搜索

[15700] 2020-08-07_reGeorg内网渗透工具

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-08-07_reGeorg内网渗透工具 r e G e o r g 内 网 渗 透 工 具 原 创   t a m m y p i   F r e e B u f   2 0 2 0 - 0 8 - 0 7 在 某 次 威 胁 分 析 的 过 程 中 ， 看 到 攻 击 方 在 使 用 反 序 列 化 漏 洞 拿 下 资 产 组 内 一 台 暴 露 在 外 网 的 主 机 之 后 ， 就 开 始 使 用 r e G e o r g 工 具 进 行 连 接 ， 视 图 渗 透 到 内 网 。 之 前 由 于 我 并 没 有 接 触 过 r e G e o r g 工 具 ， 出 于 好 奇 ， 就 研 究 了 一 下 这 个 工 具 的 用 途 以 及 原 理 ， 于 是 形 成 了 本 篇 文 章 。 1 .   是 什 么 是 什 么 在 大 多 数 的 文 章 中 ， 都 把 r e G e o r g 称 为 内 网 代 理 。 实 际 上 ， 它 也 确 实 在 渗 透 的 过 程 中 ， 起 到 了 代 理 的 作 用 。 考 虑 一 种 场 景 ， 资 产 组 里 有 2 台 机 器 ： 主 机 A 、 主 机 B 。 其 中 主 机 A 上 运 行 了 W e b 服 务 ， 且 I P 或 者 端 口 映 射 到 公 网 ， 可 以 被 外 部 人 员 访 问 ， 主 机 B 是 在 外 网 访 问 不 到 的 。 攻 击 者 通 过 漏 洞 在 主 机 A 上 传 了 W e b s h e l l ， 但 同 时 又 出 于 某 些 限 制 并 未 能 得 到 主 机 A 的 主 机 权 限 也 无 法 反 弹 s h e l l ， 那 么 他 这 个 时 候 ， 也 是 无 法 通 过 常 规 方 法 反 弹 s h e l l 或 者 直 接 登 录 主 机 A 从 而 访 问 到 主 机 B 的 。 r e G e o r g 就 在 这 个 时 候 起 了 作 用 ， 攻 击 者 已 经 有 了 主 机 A 的 w e b s h e l l 权 限 （ 即 可 以 在 w e b 服 务 器 中 上 传 文 件 ） ， 而 主 机 A 可 以 和 主 机 B 通 信 。 那 么 在 主 机 A 上 安 装 r e G e o r g 工 具 ， 使 得 攻 击 者 发 出 的 请 求 以 及 目 标 机 器 的 响 应 经 过 A 的 h t t p 转 发 ， 达 到 攻 击 者 可 以 和 主 机 B 进 行 通 信 的 效 果 。 2 .   怎 么 用 怎 么 用 2 . 1   搭 建 环 境 搭 建 环 境 为 了 模 拟 整 个 场 景 ， 我 搭 建 了 一 个 如 下 图 所 示 的 网 络 拓 扑 。 a t t k 是 攻 击 主 机 ， v i c t i m _ a 和 v i c t i m _ b 是 被 攻 击 主 机 。 s 1 和 s 2 是 两 个 交 换 机 ， r 1 是 路 由 器 。
初 始 化 后 的 I P 如 下 ： 攻 击 者 I P ： 1 9 2 . 1 6 8 . 2 1 8 . 2 2 7 v i c t i m _ a   I P ： 1 9 2 . 1 6 8 . 2 5 3 . 1 6 v i c t i m _ b   I P : 1 9 2 . 1 6 8 . 2 5 3 . 4 2 路 由 器 两 个 网 卡 的 I P ： 1 9 2 . 1 6 8 . 2 1 8 . 1 , 1 9 2 . 1 6 8 . 2 5 3 . 1 掩 码 都 是 2 5 5 . 2 5 5 . 2 5 5 . 0 。 a t t k 配 置 路 由 器 不 为 默 认 网 关 ， 这 样 a t t k 无 法 与 v i c t i m _ a 和 v i c t i m _ b 直 接 通 信 。 在 v i c t i m _ a 主 机 上 部 署 j a v a 和 t o m c a t 。 然 后 再 在 路 由 器 做 一 下 端 口 映 射 。
