xxxx 咨询服务渗透测试.doc

密 级 商密 文档编号 项目代号 xxxx 有限公司内网安全咨询服务项目有限公司内网安全咨询服务项目 渗透测试报告渗透测试报告 Version 1 0 0 2 上海上讯信息系统工程有限公司 2009 09 保密申明保密申明 本安全方案包含了来自上讯可靠 权威的信息 此信息仅作为九禾股份有 限公司信息系统内网安全服务咨询项目渗透测试报告 接受本报告即表示同 意对其内容保密并且未经上讯 SXIS 书面请求和书面认可 不得向外界复制 泄露或散布此方案 如果你不是有意接受者 请注意对本方案内容的任何形 式的泄露 复制或散布都是被禁止的 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 2 页 共 27 页电话 021 51905928 传真 021 5190595 文档信息表文档信息表 文档基本信息文档基本信息 项目名称项目名称xxxx有限公司内网安全咨询服务项目 文档名称文档名称xxxx有限公司内网安全咨询服务项目渗透测试报告 文档版本文档版本 1 0 0 2 是否为正式交付件是否为正式交付件否 文档创建日期文档创建日期 2009 09 09 当前修订日期当前修订日期 2009 09 16 保密级别保密级别商密文档审批要求文档审批要求是 文档审阅信息文档审阅信息 审阅人审阅人职务职务审阅时间审阅时间审阅意见审阅意见 吴海波高级安全咨询顾问 2009 09 17 根据专家顾问组意见继续修订 文档批准信息文档批准信息 批准人批准人职务职务批准时间批准时间批准意见批准意见 黄永飞安全服务项目经理 2009 09 19 1 0 0 2版本作为正式版递交用户 文档修订信息文档修订信息 版本版本修正章节修正章节日期日期作者作者变更记录变更记录 1 0 0 0 全部 2009 09 09 杨立创建文档 1 0 0 1 部分章节 2009 09 11 王晖东文档标准化 1 0 0 2 部分章节 2009 09 17 黄永飞修订文档 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 3 页 共 27 页电话 021 51905928 传真 021 5190595 目 录 文档信息表 2 目 录 3 1概述 4 1 1 目标 4 1 2 范围 4 1 3 可行性分析 5 1 3 1渗透测试原理 5 1 3 2渗透测试的必要性 5 1 4 渗透测试的可行性 5 1 4 1渗透测试对现有信息资源的要求 5 1 4 2渗透测试的方法 6 1 4 3渗透的具体手段 6 1 4 4渗透过程中使用的工具 6 1 4 5渗透测试前后系统的状态 7 1 5 渗透测试的方法 7 2渗透结果 8 2 1 服务器部分 8 2 1 1192 168 0 2 8 2 1 2192 168 0 5 11 2 1 3192 168 0 6 13 2 1 4192 168 0 12 14 2 1 5192 168 0 11 15 2 1 6192 168 0 10 17 2 1 7192 168 0 58 18 2 1 8192 168 2 2 20 2 1 9192 168 2 3 23 2 1 10 192 168 8 3 24 2 2 网络设备 27 2 2 1网络设备渗透思路 27 2 2 2192 168 0 240 27 2 2 3192 168 2 253 28 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 4 页 共 27 页电话 021 51905928 传真 021 5190595 1 概述概述 1 1目标目标 为了了解 xxxx 网络系统的安全现状 在许可与可控制的范围内 对 xxxx 的网络系统进行渗透测试 从攻击者的角度来对 xxxx 网络系统的安全程度进行 评估 1 2范围范围 渗透测试的范围仅限于经过 xxxx 以书面形式进行授权的服务器 网络应用 系统 使用的手段也经过客户的书面同意 上海上讯信息系统工程有限公司承 诺不会对授权范围之外的网络主机设备和数据进行测试 模拟攻击 测试范围 类型类型业务功能业务功能IPIP 地址 内部 地址 内部 邮件服务器 192 168 2 3 安盟认证服务器 192 168 2 2 对外服务器 虚拟机应用服务 测试系统 WEB 网站等 192 168 0 58 用友 网管软件服务器 192 168 0 2 文件 瑞星病毒服务器 192 168 8 3 ERP 系统 Oracle 数据库 192 168 0 5 ERP 系统 金蝶 