记一次曲折的渗透测试 - 九思OA系统渗透分析报告

1. 目标识别与信息收集

1.1 目标系统识别

• 目标系统：某单位办公系统
• 系统类型：九思OA系统
• 界面特征：界面较老，推测可能存在未修复漏洞

1.2 初始信息收集方法

1. 使用搜索引擎查找公开的九思OA漏洞信息
2. 收集系统版本信息
3. 识别系统开放端口和服务

2. 漏洞研究与利用

2.1 已知漏洞搜索

• 通过搜索引擎查找"九思OA漏洞"、"九思OA POC"等关键词
• 在漏洞平台(如CNVD、Seebug等)查找相关漏洞

2.2 发现的漏洞类型

1. SQL注入漏洞

   • 存在于特定接口或参数
   • 可能导致数据库信息泄露

2. 文件上传漏洞

   • 未严格限制上传文件类型
   • 可能绕过上传限制

3. 弱口令漏洞

   • 默认账户可能存在弱口令
   • 常见默认账户：admin/admin等

2.3 漏洞验证步骤

1. 使用Burp Suite拦截请求
2. 修改关键参数测试注入点
3. 尝试上传特殊构造的文件
4. 测试默认账户和常见弱口令

3. 渗透过程详解

3.1 初始访问获取

1. 通过发现的漏洞获取初步权限

   • 可能是通过SQL注入获取管理员凭据
   • 或通过文件上传获取Webshell

2. 权限提升方法

   • 利用系统配置不当
   • 利用服务漏洞提升权限

3.2 内网横向移动

1. 网络拓扑探测

   • 使用工具扫描内网其他主机
   • 识别关键服务器(域控、文件服务器等)

2. 凭证收集

   • 从内存中提取凭据
   • 查找配置文件中的敏感信息

3. 横向移动技术

   • Pass-the-Hash攻击
   • 利用共享资源漏洞

4. 权限维持技术

4.1 后门植入

1. Webshell维持

   • 隐藏型Webshell(如图片马、特殊编码)
   • 定时任务维持访问

2. 系统账户创建

   • 添加隐藏管理员账户
   • 修改现有账户权限

4.2 隐蔽通信

1. DNS隧道技术
2. HTTP/HTTPS隐蔽信道
3. 合法服务滥用(如云存储服务)

5. 痕迹清理与反取证

5.1 日志清除

1. Web日志清理

   • 删除特定IP的访问记录
   • 清除错误日志

2. 系统日志处理

   • 清除安全事件日志
   • 修改日志时间戳

5.2 反取证技术

1. 文件时间戳修改
2. 内存痕迹清除
3. 使用加密通信避免监控

6. 防御建议

6.1 漏洞修复建议

1. 及时更新系统补丁
2. 修复已发现的SQL注入和文件上传漏洞
3. 禁用或修改默认账户

6.2 安全加固措施

1. 实施最小权限原则
2. 部署Web应用防火墙(WAF)
3. 启用详细的日志记录和监控

6.3 安全意识培训

1. 定期进行安全培训
2. 建立安全事件响应流程
3. 实施严格的密码策略

7. 总结与反思

本次渗透测试展示了从外部攻击到内网横向移动的完整过程，强调了以下关键点：

1. 老旧系统往往存在已知漏洞
2. 默认配置和弱口令是常见突破口
3. 多层防御体系的重要性
4. 持续监控和日志分析的必要性

通过这次测试，验证了"攻击者只需要找到一个漏洞，而防御者需要堵住所有漏洞"的安全理念。