搜索

[11489] 2017-06-23_远程遥控IPTables进行端口复用

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-06-23_远程遥控IPTables进行端口复用 远 程 遥 控 I P T a b l e s 进 行 端 口 复 用 n 1 n t y   F r e e B u f   2 0 1 7 - 0 6 - 2 3 有 一 天 坐 地 铁 的 时 候 突 然 想 到 利 用 有 一 天 坐 地 铁 的 时 候 突 然 想 到 利 用   i p t a b l e s   n a t   表 的 表 的   P R E R O U T I N G   链 配 合 链 配 合   R E D I R E C T   应 该 是 可 以 达 到 端 应 该 是 可 以 达 到 端 口 复 用 的 效 果 的 。 口 复 用 的 效 果 的 。 比 如 在 服 务 器 的 比 如 在 服 务 器 的   P R E R O U T I N G   链 里 面 加 一 条 规 则 ， 将 到 本 机 链 里 面 加 一 条 规 则 ， 将 到 本 机   8 0   端 口 的 流 量 端 口 的 流 量 R E D I R E C T   到 到   2 2   端 口 ， 就 算 端 口 ， 就 算   8 0   端 口 正 在 被 端 口 正 在 被   A p a c h e   监 听 ， 此 流 量 也 能 成 功 到 达 监 听 ， 此 流 量 也 能 成 功 到 达   2 2   端 口 ， 因 为 端 口 ， 因 为   n a t   表 表 的 的   P R E R O U T I N G   链 会 在 路 由 决 策 之 前 被 处 理 。 链 会 在 路 由 决 策 之 前 被 处 理 。 远 程 遥 控 远 程 遥 控   I P T a b l e s   进 行 端 口 复 用 进 行 端 口 复 用 现 在 的 问 题 只 有 一 个 ， 如 何 区 分 到   8 0   端 口 的 正 常 流 量 和 “ 复 用 流 量 ” ？   正 常 的 的   H T T P   流 量 应 该 让 它 正 常 地 发 往 A p a c h e ， 而 “ 复 用 流 量 ” 应 该 前 往   2 2   端 口 。 答 案 也 很 简 单 ， 只 要 “ 复 用 流 量 ” 有 特 征 就 可 以 了 。 当 天 晚 上 我 简 单 写 了 一 个   P o C   来 验 证 我 的 想 法 ， 如 下 ： 1 9 2 . 1 6 8 . 3 3 . 7 8   为 虚 拟 机 的   I P ， 虚 拟 机 上 用   p y t h o n   在   8 0   端 口 启 动 了 一 个   h t t p   服 务 虚 拟 机 上 执 行 ： 将 发 送 本 机   8 0   端 口 ， 源 端 口 为   8 9 8 9   的 流 量 重 定 向 至 本 机   2 2   端 口 / s b i n / i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p   — s p o r t   8 9 8 9   — d p o r t   8 0   - j   R E D I R E C T   — t o - p o r t   2 2 本 地 执 行 ： s o c a t   监 听 本 地   2 3 2 6   端 口 ， 接 收 到 链 接 后 ， 利 用 本 地 的   8 9 8 9   端 口 将 流 量 转 至 虚 拟 机 的   8 0   端 口 s o c a t   t c p - l i s t e n : 2 3 2 6 , f o r k , r e u s e a d d r   t c p : 1 9 2 . 1 6 8 . 3 3 . 7 8 : 8 0 , s o u r c e p o r t = 8 9 8 9 , r e u s e a d d r   & #   S S H   连 接 本 地   2 3 2 6   端 口 ， 成 功 连 接 上 了 虚 拟 机 的   S S H ， 同 时 本 地 正 常 用   c u r l   是 能 够 访 问 到 虚 拟 机 的   8 0   端 口 的   H T T P   服 务 的 s s h   v a g r a n t @ 1 2 7 . 0 . 0 . 1   - p 2 3 2 6 效 果 图 ： 以 上 是 最 初 的   P o C 。 它 有 一 个 很 明 显 的 问 题 是 不 支 持 多 链 接 。   如 果 想 创 建 两 个   S S H   链 接 就 会 出 错 ， 因 为 本 地 的   8 9 8 9 端 口 已 经 被 第 一 个   S S H   连 接 占 用 了 。
今 天 我 对 这 个 方 法 进 行 了 改 进 ， 不 再 用   s o u r c e   p o r t   做 为   “ 复 用 流 量 ”   的 标 识 ， 所 以 也 就 不 再 用   s o c a t   来 进 行 一 次 本 地 的 转 发 了 。 同 时 ， 加 入 了 远 程 遥 控 端 口 复 用 开 关 的 功 能 。 我 这 里 直 接 放 出 脚 本 代 码 ： 第 一 种 方 式 ： 利 用 第 一 种 方 式 ： 利 用   i c m p   做 遥 控 开 关 。 缺 点 在 于 如 果 目 标 在 内 网 ， 你 是 无 法 直 接 做 遥 控 开 关 。 缺 点 在 于 如 果 目 标 在 内 网 ， 你 是 无 法 直 接   p i n g   到 它 的 。 到 它 的 。 创 建 端 口 复 用 链 i p t a b l e s   - t   n a t   - N   L E T M E I N #   创 建 端 口 复 用 规 则 ， 将 流 量 转 发 至   2 2   端 口 i p t a b l e s   - t   n a t   - A L E T M E I N   - p   t c p   - j   R E D I R E C T   — t o - p o r t   2 2 #   开 启 开 关 ， 如 果 接 收 到 一 个 长 为   1 1 3 9   的   I C M P   包 ， 则 将 来 源   I P   添 加 到 加 为   l e t m e i n   的 列 表 中 i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   i c m p   — i c m p - t y p e   8   - m   l e n g t h   — l e n g t h   1 1 3 9   - m r e c e n t   — s e t   — n a m e   l e t m e i n   — r s o u r c e   - j   A C C E P T #   关 闭 开 关 ， 如 果 接 收 到 一 个 长 为   1 1 4 0   的   I C M P   包 ， 则 将 来 源 I P   从   l e t m e i n   列 表 中 去 掉 i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   i c m p   — i c m p - t y p e   8   - m   l e n g t h   — l e n g t h   1 1 4 0   - m   r e c e n t — n a m e   l e t m e i n   — r e m o v e   - j   A C C E P T #   l e t ’ s   d o   i t ， 如 果 发 现   S Y N   包 的 来 源   I P   处 于   l e t m e i n   列 表 中 ， 将 跳 转 到 L E T M E I N   链 进 行 处 理 ， 有 效 时 间 为   3 6 0 0   秒 i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p   — d p o r t   8 0   — s y n   - m   r e c e n t — r c h e c k   — s e c o n d s   3 6 0 0   — n a m e   l e t m e i n   — r s o u r c e   - j   L E T M E I N 开 启 复 用 前 ， 开 启 复 用 前 ， W E B   是 可 以 访 问 的 ： 是 可 以 访 问 的 ： 开 启 复 用 p i n g   - c   1   - s   1 1 1 1   1 9 2 . 1 6 8 . 3 3 . 7 8 向 目 标 发 送 一 个 长 度 为   1 1 1 1   的   I C M P   数 据 包 （ 加 上 包 头 2 8 ， 总 长 度 实 际 为 1 1 3 9 ）
关 闭 复 用 p i n g   - c   1   - s   1 1 1 2   1 9 2 . 1 6 8 . 3 3 . 7 8 向 目 标 发 送 一 个 长 度 为   1 1 1 2   的   I C M P   数 据 包 （ 加 上 包 头   2 8 ， 总 长 度 实 际 为 1 1 4 0 ） 效 果 图 ： 第 二 种 方 式 ： 利 用 第 二 种 方 式 ： 利 用   t c p   数 据 包 中 的 关 键 字 做 遥 控 开 关 ， 不 怕 目 标 在 内 网 。 数 据 包 中 的 关 键 字 做 遥 控 开 关 ， 不 怕 目 标 在 内 网 。 端 口 复 用 链 i p t a b l e s   - t   n a t   - N   L E T M E I N #   端 口 复 用 规 则 i p t a b l e s   - t   n a t   - A   L E T M E I N   - p   t c p   - j   R E D I R E C T   — t o - p o r t   2 2 #   开 启 开 关 i p t a b l e s   - A   I N P U T   - p   t c p   - m   s t r i n g   — s t r i n g   ‘ t h r e a t h u n t e r c o m i n g ’   — a l g o   b m   - m   r e c e n t   — s e t   — n a m e   l e t m e i n   — r s o u r c e   - j   A C C E P T #   关 闭 开 关 i p t a b l e s   - A   I N P U T   - p   t c p   - m   s t r i n g   — s t r i n g   ‘ t h r e a t h u n t e r l e a v i n g ’   — a l g o   b m   - m   r e c e n t   — n a m e   l e t m e i n   — r e m o v e   - j   A C C E P T #   l e t ’ s   d o   i t i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p   — d p o r t 8 0   — s y n   - m   r e c e n t   — r c h e c k   — s e c o n d s   3 6 0 0   — n a m e   l e t m e i n   — r s o u r c e   - j   L E T M E I 开 启 复 用 ， 开 启 后 本 机 到 目 标   8 0   端 口 的 流 量 将 转 发 至 目 标 的   S S H ， 8 0   将 无 法 再 被 本 机 访 问 ： e c h o t h r e a t h u n t e r c o m i n g   |   s o c a t   -   t c p : 1 9 2 . 1 6 8 . 3 3 . 7 8 : 8 0 关 闭 复 用 ， 关 闭 后 ， 8 0   恢 复 正 常 ： e c h o   t h r e a t h u n t e r l e a v i n g   |   s o c a t   -   t c p : 1 9 2 . 1 6 8 . 3 3 . 7 8 : 8 0 效 果 图 ：
只 要 有 特 征 ， 就 可 以 做 为 远 程 遥 控 的 标 志 。 我 这 里 只 是 想 验 证 一 下 自 己 的 想 法 ， 所 以 用 了 我 认 为 最 简 单 的 两 种 方 法 。 其 它 方 法 希 望 大 家 自 己 挖 掘 ， 分 享 。 最 后 留 一 个 小 问 题 ， 如 果 在 开 启   t c p d u m p   进 行 抓 包 的 同 时 ， 利 用   i p t a b l e s   对 数 据 包 进 行 了 更 改 ， 那   t c p d u m p   抓 到 的 是 更 改 之 前 的 包 还 是 更 改 之 后 的 包 呢 ？   ： ） 说 明 ： 本 文 由   T h r e a t H u n t e r   社 区 成 员   n 1 n t y   首 发 于   T h r e a t H u n t e r   社 区 ：   国 内 首 个 专 注 于 高 级 威 胁 发 现 与 安 全 数 据 分 析 的 社 区 。 。 * 本 文 作 者 ： 本 文 作 者 ： n 1 n t y ， 转 载 请 注 明 ， 转 载 请 注 明 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理