EAS 192 168 0 6 备份管理服务器 192 168 0 10 磁带库 192 168 0 11 内部服务器 测试机 192 168 0 12 核心交换机 192 168 0 240 网 络 设 备 Array VPN 网关 192 168 2 253 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 5 页 共 27 页电话 021 51905928 传真 021 5190595 1 3可行性分析可行性分析 1 3 1渗透测试原理渗透测试原理 渗透测试主要依据已经发现的安全漏洞 模拟黑客的攻击方法对系统和网 络进行非破坏性质的攻击性测试 1 3 2渗透测试的必要性渗透测试的必要性 渗透测试利用安全扫描工具和富有经验的安全工程师人工对网络中的主要 服务器及重要的应用系统等进行非破坏性质的模拟黑客攻击 目的是侵入系统 并获取机密信息并将入侵的过程和细节产生报告给用户 由此确定用户系统所 存在的安全威胁 并能及时提醒安全管理员完善安全策略 降低安全风险 渗透测试和工具扫描可以很好的互相补充 工具扫描具有很好的效率和速 度 但是存在一定的误报率 不能发现高层次 复杂的安全问题 渗透测试需 要投入的人力资源较大 对测试者的专业技能要求很高 渗透测试报告的价值 直接依赖于测试者的专业技能 但是非常准确 可以发现逻辑性更强 更深 层次的弱点 1 4渗透测试的可行性渗透测试的可行性 1 4 1渗透测试对现有信息资源的要求渗透测试对现有信息资源的要求 渗透测试主要针对服务器系统进行 因此将占用服务器系统及其所在的网 络环境的部分资源 对于其他的资源没有特殊的要求 1 4 2渗透测试的方法渗透测试的方法 黑客的攻击入侵需要利用目标网络的安全弱点 渗透测试也是同样的道理 它模拟真正的黑客入侵攻击方法 以人工渗透为主 辅助以攻击工具的使用 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 6 页 共 27 页电话 021 51905928 传真 021 5190595 这样保证了整个渗透测试过程都在可以控制和调整的范围之内 1 4 3渗透的具体手段渗透的具体手段 本次渗透主要以人工渗透为主 辅助以攻击工具的使用 口令猜测口令猜测 主要用工具辅助猜解用户口令 缓冲区溢出缓冲区溢出 会对系统造成一定的影响 渗透测试中建议不使用 WEBWEB 程序渗透程序渗透 对 WEB 程序做相关渗透 主要以人工渗透为主 如 SQL 注入漏洞 上传漏洞以及 WEB 程序在开发过程中的一些其他漏洞 数据库渗透数据库渗透 对 SQL SERVER oracle mysql 等的设置 用户口令等 做相关的渗透 其它方法其它方法 在实际渗透中 其它的一些方法 需和用户方确认 1 4 4渗透过程中使用的工具渗透过程中使用的工具 1 1 HscanHscan 扫描器主要用于在渗透过程中的扫描和弱口令猜测 2 2 FoundstoneEnterpriseFoundstoneEnterprise 一款商业漏洞扫描器 3 3 AppScanAppScan 扫描 web 应用的基础架构 进行安全漏洞测试并提供可行 的报告和建议 4 4 SSPort SSPort 端口扫描工具 5 5 putty putty SSH 连接工具 6 6 IISPutScanner IISPutScanner iis 写权限测试工具 7 7 其他 其他 1 4 5渗透测试前后系统的状态渗透测试前后系统的状态 由于采用可控的 非破坏性的渗透测试 不会对被评估的系统造成影响 在渗透测试结束后 系统将基本保持一致 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 7 页 共 27 页电话 021 51905928 传真 021 5190595 1 5渗透测试的方法渗透测试的方法 本次渗透采用的方法主要可以分为 WEBWEB 脚本漏洞脚本漏洞 这是目前出现的主流攻击手段 对服务器的危害最严重 防不胜防 同时 又是一种对 WEB 程序知识 系统应用知识要求较高的一种渗透方法 口令猜测口令猜测 口令猜测也是一种出现概率很高的风险 几乎不需要任何攻击工具 利用 一个简单的暴力攻击程序和一个比较完善的字典 就可以猜测口令 对一个系统账号的猜测通常包括两个方面 首先是对用户名的猜测 其次 是对密码的猜测 远程溢出远程溢出 远程溢出主要是针对服务器系统或是第三方软件存在的远程溢出漏洞进行 攻击 从而得到相关的权限 达到攻击的目的 