。

現(xiàn)在我們已經(jīng)訪問了目標(biāo)的公司內(nèi)部網(wǎng)絡(luò),我們進(jìn)一步枚舉網(wǎng)絡(luò),尋找在這個(gè)網(wǎng)絡(luò)中立足的方法。

為了識(shí)別潛在的攻擊面,我們查看目標(biāo)網(wǎng)絡(luò)的IP地址、域以及郵件服務(wù)器。因?yàn)檫\(yùn)行了DHCP,我們已經(jīng)有了一個(gè)IP地址,一個(gè)簡(jiǎn)單的“nslookup”命令就可以暴露目標(biāo)域的名稱服務(wù)器,這有助于進(jìn)一步的枚舉。

然后,我們開始執(zhí)行基本的網(wǎng)絡(luò)發(fā)現(xiàn)掃描,枚舉出名稱服務(wù)器的網(wǎng)絡(luò)范圍。(比如*.*.40.1-254).為此,我們將使用netscan工具。netscan在執(zhí)行網(wǎng)絡(luò)偵查方面非常有用。它有一個(gè)非常簡(jiǎn)單的接口,檢查常用的端口,支持憑證登錄,并且以用戶友好的格式輸出結(jié)果。

我們可以在這個(gè)網(wǎng)段內(nèi)看到多個(gè)目標(biāo)系統(tǒng)。這些系統(tǒng)包括Web服務(wù)器,數(shù)據(jù)庫和應(yīng)用程序服務(wù)器等等。大部分系統(tǒng)都開放了RDP 3389端口,這對(duì)我們遠(yuǎn)程訪問這些系統(tǒng)很有幫助。

同時(shí),記住具有高價(jià)值的目標(biāo)的IP地址也非常重要,這在后面的post-exploitation階段將非常有用。漏洞評(píng)估

現(xiàn)在有了很多目標(biāo),我們需要仔細(xì)分析脆弱的目標(biāo),然后進(jìn)行攻擊。

在這一階段,我們?cè)u(píng)估這些系統(tǒng)上可以被利用的潛在漏洞。使用著名的工具,比如Nessus和Open VAs,來進(jìn)行漏洞評(píng)估。在漏洞評(píng)估時(shí),我們注意到這里面許多系統(tǒng)運(yùn)行著過時(shí)的第三方軟件和操作系統(tǒng),這些容易成為被攻擊的目標(biāo)。這個(gè)過程會(huì)比較耗時(shí),因?yàn)樽詣?dòng)化工具發(fā)現(xiàn)的許多漏洞都是誤報(bào),所以有必要仔細(xì)評(píng)價(jià)這些漏洞。

漏洞評(píng)估暴露出許多潛在的漏洞,其中之一便是MS09-050漏洞,我們接著會(huì)嘗試?yán)眠@個(gè)漏洞。漏洞利用

我們將使用著名的Windows漏洞(MS09-050,SMBv2允許任意代碼執(zhí)行),可以在這里找到。這個(gè)機(jī)器明顯長(zhǎng)時(shí)間沒有維護(hù),所以沒有打補(bǔ)丁。

在經(jīng)過多次嘗試后,我們終于想辦法成功利用了漏洞,得到了一個(gè)本地管理員權(quán)限的shell。

為了能夠持久訪問這個(gè)被攻破的系統(tǒng),我們創(chuàng)建了一個(gè)后門用戶,并將之添加到本地管理員組中。

現(xiàn)在我們可以使用后門用戶登錄這個(gè)系統(tǒng),然后進(jìn)一步枚舉這個(gè)系統(tǒng)。后滲透

現(xiàn)在我們進(jìn)入了一個(gè)域系統(tǒng),并且添加了一個(gè)后門用戶。讓我們對(duì)這個(gè)系統(tǒng)進(jìn)行后滲透攻擊(post-exploitation)。我們的目的是拿到這個(gè)系統(tǒng)本地administrator的密碼,然后檢查是否能夠用這個(gè)憑證登錄域內(nèi)的其它系統(tǒng)。

Mimikatz是一個(gè)著名的工具,它可以從LSASS中獲取明文密碼。然而,目標(biāo)系統(tǒng)運(yùn)行了殺軟,它封鎖了Mimikatz。而且,這個(gè)殺軟使用了密碼保護(hù),意味著我們不能禁用它,也不能在白名單中添加mimikatz。

