安全矩阵

 找回密码
 立即注册
搜索
查看: 1550|回复: 0

实战 | 记一次Everything服务引发的蓝队溯源

[复制链接]

252

主题

252

帖子

1307

积分

金牌会员

Rank: 6Rank: 6

积分
1307
发表于 2022-7-26 11:23:34 | 显示全部楼层 |阅读模式
原文链接:实战 | 记一次Everything服务引发的蓝队溯源


0X01 前言

事情的起因非常有趣,我的一位学长最近在研究的时候发现了好一批部署在公网上的everything服务,并且找到了非常多好玩的东西(包括但不限于某些涩涩,咳,扯远了)。本文也是因为这些everything服务而一时兴起的“伪溯源”。本文有很多的姿势和思路来源于我的学长,鸣谢@T1ngtu0
0X02 一位黑客把everything部署在公网,这是他服务器发生的变化

这个开头也许有些兄弟就会云里雾里,everything大家都知道,快速检索文件的神器。但是这玩意怎么部署在公网上呢?其实everything有一些配置,一旦开启这些配置,就可以在WEB界面上使用Everything了。这个点非常有趣,因为它也是一种权限维持的手法。具体的文献我贴在下面,有需要的师傅可以学习一波
  1. <code>https://www.freebuf.com/sectool/261723.html</code><code>
  2. https://www.freebuf.com/articles/terminal/246682.html</code>
复制代码


总之,这不是我们这篇文章的重点,everything web界面看起来是这样的(这就是我们今天的受害者了)
编辑

就在我查看这些everything资产研究人生百态的时候,我发现了这么一个有趣的服务器。
编辑
嗯。。。在桌面上发现的这些东西似乎证明这位兄台是一个网络管理员,但是我定睛一看,桌面上一个熟悉的文件夹引起了我的注意
编辑
难不成世界上还有第二个CobaltStrike?这人不会也是搞网安的罢?怀着难以置信的心情,我查了查其它常用的工具
编辑
编辑
编辑

都到这份上了,我只能说懂得都懂了。这搞网安的人,就这么把everything堂而皇之的放在公网上,这安全意识没谁了。
0X03 模拟蓝队溯源

我研究的方向是渗透测试和红队相关的技术,突然让我来搞溯源,这还真有点难顶。没有蓝队的技术栈,那我就只能以红队的视角来尝试了。做蓝队的师傅看个笑话就行。
首先抛开这个everything服务不谈,我们先来看看这个服务器是否开放了其他服务。
编辑
由于对方使用的是CS4.0并且没有经过任何修改,所以fofa等测绘引擎可以直接识别到beacon指纹,这就进一步佐证了这人在服务器上使用过CS。同时不难注意到,这台服务器上使用了ssh以及rdp服务,如果我们能搜集到凭据,那么就有机会直接打穿。
话不多说,我首先想到的其实是Powershell History,这也是凭据搜集阶段常常会看的东西。它的保存路径如下

%USERPROFILE%\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt
细看了一波,本意其实是想找到Teamserver相关的账密的,这里没找到,但是仍然发现了很多有趣的东西
首先是这个shadowsocks 的 config.json配置文件里可能找到账密
编辑
其次是我们发现这位仁兄使用scp命令往别的服务器拷贝了文件,这或许会成为另外的突破口
编辑

同时通过翻Desktop的文件,找到了一个配置文件,结合这个域名,不难推测这就是这位兄弟的真名
编辑
通过查找config.json相关的文件,我们找到了挺多包含密码的东西
编辑
编辑
但是后续发现还是登不上ssh和rdp,故先作罢。查找Weixin等关键词,发现这台电脑上安装了微信、QQ
编辑

从中可以找到这台主机上曾经登录过的两个QQ
编辑

这里放出一个来意思意思,另外一个因为涉及到对方单位的信息,还是不截图放出来了。总之通过下面这个图的信息可以给这个服务器的主人简单画像。他是某某学校的老师(通过另一个QQ号的信息已经定位到了是哪个学校)
编辑
既然是老师,那么电脑上肯定有非常多别的与教学相关的文件,以及学校内部的一些文件。这里尝试查找.doc .docx .xlsx等文件。
编辑
进一步可以得到一个更精确的画像。这位老师教的东西主要和网络管理员有关。在另一份文件里,找到了大量老师的名字。
编辑
其中还找到了大量保存学生信息的表格,不过这和我们这篇文章没啥关系,后续也利用不上,这里就不放出来了。
还有哪里可以获取凭据呢?我突发奇想,如果这人用CS在本机上做过实验,使用mimikatz提取过凭据,那么相关的信息就会保存在CS的log文件夹里。翻一翻说不定会有收获
编辑
可以看到雀食有收获,但是这个NTLM HASH解不出来。白搭。
还有哪里可以进一步获取凭据呢?我找了一下常见的浏览器,发现了火狐
编辑

有这个就好办多了,firefox的凭据可以离线解密,详情可以参考这篇文章

https://blog.csdn.net/weixin_46081055/article/details/119413505
编辑
编辑
把这俩玩意下载下来解密即可。
编辑
最终解密得到这位兄弟的私人QQ号以及私人手机号,加上常用密码以及规律。
编辑

使用该密码,可以登录他注册过的大量网站,比方说
编辑
再比方说他写过的语雀文档
编辑
可以看到这人雀食是xx学校的老师,甚至还教学生渗透。类目,我还是自学的CS呢,不见有人教我。
这些密码甚至还能登录上这兄弟的腾讯云(这里是不是挂代理,把IP挂到这个老师常用登录城市就行了?)
编辑

0X03 结语

自己就是做安全的,居然会犯下把everything直接部署在公网上这种低级错误,属实是不应该。如果给蓝队溯源到这个C2服务器,估计底裤都被看穿了。


回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2024-3-29 05:29 , Processed in 0.014840 second(s), 18 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表