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 8 页 共 27 页电话 021 51905928 传真 021 5190595 2 渗透结果渗透结果 2 1 服务器部分服务器部分 2 1 1 192 168 0 2 渗透思路 渗透思路 使用工具扫描服务器端口获取端口开放信息 通过端口来了解服务器提供的 服务 并针对这些服务做安全检测 工具扫描 工具扫描 在渗透 192 168 0 2 用友 网管软件服务器 时 首先使用端口扫描器 SSPort 对服务器进行端口扫描 扫描结果如下图 图 图 192 168 0 2192 168 0 2 端口开放情况端口开放情况 手工测试 手工测试 通过手工测试发现 服务器 192 168 0 2 的 8000 端口为 WEB 服务端口 九 禾内部信息网 对该 web 程序进行测试发现存在任意文件下载漏洞 如下图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 9 页 共 27 页电话 021 51905928 传真 021 5190595 图 下载任意文件漏洞 地址中的变量 id 即为文件的路径 通过改变变量 id 来下载 web 上的任意 文件 可通过下载网站的数据库链接文件获得 mssql 连接账号和密码 如下图 图 图 sqlsql 连接账号和密码连接账号和密码 漏洞利用 漏洞利用 使用 sql 查询分析器连接 mssql 上执行命令 测试发现不能直接执行存储过 程 xp cmdshell 执行系统命令 最后改用沙盒提权方式获得系统权限 如下图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 10 页 共 27 页电话 021 51905928 传真 021 5190595 图 使用查询器连接图 使用查询器连接 sqlsql 沙盒提权方式原理 Access 可以调用 VBS 的函数 以 System 权限执行任意 命令 但是 Access 执行这个命令是有条件的 需要修改注册表中一个默认关闭 的项 结合下载漏洞获取得到的 sa 账号和密码 连接 mssql 执行存储过程 xp regwrite 来修改注册表 具体语句为 Exec master xp regwrite HKEY LOCAL MACHINE SOFTWARE Microsoft Jet 4 0 Engines SandBoxMode REG DWORD 0 再通过执行下列 sql 语句来执行系统命令 select from openrowset microsoft jet oledb 4 0 database c winnt system32 ias ias mdb select shell cmd c 系统命令 通过上面的步骤添加系统用户并成功登陆服务器的远程桌面 如下图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 11 页 共 27 页电话 021 51905928 传真 021 5190595 图 图 192 168 0 2192 168 0 2 终端终端 最终渗透获取 192 168 0 2 用友 网管软件服务器 管理员权限 2 1 2 192 168 0 5 渗透思路 渗透思路 在已经获取管理员权限的服务器 192 168 0 2 上发现装有 FlashFXP 软 件 而 FlashFXP 软件存在通过配置文件获取密码的漏洞 具体操作为 把 FlashFXP 上的管理站点的配置文件 Sites dat 下载回本地 并覆盖本地 FlashFXP 的 Sites dat 文件 再通过星号查看器获取明文密码 图 图 FlashFXPFlashFXP 站点链接信息站点链接信息 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 12 页 共 27 页电话 021 51905928 传真 021 5190595 漏洞利用 漏洞利用 通过星号查看器获取了 ftp 的明文密码 测试发现成功连接到服务器上 如下图 图 图 192 168 0 5192 168 0 5 ftpftp 登陆情况登陆情况 使用该账号和密码利用 SSH 成功登陆到了此服务器 并通过查询发现还具 有系统管理员权限 如下图 图 图 192 168 0 5192 168 0 5 SSHSSH 登陆情况登陆情况 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 13 页 共 27 页电话 