Select Browser Mobile | Continue

Silic Group Froum Archive - Silic Security

 Forgot Password?
 Join Us
Search
12Next
Threads List New Thread
Show: 1412|Reply: 28

[原创] 一次加工资引发的血案

  [Copy URL]
zhj527641718 The user has been deleted
Posted 2016-8-24 09:48:18 | Show all replies |Read Mode
本帖最后由 zhj527641718 于 2016-8-24 09:58 编辑

  习科BYzhj527641718
  
  序言:小J在某公司幸幸苦苦工作了一年多,拿到由幸苦换来的血汗钱。某日,小J

某种途径听说新来的同事工资居然比小J高,小J心里特别的憋屈,于是和部门经理谈了这

事情,不料部门经理居然回答是:我刚准备和你说加工资的,你到时候工资比新来的工资多

*百元。 听过之后小J心里稍微舒服了一些,但是吃过晚饭之后小J的心又悬了起来:他如

果真心想帮我加工资,那么为什么不自个和我说为什么非要等到我问才这样呢?中间会不会

在玩我一次,我得确定新来员工小P的工资是多少才行于是开启了这次渗透之旅。

   
一:渗透前的收集资料。
   

经过小J多次探查,知道小P公司职位为售后技术工程师;C语言初学者;自带笔

记本上班;通常使用chrome浏览器访问web;而且使用google帐号登录chrome浏览器;

使用word为2007版本;PDF版本11.0.1;杀软360;(小J一次特地来得比较早,发现小

P开机之后360提示更新补丁,习惯性的点击关闭);以此判断小P的电脑会存在一些安全

漏洞;另外公司发工资首先会发工资条到相对应人员的QQ里确认工资是否正确,然后通

过支付宝银行卡进行转账。

二:渗透

   耐心等待的小J在某日,从公司同事哪儿听到小P准备去某某学校维护新研发不久的学生上

网计费系统,小J当时心想机会来了,于是小J以某某学校老师名义向另一个在用该系统学校的

老师要了一份使用说明书作为参考对比该系统性能作为借口,不一会小J邮箱收到了一份来自某

学校老师发的该系统的操作手册.pdf。收到之后小J掏出了CVE-2015-****PDFexploit。做PDF

二次编辑,然而小J手头上的RAT并过不了硬防,伤脑筋之下想到了用大名鼎鼎的mstasploit

https作为反弹,经过测试通过了深信服AF防火墙以及360最新版。

QQ图片20160824095112.png


很强势,因为小J与小P的网络并不是同一个Vlan内,而且设备做了OSPF多区域划分,小

J的网段并不能直接访问小P的网段,对于mstasploit渗透来说是一个麻烦,小J当时想过

使用外网IP上线,但这样会让自己的IP暴露无疑,小J经过思考之后决定VPN进入


某服务器搭建mstasplot并且服务器和花生壳环境。一切就绪之后,小J剩下的只有等待

了,等待一个小P需要产品操作说明书的机会。但是上天并不眷顾小J,临时调配小P到某
学校去调试完Ruijie汇聚交换机,回来之后再来研究软件,但是小P去学校的第二天正是发

工资的日子,这情况对于小J来说是不想看到的。虽然这次发工资是结算上个月的,这

让心急的小J不能把这颗悬着的心放下,于是把PDF刻录成光盘放到了小P最容易看到的地

方,并且以学校名义打电话催促小P赶紧解决该产品问题,迫于无奈之下的小P只能连夜加

班把某校的汇聚交换机全部配置完毕(心疼小P为了小J做出的牺牲(_┬))

   次日,P回到办公室(因为刻录光盘使用的是带有公司产品LOGO的)顺手把光盘放入

了电脑并且下载了产品操作说明书仔细研究起来。就在这时候小Jmstasploit提示上线。

J心动不已,等待许久的小羔羊终于上线了,但是小J并不敢轻举妄动,生怕惊动了小P

J小心意义的查看小P电脑的QQ文件夹目录,找到小PQQ并且使用小J的备用QQ

进行好友添加,发现小PQQ未在线!!这对于小J来说太好不过了,因为之前小J做过调

查,小P有用chrome登录谷歌账户的习惯,那么当小p登录邮箱以及各自需要username

password登录的地方有几率点击记住密码,然后通过谷歌账户同步数据,小J于是掏出

Getpass通过mstasploit自带的上传下载功能上传到小P C:/windows目录下,并且之下

getpass /all   不一会列出了保存在浏览器下的所有帐号密码。
QQ图片20160824095120.png


到最后小J再次拿下小P的QQ以及支付宝权限以及银行卡密码,详查之后终于找到了小P的工资单明细
因论坛字数限制本文,论坛只写了1/4,剩下的部分打包word自行下载阅读
(文中所用到的CVE-2015-***由于附件太大上传到百度云:链接:http://pan.baidu.com/s/1c2unFhe 密码:ruis) 一次加工资引发的血案.rar (2.62 MB, Downloads: 159)
纯洁小白 The user has been deleted
Posted 2016-8-27 11:16:03 | Show all replies
我是小j 一名售后技术工程师
流弊的小白 The user has been deleted
Posted 2016-8-24 10:56:30 | Show all replies
厉害啊         
TaskKilL The user has been deleted
Posted 2016-8-24 11:00:16 | Show all replies
666
   