这 样 ， 就 将 v i c t i m _ a 的 8 0 8 0 端 口 映 射 到 了 路 由 器 的 9 9 9 9 端 口 。 a t t k 直 接 访 问 h t t p : / / 1 9 2 . 1 6 8 . 2 1 8 . 1 : 9 9 9 9 即 访 问 到 了 v i c t i m _ a 的 w e b 服 务 。 从 截 图 可 以 看 出 ， 攻 击 者 无 法 直 接 访 问 v i c t i m _ a ( 1 9 2 . 1 6 8 . 2 5 3 . 1 6 ) ， 不 过 可 以 通 过 访 问 1 9 2 . 1 6 8 . 2 1 8 . 1 : 9 9 9 9 间 接 访 问 到 v i c t i m _ a 上 的 w e b 服 务 。 2 . 2   安 装 工 具 安 装 工 具 r e G e o r g 工 具 的 g i t h u b 目 录 为 ： h t t p s : / / g i t h u b . c o m / s e n s e p o s t / r e G e o r g 1 . 将 t u n n e l . j s p 上 传 v i c t i m _ a 的 t o m c a t 的 R O O T 目 录 。 2 . 将 r e G e o r g S o c k s P r o x y . p y 上 传 到 攻 击 机 a t t k ， 并 执 行 ：
3 . 在 攻 击 机 安 装 s o c k 5 客 户 端 p r i v o x y ， 并 连 接 本 地 的 9 9 9 9 端 口 P r i v o x y 监 听 的 端 口 是 8 1 1 8 令 h t t p _ p r o x y = 1 2 7 . 0 . 0 . 1 : 8 1 1 8 。 此 时 ， 可 以 直 接 以 v i c t i m _ a 的 内 网 i p 对 于 它 的 w e b 服 务 进 行 访 问 ： 同 样 ， 也 可 以 访 问 与 v i c t i m _ a 处 于 同 一 个 网 的 v i c t i m _ b 的 w e b 服 务 。 3 .   实 现 原 理 实 现 原 理
3 . 1   r e G e o r g S o c k s P r o x y . p y p y 脚 本 主 要 是 位 于 攻 击 机 上 ， 接 收 s o c k s 请 求 ， 并 通 过 h t t p 请 求 发 送 给 被 攻 击 主 机 。 同 时 ， 当 响 应 体 有 内 容 时 ， 将 响 应 回 传 给 s o c k s 客 户 端 。 具 体 步 骤 如 下 ： 1 . 从 参 数 中 解 析 得 到 本 地 监 听 端 口 l i s t e n - p o r t ， 以 及 连 接 的 已 失 陷 主 机 上 的 t u n n e l . j s p 的 u r l 2 . 判 断 u r l 是 否 可 以 连 接 成 功 3 . 建 立 s o c k e t ， 监 听 本 地 的 l i s t e n - p o r t 端 口 4 . 根 据 l i s t e n - p o r t 端 口 收 到 的 一 个 字 节 是 x 0 5 还 是 x 0 4 判 断 收 到 的 请 求 是 S O C K S 5 请 求 还 是 S O C K S 4 请 求 。 （ 因 为 S O C K S 请 求 的 第 一 个 字 节 是 版 本 号 ） 5 . 当 S O C K S 请 求 发 过 来 的 是 C O N N E C T 命 令 时 ， 将 请 求 中 带 有 的 I P 和 端 口 ， 发 送 给 s e t u p R e m o t e S e s s i o n 方 法 。 6 . s e t u p R e m o t e S e s s i o n 方 法 ， 主 要 是 在 u r l 后 面 拼 接 ? c m d = c o n n e c t & t a r g e t = % s & p o r t = % d 参 数 ， 将 需 要 连 接 的 I P 和 端 口 发 送 到 被 攻 击 主 机 的 t u n n e l . j s p 。