021 51905928 传真 021 5190595 2 1 3 192 168 0 6 渗透思路 渗透思路 在渗透 192 168 0 6 ERP 系统 金蝶 EAS 时 使用渗透 192 168 0 5 同样的 方法 测试发现使用得到的 ftp 账号和密码也成功登陆 且具有系统管理员权 限 如下图 图 图 192 168 0 6192 168 0 6 SSHSSH 登陆情况登陆情况 至此 获取到 ERP 系统 金蝶 EAS 的系统权限 在拿到系统权限后 继续测 试发现服务器上的金蝶 Apusic Web 管理控制台使用的是默认密码 如下图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 14 页 共 27 页电话 021 51905928 传真 021 5190595 图 图 ApusicApusic WebWeb 管理控制台管理控制台 2 1 4 192 168 0 12 渗透思路 渗透思路 在渗透 192 168 0 12 测试机 时 使用渗透 192 168 0 5 同样的方法 测 试发现使用得到的 ftp 账号和密码也成功登陆 且具有系统管理员权限 如下 图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 15 页 共 27 页电话 021 51905928 传真 021 5190595 图 图 192 168 0 12192 168 0 12 SSHSSH 登陆情况登陆情况 至此 获取 192 168 0 12 测试机 的系统权限 2 1 5 192 168 0 11 渗透思路 渗透思路 磁带库主要是为业务系统的数据库提供网络备份功能 一般的渗透方法为 测试弱口令 工具扫描 工具扫描 在渗透 192 168 0 11 磁带库 时 使用工具对其扫描获得下面的结果 如 下图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 16 页 共 27 页电话 021 51905928 传真 021 5190595 图 图 192 168 0 11 扫描结果扫描结果 使用扫描得到的 ftp 账号密码成功登陆服务器 如下图 图 图 192 168 0 11 ftp 登陆情况登陆情况 漏洞利用 漏洞利用 扫描还发现磁带库开放了 23 端口 测试使用 ftp 的账号密码 telnet 到磁 带库 如下图 图 成功图 成功 telnet 192 168 0 11 至此 成功获取到磁带库的配置权限 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 17 页 共 27 页电话 021 51905928 传真 021 5190595 2 1 6 192 168 0 10 渗透思路 渗透思路 使用工具扫描服务器端口获取端口开放信息 通过端口来了解服务器提供 的服务 并针对这些服务做安全检测 工具扫描 工具扫描 在渗透 192 168 0 10 备份管理服务器 时 通过扫描了解服务器提供的 服务 如下图 图 图 192 168 0 10192 168 0 10 扫描情况扫描情况 服务器虽然开放了 80 端口 但是通过访问在 80 端口上并没有访问到具体 的 web 程序 服务器还开放了 3389 终端服务 通过弱口令测试未能成功 2 1 7 192 168 0 58 渗透思路 渗透思路 使用工具扫描服务器端口获取端口开放信息 通过端口来了解服务器提供的 服务 并针对这些服务做安全检测 工具扫描 工具扫描 在渗透 192 168 0 58 虚拟机应用服务 时 通过扫描器获取到部分端口 开放情况 如下图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 18 页 共 27 页电话 021 51905928 传真 021 5190595 图 图 192 168 0 58 扫描情况扫描情况 对服务器的 MSSQL 进行弱口令测试 未发现弱口令漏洞 通过内网扫描 192 168 0 58 上运行的虚拟机上运行着九禾 web 主站 IP 地址是 192 168 0 14 扫描结果如下图 图 图 192 168 0 14 扫描结果扫描结果 手工测试 手工测试 通过工具扫描和手工测试得知 九禾网站使用 Win2k3 Apache Mysql php 架 构 对主站测试结果如下 SQL 注入测试 没有发现注入漏洞 后台弱口令测试 未发现弱口令漏洞 上传测试 前台没有上传功能 XSS 跨站测试 网站存在跨站漏洞 