基于SNMP的交换机入侵的内网渗透

前言：局域网在管理中常常使用SNMP协议来进行设备的管理和监控，而SNMP的弱点也成为了我们此次渗透的关键。
使用SNMP管理设备只需要一个community string，而这个所谓的密码经常采用默认public/private或者弱口令，而且对SNMP口令进行爆破或字典猜解比较容易。这为我们扫描交换机并对他们进行管理提供了方便。

首先我们要搞定一个在内网的服务器作为跳板，通过观察和扫描其所在的网段可以大致发现局域网的网络结构，但这可能只是冰山一角。我们可以抓住几个交换机来进行顺藤摸瓜。首先我们扫描一个网段的SNMP开启状况和弱口令存在情况。

（点击图片查看大图）

成功找到一只弱口令的交换机。目测是C段的三层交换。

这样我们就可以对它进行MIB walk和browser抓到一些重要信息。
比如它的ip路由表和端口列表甚至Vlan分配表

（点击图片查看大图）

我们从IP表和端口表里发现了他的上联网段。10.0.0.X 再次对此网段进行SNMP扫描

（点击图片查看大图）

啪啪啪。扫到了很多弱口令。当然public是只读community string，但是这对我们的渗透已经足够用了。同时我们也发现了顶层的出口路由和出口交换机的地址，可以针对其进行渗透。

P.s.其实可以通过暴力或者字典猜解来破解出交换机的读写权限的community string。这样就可以对交换机进行完整的管理。比如down掉某个端口造成全部断网甚至关掉整个交换机（warning：操作核心交换机可能造成重大影响，请谨慎操作）。

（点击图片查看大图）

接上，拿到了这些交换机的SNMP读取权限以后。我们就可以顺藤摸瓜的把整个网络的结构和各网段的IP分配以及作用摸得清清楚楚了。剩下的就是针对某个IP段或者某项功能进行局部渗透了。比如监控网段，门禁网段，会计系统，办公网段，对外的服务器段等。

整体来说 我总结的交换机入侵经验是顺藤摸瓜 先逆流而上，找到主干，然后顺流而下，找到每个分支，分辨其作用，形成一个整体的系统网络。整个局域网就在你的掌控之中了。

当然交换机入侵也可以采用TELNET的方法，但是爆破时间较长，而且一般交换机都有三次试错机会，对破解造成了不小的困扰。我们其实不需要telnet这么高的权限就可以对交换机进行管理。本文就是个例子。
大约四年前用这方法曾经拿下过省级边界出口交换机。同样国外的交换机也存在这个问题。三层交换的SNMP管理弱点是必然的。即使是一些安全性较高的地方，爆破和猜解也很容易，估计唯一解决方法就是干掉SNMP功能或者设置超长超变态SNMP密码。

后记：本文旨在提供一种基于SNMP的交换机入侵的内网渗透方法和思路，以及做的一些简单测试，具体利用手段和方法也欢迎大家一起讨论。我相信这种方法在中大型局域网里面是很有用武之地的。

[via@90sec]