7 . 当 请 求 的 响 应 码 为 2 0 0 ， 且 响 应 体 头 部 有 x - s t a t u s 字 段 且 字 段 值 为 O K 时 ， 就 判 定 为 连 接 成 功 ， 记 录 c o o k i e 信 息 。 8 . 成 功 连 接 后 ， 启 动 r e a d e r 线 程 和 w r i t e r 线 程 。 9 . r e a d e r 线 程 ， 主 要 是 发 送 h t t p : / / v i c t i m _ i p : p o r t / t u n n e l . j s p ? c m d = r e a d 请 求 。 并 将 响 应 内 容 ， 回 传 给 S O C K S 客 户 端 。 1 0 . w r i t e r 线 程 ， 主 要 是 从 S O C K S 请 求 中 取 得 数 据 d a t a ， 并 发 送 h t t p : / / v i c t i m _ i p : p o r t / t u n n e l . j s p ? c m d = f o r w a r d 请 求 ， 将 d a t a 作 为 P O S T 请 求 体 发 送 到 被 攻 击 主 机 。 3 . 2   t u n n e l . j s p t u n n e l . j s p 脚 本 位 于 被 攻 击 机 上 ， 主 要 是 接 受 命 令 ， 并 与 内 网 主 机 建 立 s o c k e t 连 接 ， 将 命 令 发 送 给 内 网 主 机 并 取 得 响 应 ， 响 应 内 容 以 h t t p 响 应 体 返 回 给 攻 击 机 。 1 . 解 析 四 种 命 令 ， C O N N E C T / D I S C O N N E C T / R E A D / F O R W A R D 。 2 . 当 收 到 C O N N E C T 命 令 时 ， 解 析 得 到 指 定 的 内 网 I P 和 端 口 ， 并 使 用 s o c k e t 与 之 建 立 连 接 。 并 在 响 应 中 ， 增 加 头 部 X - S T A T U S : O K 。 并 将 s o c k e t 放 入 s e s s i o n 里 ， 避 免 h t t p 结 束 后 s o c k e t 连 接 丢 失 。
3 . 当 收 到 R E A D 命 令 时 ， 从 s e s s i o n 中 取 得 s o c k e t ， 并 尝 试 从 s o c k e t 读 取 内 容 。 并 将 读 取 的 内 容 ， 写 入 到 h t t p 响 应 中 。 4 . 当 收 到 F O R W A R D 命 令 时 ， 从 请 求 中 读 取 命 令 ， 并 使 用 s o c k e t 发 送 给 被 连 接 的 内 网 I P 、 端 口 。 5 . D I S C O N N E C T 命 令 ， 只 有 当 r e G e o r g S o c k s P r o x y . p y 捕 获 到 异 常 时 才 会 发 送 ， 主 要 就 是 断 开 与 指 定 的 内 网 主 机 的 I P 、 端 口 的 s o c k e t 连 接 。 4 .   特 征 特 征 1 . 在 u r l : h t t p : / / v i c t i m _ i p : p o r t / t u n n e l . j s p ? c m d = c o n n e c t & t a r g e t = % s & p o r t = % d 请 求 发 送 后 ， 响 应 内 容 的 头 部 带 有 X - S T A T U S : O K 。 2 . C O N N E C T 命 令 之 后 ， 有 R E A D 、 F O R W A R D 命 令 。 且 如 果 请 求 成 功 ， 它 们 的 响 应 头 部 也 带 有 X - S T A T U S : O K 。 3 . 如 果 使 用 r e G e o r g 工 具 ， 对 于 内 网 主 机 执 行 命 令 成 功 例 如 R E A D 读 取 成 功 。 那 么 除 了 头 部 会 带 上 X - S T A T U S : O K ， 同 时 响 应 体 内 ， 也 会 有 读 取 出 来 的 内 容 ， 如 截 图 所 示 ：
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理