所以,我們決定使用Meterpreter shell來獲取密碼hash。為了得到meterpreter shell。我們將會(huì)創(chuàng)建一個(gè)惡意的Meterpreter載荷,在我們的攻擊機(jī)上運(yùn)行一個(gè)handler。現(xiàn)在我們把惡意的Meterpreter載荷放到我們攻擊機(jī)的web服務(wù)器上,在攻破的系統(tǒng)上使用瀏覽器訪問這個(gè)文件。

  現(xiàn)在我們有了攻破系統(tǒng)的Meterpreter shell。我們可以獲取hash了。

在得到administrator的hash后,成功破解了這個(gè)hash。提升權(quán)限

現(xiàn)在我們有了一個(gè)域系統(tǒng)的本地administrator憑證。下一步就是看能不能用這個(gè)憑證訪問其它的系統(tǒng)。我們?cè)俅问褂胣etscan查找使用本地administrator憑證登錄的目標(biāo)。

正如我們看到的,域中許多其它系統(tǒng)使用了相同的用戶名和密碼。這意味著我們已經(jīng)成功攻破了域里面多個(gè)系統(tǒng)。

接著,我們使用本地administrator憑證登錄這些系統(tǒng),用Mimikatz從這些系統(tǒng)中獲取明文口令。本地administrator密碼可以解鎖殺軟,并且可以暫時(shí)禁用它。下面的截屏顯示了mimikatz命令的輸出。如此,我們想辦法從這些受影響的系統(tǒng)中收集到了多個(gè)域用戶的憑證。

  提升至域管權(quán)限

最后一步是把我們的后門用戶的權(quán)限提升至域管理員,控制整個(gè)域。

在上一步,我們獲取了許多域用戶。其中之一便是域管理員。我們使用這個(gè)憑證登錄域控系統(tǒng),把我們的后門用戶添加到域中,然后提權(quán)讓它成為域管。

通過登錄活動(dòng)目錄,查看后門用戶的訪問權(quán)限。我么可以確定它是域管理員了。

 

訪問高價(jià)值目標(biāo)

現(xiàn)在我們成為了域管理員,我們將訪問網(wǎng)絡(luò)中高價(jià)值的目標(biāo),揭示攻擊的嚴(yán)重性。

在信息收集階段,我們發(fā)現(xiàn)了目標(biāo)網(wǎng)絡(luò)的郵件服務(wù)器。MS-Exchange 2013是用來管理郵件服務(wù)器的。這意味可用鏈接來訪問Exchange管理中心。

我們使用域管的憑證登錄Exchange管理中心。我們現(xiàn)在可以讓自己作為任何用戶的代表,訪問他們的郵箱。這意味著我們能夠訪問目標(biāo)網(wǎng)絡(luò)中頂級(jí)主管的郵件。

  結(jié)論

在這篇文章中,我們看到了一個(gè)完整的滲透測(cè)試周期,我們一開始對(duì)這個(gè)機(jī)構(gòu)一無所知,后來想辦法進(jìn)入了它的網(wǎng)絡(luò),攻破了一個(gè)域系統(tǒng),拿到了administrator的hash,在破解了這個(gè)hash之后,我們能夠突破多個(gè)系統(tǒng),最后突破了域控。為了持久訪問,我們創(chuàng)建了一個(gè)后門用戶,把它加入域管。并且為了證明攻擊的嚴(yán)重性,我們完全控制了用戶的郵箱。

一次黑盒滲透測(cè)試暴露了整個(gè)機(jī)構(gòu)的真實(shí)的安全情況。它幫助機(jī)構(gòu)理解攻擊怎樣發(fā)生,如果攻擊成功,會(huì)對(duì)運(yùn)營造成多壞的影響。因此,周期性的審計(jì)對(duì)一個(gè)機(jī)構(gòu)來說是非常重要的。

從滲透測(cè)試者的角度看,黑盒滲透測(cè)試是一次挑戰(zhàn)和練習(xí)。他不僅測(cè)試了你的知識(shí),還測(cè)試了你在困難條件下創(chuàng)造性思考的能力。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)