搜索

[27112] 2020-12-04_一文打尽LinuxWindows端口复用实战

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-12-04_一文打尽LinuxWindows端口复用实战 一 文 打 尽   L i n u x / W i n d o w s 端 口 复 用 实 战 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 1 2 - 0 4 收 录 于 话 题   # 内 网 安 全 小 组   , 2 8 个 本 文 作 者 ： S p a r k （ M s 0 8 0 6 7 内 网 安 全 小 组 成 员 ） S p a r k 微 信 （ 欢 迎 骚 扰 交 流 ） ：               定 义 定 义 ： 端 口 复 用 是 指 不 同 的 应 用 程 序 使 用 相 同 端 口 进 行 通 讯 。 场 景 场 景 ： 内 网 渗 透 中 ， 搭 建 隧 道 时 ， 服 务 器 仅 允 许 指 定 的 端 口 对 外 开 放 。 利 用 端 口 复 用 可 以 将 3 3 8 9 或 2 2 等 端 口 转 发 到 如 8 0 端 口 上 ， 以 便 外 部 连 接 。 示 意 图 ： 功 能 ： 端 口 复 用 可 以 更 好 地 隐 蔽 攻 击 行 为 ， 提 高 生 存 几 率 。 端 口 复 用 有 时 也 用 作 通 道 后 门 。 特 点 ： 端 口 复 用 在 系 统 已 开 放 的 端 口 上 进 行 通 讯 ， 只 对 输 入 的 信 息 进 行 字 符 匹 配 ， 不 对 网 络 数 据 进 行 任 何 拦 截 、 复 制 类 操 作 ， 所 以 对 网 络 数 据 的 传 输 性 能 几 乎 没 有 影 响 。 一 、 一 、 L i n u x 端 口 复 用 端 口 复 用 1 . 概 述 概 述 使 用 i p t a b l e s 实 现 端 口 复 用 ， 使 用 s o c a t 进 行 连 接 。 使 用 该 方 法 开 启 的 端 口 复 用 为 有 限 的 端 口 复 用 ， 复 用 后 端 口 正 常 业 务 会 受 影 响 ， 仅 用 于 后 门 留 存 ， 或 者 临 时 使 用 ， 不 建 议 长 期 使 用 。 2 . 原 理 原 理
( 1 )   i p t a b l e s i p t a b l e s 是 l i n u x 下 的 防 火 墙 管 理 工 具 。 真 正 实 现 防 火 墙 功 能 的 是 n e t f i l t e r ， 它 是 l i n u x 内 核 中 实 现 包 过 滤 的 核 心 。 免 费 。 可 实 现 封 包 过 滤 、 封 包 重 定 向 封 包 重 定 向 和 网 路 地 址 转 换 （ 网 路 地 址 转 换 （ N A T ） ） 等 功 能 。 ( 2 )   数 据 通 过 防 火 墙 流 程 数 据 通 过 防 火 墙 流 程 ( 3 )   链 链 链 是 一 些 按 顺 序 排 列 的 规 则 的 列 表 。 P R E R O U T I N G 链 — — 对 数 据 包 作 路 由 选 择 前 应 用 此 链 中 的 规 则 （ 所 有 的 数 据 包 进 来 的 时 侯 都 先 由 这 个 链 处 理 ） I N P U T 链 — — 进 来 的 数 据 包 应 用 此 规 则 链 中 的 策 略 O U T P U T 链 — — 外 出 的 数 据 包 应 用 此 规 则 链 中 的 策 略 F O R W A R D 链 — — 转 发 数 据 包 时 应 用 此 规 则 链 中 的 策 略 P O S T R O U T I N G 链 — — 对 数 据 包 作 路 由 选 择 后 应 用 此 链 中 的 规 则 （ 所 有 的 数 据 包 出 来 的 时 侯 都 先 由 这 个 链 处 理 ） ( 4 )   表 表 表 由 一 组 预 先 定 义 的 链 组 成 。 f i l t e r 表 — — 用 于 存 放 所 有 与 防 火 墙 相 关 操 作 的 默 认 表 。 通 常 用 于 过 滤 数 据 包 。 n a t 表 — — 用 于 网 络 地 址 转 换 m a n g l e 表 — — 用 于 处 理 数 据 包 r a w 表 — — 用 于 配 置 数 据 包 ， r a w   中 的 数 据 包 不 会 被 系 统 跟 踪 。 ( 5 )   链 和 表 的 关 系 及 顺 序 链 和 表 的 关 系 及 顺 序 P R E R O U T I N G :   r a w   - >   m a n g l e   - >   n a t I N P U T :   m a n g l e   - >   f i l t e r F O R W A R D :   m a n g l e   - >   f i l t e r O U T P U T :   r a w   - >   m a n g l e   - >   n a t   - >   f i l t e r P O S T R O U T I N G :   m a n g l e   - >   n a t