   
   
   
   
xxoo592 The user has been deleted
Posted 2016-8-24 11:04:34 | Show all replies
前来膜拜,生活处处有黑阔啊。
suy The user has been deleted
Posted 2016-8-24 16:14:16 | Show all replies
小jj莫名其妙的躺枪,撸主加个工资都这么心机,可见平常是一个多么了可怕的人。
惶恐当中感慨:宁得罪女子,莫得罪黑阔。
逼逼完再论文章,由于对撸主有一种莫名其妙的恐慌,没下载附件,只看了本帖。(一直一来都觉得上附件的都不是好孩子)
文章上述,渗透过程一语带过,结果长篇大论,技术细节没有提到,本屌肤浅的认为这并不是一篇技术文章,而是一则带有装逼气质的恐怖短片小说,看文章技术重点在意怎么伪装自己发送威胁程序给小j,等小J打开后反弹shell到自己的服务器。咦,我竟然一不小心一句话把整片文章说完了,好了,打完脸再到要给颗糖(怕一不小心楼主打我),撸主文笔畅顺,故事情节紧凑,满分晋级。
qglfnt The user has been deleted
Posted 2016-8-24 16:22:50 | Show all replies
看了楼上写的,胜读十年书。。。
Isred The user has been deleted
Posted 2016-8-24 16:25:02 | Show all replies
suy 发表于 2016-8-24 16:14
小jj莫名其妙的躺枪,撸主加个工资都这么心机,可见平常是一个多么了可怕的人。
惶恐当中感慨:宁得罪女子 ...

看楼主pdf玩的这么6,再看一眼楼主的word链接,表示不敢下载。。
zhj527641718 The user has been deleted
 Author| Posted 2016-8-24 16:41:35 | Show all replies
suy 发表于 2016-8-24 16:14
小jj莫名其妙的躺枪,撸主加个工资都这么心机,可见平常是一个多么了可怕的人。
惶恐当中感慨:宁得罪女子 ...

这次渗透本来技术含量就不是很高,唯独的就是做伪装给小P带有shellcode的PDF,然而就通过浏览器的记住密码拿到一些存储在google账户里的账户密码,剩下的都是一些猜测和一些推断
suy The user has been deleted
Posted 2016-8-24 16:43:21 | Show all replies
Isred 发表于 2016-8-24 16:25
看楼主pdf玩的这么6,再看一眼楼主的word链接,表示不敢下载。。

这一层我没想到,我只是硬盘装岛国大片满了,下载不了。
suy The user has been deleted
Posted 2016-8-24 16:46:24 | Show all replies
zhj527641718 发表于 2016-8-24 16:41
这次渗透本来技术含量就不是很高,唯独的就是做伪装给小P带有shellcode的PDF,然而就通过浏览器的记住密 ...

开玩笑,别介意,重要的是思路不对吗亲,隔壁老王刚学会开机就能那工具把我电脑弄得开不了机,小明问啥工具?锤子....
zhj527641718 The user has been deleted
 Author| Posted 2016-8-24 16:48:53 | Show all replies
suy 发表于 2016-8-24 16:46
开玩笑,别介意,重要的是思路不对吗亲,隔壁老王刚学会开机就能那工具把我电脑弄得开不了机,小明问啥工 ...

讲道理- - !!看着满满的讽刺
suy The user has been deleted
Posted 2016-8-24 16:52:49 | Show all replies
zhj527641718 发表于 2016-8-24 16:48
讲道理- - !!看着满满的讽刺

绝对没有讽刺的意思,那你说老王达到目的没有?那你说小j牛还是你屌?结果还是你赢了,三桶某管理经常说:不要在意这些细节。补刀:重要的是结果。
幽暗 The user has been deleted
Posted 2016-8-24 19:13:22 | Show all replies
楼主告诉我你是哪家公司的,我绝对不去
青娱乐灬雷锋 The user has been deleted
Posted 2016-8-25 04:24:37 | Show all replies
Isred 发表于 2016-8-24 16:25
看楼主pdf玩的这么6,再看一眼楼主的word链接,表示不敢下载。。

思路听清晰的啊 像我这种喜欢看评论的 幸好看到了你的评论 不然怎么中标的都不知道
cookie The user has been deleted
Posted 2016-8-25 09:44:28 | Show all replies
大神,恰来膜拜。
星空之下 The user has been deleted
Posted 2016-8-25 09:49:36 | Show all replies
果然是大黑阔,厉害
bugli The user has been deleted
Posted 2016-8-25 18:57:48 | Show all replies
渗透思路很清晰,先马后看
Posted 2016-8-26 16:39:09 | Show all replies
getpass 可以读取浏览器帐号密码?
q329973692 The user has been deleted
Posted 2016-8-27 21:47:35 | Show all replies
大师啊,PDF居然 能赛shellcode
12Next
Threads List New Thread
You need to login before reply! Login | Join Us

Credit Rules of This Forum

Close

公告Privious /1 Next

小黑屋|手机版|Archiver|Silic Security

GMT+8, 2017-2-27 16:54

© 2001-2014 Silic Corp.

Quick Reply Top Return List