【每日分享】小胖胖搞内网

首先照样是找域名的MX记录，从邮箱下手吧。

看到http://mail.马赛克.com/ 左上角的标识是中腾信。

我没听说过中腾信所以百度了一下，得到他的域名。

www.马赛克.com

通过工具比对，发现他们的邮件服务器竟然在一起。

IP.jpg

然后以我的经验来看，这种大公司下的小公司，开发都是用是总公司的邮箱，由于是coremail，没有登录验证码限制，所以导致了爆破的发生。

首先在百度收集了一些
liuli01
zhengchun01
yanfeng01
lishanshan01
wangyuqi01
huangchao01
xiongwei01
luming
luming01
zhangzhihua01
liuli01@马赛克.com
zhengchun01@马赛克.com
yanfeng01@马赛克.com
lishanshan01@马赛克.com
wangyuqi01@马赛克.com
huangchao01@马赛克.com
xiongwei01@马赛克.com
luming@马赛克.com
luming01@马赛克.com
zhangzhihua01@马赛克.com

发现你们的邮箱都喜欢在后面加一个01，然后带上这些用户名，和用中国前500汉字用户名+01跑起来，果断找到弱口令。

mima.jpg

进入邮箱之后就是一阵收集信息啊，各种VPN什么的，联系方式什么的。

也是各种明文密码在邮件里飞。
mingwen.jpg

一些内网地址和用户名密码等。
neiwangdizhi.jpg

UAT.jpg

此时邮箱里的密码已经很多了，包含了log服务器，全国各个分点的数据都传在这个服务器上。
FTP.jpg

logserver.jpg

数据内容也是极其敏感

log.jpg

然后找到了一位知心大叔发来的VPN账号密码，怕连接不上，还发了俩账号，真是之心大叔啊。
vpnmail.jpg

VPN.jpg

连上VPN，进入内部网络。

vpnlogin.jpg

vpnon.jpg

与此同时burp也没闲着，给我送回来了俩弱口令。继续邮箱收集信息。
jishumima.jpg

然后又在别的邮箱翻到了两个，注意是两个SFTP

SFTP.jpg
这里面都是合同签章等数据

SFTP2.jpg

走到这里，路就太多了，兵分几路。

一路nmap开始扫描B段，一路开始就收集到的信息进行扩大化。

首先是找到了SVN仓库的地址：
http://10.1.5.1:8989/usvn/

USVN是有web登陆界面的，没有验证码，也是N多个弱口令。

SVNmima.jpg
其中可以进入比较高权限的账户。

gaoliliadmin.jpg

然后SVNchekout一下，1.4GB的数据

check.jpg

注意，测试完成后check下来的代码等数据我会擦除。

代码量非常的大。

此IP还有个WIKI系统，也是弱口令
wiki.jpg

收集运维信息，有针对性的下手。

6074223.jpg

然后这边，nmap扫描得差不多了，开始进行内网大战。

首先是 http://10.1.3.1/ 项目管理系统 + 一个小SVN仓库

zentaoPMS没有验证码，也是有漏洞的。

很多个弱口令账户。进入管理员账户，拿个shell很简单。

pms rkl.jpg

zentao.jpg
拿到shell

http://10.1.3.1/zentao/xpz.php 密码 wooyun

提权什么都很简单（这里说明一下为什么会提权，拿到shell之后本该结束，但是当时我用hydra爆破SVN的验证，找不到密码，我想通过提权看看这台服务器上的仓库是什么，结果证明是个小仓库）

成功拿到服务器权限。

3.1 3389.jpg

然后就是拿着Nmap的报告开始进入各个系统，其中最重要的非jenkins莫属了。

admin弱口令 admin123

jenkins.jpg
这下有部署权了

然后能执行系统命令，ROOT权限。
ifconfig.jpg

相当于这台服务器也沦陷。

其次重要的就是你们的UAT系统，注意，不是测试系统，是线上的系统，线上的。

http://101.231.83.139:9999/SmallLoan/d7.main.MainM...

信用贷款系统，也是不设防，很多弱口令

UATrkl.jpg

线上数据

UAT2.jpg

查询处还存在注入

UAT SQLin.jpg

20多个数据库

还可以进入线上财务系统http://10.1.1.6:8081/eam-view/

guoenhua01 111111 也是很多弱口令

caiwu.jpg

HR系统（包括你们工号006的boss邮箱是弱口令也可以变相进入HR哦）

hr.jpg

还有声讯系统都能进

voice.jpg

还有你们技术组刚组建的系统

confluence.jpg

还有日志系统

访问地址： http://10.1.20.1 （有需要可以将访问地址映射到外网方便办公网络以外访问）
用户：　 kibana
密码： Kiba^8W2Hv*U

kibana.jpg

此时已经凌晨，吹过的牛逼总要提交吧，暂告一段落。

本文迁移自知识星球“火线Zone”