( 6 )   表 和 链 的 关 系 表 和 链 的 关 系 实 际 使 用 中 是 从 表 作 为 操 作 入 口 ： r a w   表 ： P R E R O U T I N G ， O U T P U T m a n g l e 表 ： P R E R O U T I N G ， I N P U T ， F O R W A R D ， O U T P U T ， P O S T R O U T I N G n a t   表 ： P R E R O U T I N G ， O U T P U T ， P O S T R O U T I N G f i l t e r   表 ： I N P U T ， F O R W A R D ， O U T P U T ( 7 )   添 加 规 则 添 加 规 则 ( 8 )   s o c a t S o c a t 是 l i n u x 下 的 一 个 多 功 能 的 网 络 工 具 ， 名 字 来 由 是 s o c k e t   c a t 。 其 功 能 与 n e t c a t 类 似 ， 可 以 看 做 是 n e t c a t 的 加 强 版 。 3 . 指 令 速 查 指 令 速 查 ( 1 )   配 置 端 口 复 用 及 开 关 规 则 配 置 端 口 复 用 及 开 关 规 则 目 标 主 机 上 创 建 新 转 发 链 设 置 复 用 规 则 （ 设 置 转 发 规 则 ） 设 置 开 关 规 则 （ 接 受 约 定 字 符 后 规 则 生 效 / 失 效 ） 约 定 字 符 尽 量 复 杂 ( 2 )   使 用 使 用 s o c a t 连 接 连 接 使 用 s o c a t 发 送 约 定 口 令 至 目 标 主 机 打 开 端 口 复 用 开 关 使 用 完 毕 后 ， 发 送 约 定 关 闭 口 令 至 目 标 主 机 目 标 端 口 关 闭 端 口 复 用 4 . 实 验 实 验 T a r g e t ： U b u n t u   1 6 . 0 4   x 6 4 I P ： 1 9 2 . 1 6 8 . 2 4 5 . 1 3 5 开 启 8 0 0 0 端 口 的 w e b 服 务 开 启 2 2 端 口 配 置 端 口 复 用 ： i p t a b l e s   ‐ t   表 名   < ‐ A / I / D / R >   规 则 链 名   [ 规 则 号 ]   < ‐ i / o   网 卡 名 >   ‐ p   协 议 名   < ‐ s   源 i p 、 源 子 网 >   ‐ ‐ s p o r t   源 端 口   < ‐ d   目 标 i p / 目 标 子 网 >   ‐ ‐ d p o r t   目 标 端 口   ‐ j   动 作 #   新 建 端 口 复 用 链 i p t a b l e s   - t   n a t   - N   L E T M E I N #   端 口 复 用 规 则 i p t a b l e s   - t   n a t   - A   L E T M E I N   - p   t c p   - j   R E D I R E C T   - - t o - p o r t   2 2 #   开 启 端 口 复 用 开 关 i p t a b l e s   - A   I N P U T   - p   t c p   - m   s t r i n g   - - s t r i n g   ' t h r e a t h u n t e r c o m i n g '   - - a l g o   b m   - m   r e c e n t   - - s e t   - - n a m e   l e t m e i n   - - r s o u r c e   - j   A C C E P T #   关 闭 端 口 复 用 开 关 i p t a b l e s   - A   I N P U T   - p   t c p   - m   s t r i n g   - - s t r i n g   ' t h r e a t h u n t e r l e a v i n g '   - - a l g o   b m   - m   r e c e n t   - - n a m e   l e t m e i n   - - r e m o v e   - j   A C C E P T #   开 启 端 口 复 用 i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p   - - d p o r t   8 0 0 0   - - s y n   - m   r e c e n t   - - r c h e c k   - - s e c o n d s   3 6 0 0   - - n a m e   l e t m e i n   - - r s o u r c e   - j   L E T M E I N e c h o   t h r e a t h u n t e r c o m i n g   |   s o c a t   ‐   t c p : 1 9 2 . 1 6 8 . 2 4 5 . 1 3 5 : 8 0 0 0 e c h o   t h r e a t h u n t e r l e a v i n g   |   s o c a t   ‐   t c p : 1 9 2 . 1 6 8 . 2 4 5 . 1 3 5 : 8 0 0 0