具体原因为 网站在接受变量参数时 如果变量出错 会在页面上显示出用户提交的错误变量 程序没有对这个输出 变量做过滤导致 XSS 漏洞的产生 漏洞利用 URL 如下 E 3C iframe 3E xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 19 页 共 27 页电话 021 51905928 传真 021 5190595 图 主站图 主站 XSS 漏洞漏洞 通过图片可以看出 成功在页面上嵌入其他网站页面 跨站漏洞虽然不能直 接对网站构成威胁 但是可以通过跨站漏洞构造钓鱼页面 获取用户的敏感信 息 对服务器的 3306 Mysql 端口测试 服务器限制了 IP 连接 对服务器的 3389 终端服务 端口测试 未发现弱口令漏洞 2 1 8 192 168 2 2 渗透思路 渗透思路 使用工具扫描服务器端口获取端口开放信息 通过端口来了解服务器提供的 服务 并针对这些服务做安全检测 工具扫描 工具扫描 在渗透 192 168 2 2 安盟认证服务器 时 使用扫描器 Hscan 扫描得到以下 结果 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 20 页 共 27 页电话 021 51905928 传真 021 5190595 图 图 192 168 2 2 扫描结果扫描结果 漏洞利用 漏洞利用 通过扫描结果发现服务器存在 SQL 弱口令 使用查询分析器连接上去 如下 图 图 图 192 168 2 2 sql 连接连接 同渗透 2 1 1 章节中的服务器 192 168 0 2 方法一样 通过沙盒提权方式 获取系统权限 添加系统用户并登陆远程桌面 如下图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 21 页 共 27 页电话 021 51905928 传真 021 5190595 图 图 192 168 2 2 终端终端 渗透扩展 渗透扩展 利用工具 SAMInside 提取系统的 NT HASH 如下图 图 图 192 168 2 2 NT HASH 使用彩虹表破解 NT HASH 得到管理员的明文密码 使用这些明文密码去登 陆内网的其他终端服务器 并未获得成功 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 22 页 共 27 页电话 021 51905928 传真 021 5190595 2 1 9 192 168 2 3 渗透思路 渗透思路 使用工具扫描服务器端口获取端口开放信息 通过端口来了解服务器提供的 服务 并针对这些服务做安全检测 工具扫描 工具扫描 在渗透 192 168 2 3 邮件服务器 时 发现只有一个邮箱登陆页面 使用 工具扫描获取服务器信息 如下图 图 图 192 168 2 3192 168 2 3 扫描结果扫描结果 漏洞利用 漏洞利用 扫描结果显示有 POP3 弱口令 使用该弱口令登陆邮箱 如下图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 23 页 共 27 页电话 021 51905928 传真 021 5190595 图 邮箱登陆图 邮箱登陆 虽然这只是个测试邮箱 但是攻击者可以从这个邮箱中获取到更多的有用 的信息 甚至会造成公司内部重要信息的泄漏 2 1 10192 168 8 3 渗透思路 渗透思路 使用工具扫描服务器端口获取端口开放信息 通过端口来了解服务器提供的 服务 并针对这些服务做安全检测 工具扫描 工具扫描 在渗透 192 168 8 3 文件 瑞星病毒服务器 时 对服务器常用端口扫描 发现只开放了 80 web 端口 再利用 web 扫描工具扫描发现服务器运行着内网 安全管理及补丁分发系统 如下图 xxxx 有限公司安全咨询项目渗透测试报告 上海上讯信息系统工程有限公司 上海市浦东新区达尔文路 88 号 18 号楼上讯信息大厦 邮编 201203 第 24 页 共 27 页电话 021 51905928 传真 021 5190595 图 内网安全管理及补丁分发系统图 内网安全管理及补丁分发系统 webweb 登陆界面登陆界面 使用登陆界面上显示的默认账号和密码登陆测试 未能登陆成功 通过手工测试发现 该登陆页面由于没有对客户端提交的用户名过滤导致 SQL 注入漏洞的产生 如下图 图 注入获取管理员账号和密码图 注入获取管理员账号和密码 对注入漏洞获得的 md5 加密的密码破解 获得明文密码并成功进入该