网络设备后渗透
2023-11-14 16:29:49 Author: 边界骇客(查看原文) 阅读量:24 收藏

前言:在渗透过程中我们往往会一不小心就拿下了网络设备,但是获得权限之后经常不知道该怎么做?怎么进行后渗透,本文简单来唠一唠,因为网络设备的。


一.被忽视的网络设备

网络设备在整个渗透过程往往会被大家忽略,拿下就拿下了,登陆一下,能成功登陆,看下配置信息几乎就扔到一边不管了。这是一个很大的资源浪费,特别当我们拿下核心交换/路由/防火墙的时候。

why?

为什么说这是个很大的资源浪费呢?我们列一列

1.安全管控真空区

进行后渗透的时候最怕什么?当然是被安全设备检出,产生告警,这意味着我们可能被发现并且被清理出去。网络设备得天独厚的优势这时候就体验出来了,网络设备几乎都是铁盒子/物理设备,不出意外是无法安装安全终端的,这样就会形成一个安全管控真空区。我们在上面做后门传文件是没那么容易被发现的,几乎可以说是为所欲为了。

2.靠近边界,更短的路径

网络设备往往是边界设备,即使不是边界设备也挨着边界设备,这也导致我们拖文件的时候可以经过更少的设备直接出网,有的网络设备甚至自带外网地址,给我们持续控制带来了极大的便利。

3.更加清晰的网络拓扑及隔离策略

在传统后渗透的时候,我们想要知道整个目标有什么网段,或者隔离策略需要一点点信息收集然后进行拼凑,特别是一些做了隔离策略的网络。但当我们拿下核心网络设备的时候,这些信息就可以从配置文件一目了然的展现出来。

二.能做什么

1.信息收集

渗透的本质就是信息收集,所以信息收集是首要任务。通过信息收集我们可以得到:

     1.内网拓扑图
     2.路由表
     3.访问控制规则(内网网段)
     4.端口映射
     5.周围设备的信息
     6.路由器的管理员密码(有可能是明文或者弱加密,如cisco type7就是弱加密)
     7.…………….

2.抓包
     1.抓取流量中的明文密码/登陆凭证/cookie
     2.抓取用户行为,经常访问哪些网站,最直观的就是可以进行水坑
     3.抓服务器发的定时包来判断装了哪些杀毒软件/安全终端

路由/交换抓包可以看我之前的文章:路由抓包的种种方式

3.更改配置文件
     1.更改访问控制,让我们控制的机器能够绕过隔离规则直接访问目标
     2.更改DNS,攻击方式就很多了(DNS劫持→WINRAR 远程命令执行)

     3.映射端口到公网,绕过流量监控,传输大流量文件

4.后门留存,持续控制
     1.路由交换的后门留存
写在最后:互联网的本质就是通过网络把各种设备进行互联,而网络设备作为网络互联的实现基础,其安全性一直没有被重视。网络设备的渗透和利用是一个非常大的课题,上面每个点都可以水一篇文章,以后有空再写吧。

。:.゚ヽ(。◕‿◕。)ノ゚.:。+゚防盗专用。:.゚ヽ(。◕‿◕。)ノ゚.:。+゚

 ^_ ^_^ ^_^文章来源:微信公众号(边界骇客) ^_^ ^_^


文章来源: http://mp.weixin.qq.com/s?__biz=MzU1NTkzMTYxOQ==&mid=2247485619&idx=1&sn=ba782474487980b303c6ebad27120b62&chksm=fbcd8a3fccba032959d92e7b297e0eddd128f540c58687482c3afbb540096b820ffb0faffd5e&scene=0&xtrack=1#rd
如有侵权请联系:admin#unsafe.sh