A t t a c k e r ： K a l i   2 0 2 0   x 6 4 I P ： 1 9 2 . 1 6 8 . 2 4 5 . 1 3 0 使 用 s o c a t 连 接 ： 此 时 s s h 可 以 通 过 8 0 0 0 访 问 ， 但 是 8 0 0 0 端 口 的 正 常 w e b 业 务 受 到 影 响 ： 使 用 s o c a t 断 开 连 接 ， s s h 无 法 再 连 接 ， 但 是 8 0 0 0 端 口 回 复 正 常 ： 5 . 参 考 链 接 参 考 链 接 h t t p s : / / w w w . j i a n s h u . c o m / p / 1 2 a 2 4 a 9 5 f e 2 c h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / n e t w o r k / 1 3 7 6 8 3 . h t m l 二 、 二 、 W i n d o w s 端 口 复 用 端 口 复 用 1 . 概 述 概 述 使 用 H T T P . s y s 中 的 N e t . t c p   P o r t   S h a r i n g 服 务 ， 配 合 W i n R M 实 现 端 口 复 用 。
优 点 ： H T T P . s y s 为 w i n d o w s 原 生 机 制 ， W i n R M 为 w i n d o w s 自 带 功 能 ， 动 作 较 小 ， 不 易 触 发 主 动 防 御 。 需 要 管 理 员 权 限 。 2 . 原 理 原 理 ( 1 )   H T T P . s y s H T T P . s y s 是 M i c r o s o f t   W i n d o w s 处 理 H T T P 请 求 的 内 核 驱 动 程 序 。 为 了 优 化 I I S 服 务 器 性 能 从 I I S 6 . 0 引 入 （ 即 W i n d o w s   S e r v e r   2 0 0 3 及 以 上 版 本 ） I I S 服 务 进 程 依 赖 H T T P . s y s H T T P . s y s 监 听 H T T P 流 量 ， 然 后 根 据 U R L 注 册 的 情 况 去 分 发 ， 以 实 现 多 个 进 程 在 同 一 个 端 口 监 听 H T T P 流 量 。 微 软 公 开 了 H T T P   S e r v e r   A P I 库 ， H t t p c f g 、 N e t s h 等 都 是 基 于 它 的 。 整 个 过 程 描 述 如 下 ： S t e p   1 . 注 册 ： 注 册 ： I I S 或 其 他 应 用 使 用 H T T P   S e r v e r   A P I 时 ， 需 要 先 在 H T T P . s y s 上 面 注 册 u r l   p r e f i x ， 以 监 听 请 求 路 径 。 S t e p   2 . 路 由 ： 路 由 ： H T T P . s y s 获 取 到 r e q u e s t 请 求 ， 并 分 发 这 个 请 求 给 注 册 当 前 u r l 对 应 的 应 用 。 ( 2 )   N e t . t c p   P o r t   S h a r i n g N e t . t c p   P o r t   S h a r i n g 服 务 是 W C F （ W i n d o w s   C o m m u n i c a t i o n   F o u n d a t i o n ， 微 软 的 一 个 框 架 ） 中 的 一 个 新 系 统 组 件 ， 这 个 服 务 会 开 启 N e t . t c p 端 口 共 享 功 能 以 达 到 在 用 户 的 不 同 进 程 之 间 实 现 端 口 共 享 。 这 个 机 制 的 最 终 是 在 H T T P . s y s 中 实 现 的 。 目 前 将 许 多 不 同 H T T P 应 用 程 序 的 流 量 复 用 到 单 个 T C P 端 口 上 的 H T T P . s y s 模 型 已 经 成 为 w i n d o w s 平 台 上 的 标 准 配 置 。 在 以 前 的 w e b 应 用 中 ， 一 个 w e b 应 用 绑 定 一 个 端 口 ， 若 有 其 他 应 用 则 需 要 绑 定 其 他 的 端 口 才 能 实 现 监 听 。 如 下 图 所 示 ， W e b   A p p l i c a t i o n   1 绑 定 了 8 0 端 口 后 ， W e b A p p l i c a t i o n   2 再 去 绑 定 8 0 端 口 会 出 错 。 现 在 使 用 微 软 提 供 的 N E T . t c p   P o r t   S h a r i n g 服 务 ， 只 要 遵 循 相 关 的 开 发 接 口 规 则 ， 就 可 以 实 现 不 同 的 应 用 共 享 相 同 的 w e b 服 务 器 端 口 。 如 下 图 中 W e b   A p p l i c a t i o n   1 和 W e b A p p l i c a t i o n   2 同 时 绑 定 在 8 0 端 口 。
( 3 )   W i n R M W i n R M 全 称 是 W i n d o w s   R e m o t e   M a n a g e m e n t ， 是 微 软 服 务 器 硬 件 管 理 功 能 的 一 部 分 ， 能 够 对 本 地 或 远 程 的 服 务 器 进 行 管 理 。 W i n R M 服 务 能 够 让 管 理 员 远 程 登 录 w i n d o w s 操 作 系 统 ， 获 得 一 个 类 似 t e l n e t 的 交 互 式 命 令 行 s h e l l ， 而 底 层 通 讯 协 议 使 用 的 正 是 H T T P 。 事 实 上 ， W i n R M 已 经 在 H T T P . s y s 上 注 册 了 名 为 w s m a n 的 u r l 前 缀 ， 默 认 监 听 端 口 5 9 8 5 。 因 此 ， 在 安 装 了 I I S 的 边 界 w i n d o w s 服 务 器 上 ， 开 启 W i n R M 服 务 后 修 改 默 认 l i s t e n e r 端 口 为 8 0 或 新 增 一 个 8 0 端 口 的 l i s t e n e r 即 可 实 现 端 口 复 用 ， 可 以 直 接 通 过 8 0 端 口 登 录 w i n d o w s 服 务 器 。 3 . 指 令 速 查 指 令 速 查 查 询 当 前 注 册 u r l 前 缀 ： ( 1 )   开 启 开 启 w i n r m 服 务 服 务 W i n d o w s   2 0 1 2 及 以 上 ： w i n r m 默 认 启 动 并 监 听 了 5 9 8 5 端 口 。 W i n d o w s   2 0 0 8 ： 需 要 手 动 启 动 w i n r m 。 ( 2 )   增 加 增 加 8 0 端 口 复 用 端 口 复 用 ( 3 )   更 改 更 改 w i n r m 为 为 8 0 端 口 端 口 默 认 5 9 8 5 端 口 开 启 ， 不 需 要 更 改 端 口 。 默 认 5 9 8 5 端 口 不 开 启 ， 则 更 改 w i n r m 为 8 0 端 口 ， 否 则 会 因 端 口 改 变 而 引 起 管 理 员 关 注 。 ( 4 )   攻 击 机 也 需 要 启 动 攻 击 机 也 需 要 启 动 w i n r m 并 设 置 信 任 连 接 并 设 置 信 任 连 接 ( 5 )   连 接 使 用 连 接 使 用 w i n r s 命 令 接 口 连 接 远 程 命 令 接 口 连 接 远 程 w i n r m 服 务 执 行 命 令 ， 并 返 回 结 果 服 务 执 行 命 令 ， 并 返 回 结 果 w i n r s ， W i n d o w s   R e m o t e   S h e l l ， w i n d o w s 远 程 s h e l l ， 是 w i n r m 的 一 个 组 件 。 4 . 实 验 实 验 T a r g e t ： W i n d o w s   S e r v e r   2 0 0 8   R 2   x 6 4 n e t s h   h t t p   s h o w   s e r v i c e s t a t e w i n r m   q u i c k c o n f i g   ‐ q w i n r m   s e t   w i n r m / c o n f i g / s e r v i c e   @ { E n a b l e C o m p a t i b i l i t y H t t p L i s t e n e r = " t r u e " } w i n r m   s e t   w i n r m / c o n f i g / L i s t e n e r ? A d d r e s s = * + T r a n s p o r t = H T T P   @ { P o r t = " 8 0 " } #   启 动 w i n r m w i n r m   q u i c k c o n f i g   ‐ q #   设 置 信 任 主 机 地 址 w i n r m   s e t   w i n r m / c o n f i g / C l i e n t   @ { T r u s t e d H o s t s = " * " } w i n r s   ‐ r : h t t p : / / w w w . a a b b c c . c o m   ‐ u : a d m i n i s t r a t o r   ‐ p : P a s s w o r d   [ 命 令 ]
I P ： 1 9 2 . 1 6 8 . 2 4 5 . 1 3 3 开 启 I I S 服 务 。 先 看 一 下 当 前 注 册 的 u r l 前 缀 ： 启 动 w i n r m ：
再 看 一 下 注 册 的 u r l 前 缀 ， 发 现 w i n r m 已 注 册 ： 看 一 下 端 口 情 况 ：
增 加 8 0 端 口 复 用 ： 更 改 w i n r m 为 8 0 端 口 ： 再 看 一 下 端 口 情 况 ， 发 现 5 9 8 5 端 口 已 关 闭 ：
A t t a c k e r ： W i n d o w s   S e r v e r   2 0 0 8   R 2   x 6 4 I P ： 1 9 2 . 1 6 8 . 2 4 5 . 1 3 4 启 动 w i n r m 并 设 置 信 任 主 机 地 址 ： 使 用 w i n r s 远 程 执 行 命 令 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理