搜索

[10323] 2016-07-21_Tunnel：论如何在内网中自由渗透

文档创建者：s7ckTeam
浏览次数：11
最后更新：2025-01-18
2016-07-21_Tunnel：论如何在内网中自由渗透 T u n n e l ： 论 如 何 在 内 网 中 自 由 渗 透 戒 贤   F r e e B u f   2 0 1 6 - 0 7 - 2 1 * 本 文 作 者 ： 戒 贤 ， 本 文 属 本 文 作 者 ： 戒 贤 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 背 景 背 景 能 够 成 功 地 通 过 能 够 成 功 地 通 过 w e b 漏 洞 获 取 到 漏 洞 获 取 到 w e b s h e l l ， 对 于 一 次 完 整 的 渗 透 测 试 来 说 ， 仅 仅 相 当 于 万 里 长 征 的 第 一 步 。 这 么 说 ， 可 能 比 较 夸 张 吧 ， 并 不 是 所 有 渗 透 测 试 都 会 遇 到 几 百 台 机 器 的 大 内 网 。 ， 对 于 一 次 完 整 的 渗 透 测 试 来 说 ， 仅 仅 相 当 于 万 里 长 征 的 第 一 步 。 这 么 说 ， 可 能 比 较 夸 张 吧 ， 并 不 是 所 有 渗 透 测 试 都 会 遇 到 几 百 台 机 器 的 大 内 网 。 在 P T E S ( 渗 透 测 试 执 行 标 准 ) 中 ， 把 渗 透 测 试 分 成 了 七 个 主 要 的 过 程 ， 也 就 是 说 现 在 通 常 说 的 前 期 交 互 、 目 标 识 别 、 信 息 收 集 、 漏 洞 分 析 、 漏 洞 利 用 、 后 渗 透 测 试 、 报 告 编 制 这 七 大 步 骤 。 如 果 你 看 过 P T E S 标 准 ， 你 应 该 会 跟 我 有 一 样 的 感 觉 ， 后 渗 透 测 试 部 分 的 内 容 ， 几 乎 等 于 其 他 六 个 部 分 的 总 和 。 当 然 ， 也 只 是 在 系 统 规 模 达 到 一 定 程 度 的 时 候 ， 才 会 明 显 的 感 觉 出 来 。 小 生 虽 然 离 开 了 安 全 工 程 师 的 岗 位 ， 还 是 偶 尔 会 遇 到 小 年 轻 们 拿 到 s h e l l 之 后 就 不 知 道 该 干 嘛 了 。 写 了 个 报 告 交 给 客 户 ， 草 草 结 束 了 一 个 项 目 ( 这 也 是 目 前 渗 透 测 试 服 务 的 一 个 弊 病 ， 大 部 分 的 渗 透 测 试 都 以 G e t s h e l l 为 主 要 指 标 ， 能 g e t s h e l l ， 基 本 上 已 经 宣 告 渗 透 测 试 结 束 了 ) 。 内 网 中 ， 如 何 打 开 一 个 稳 定 、 可 靠 的 数 据 通 道 ， 对 后 续 的 测 试 工 作 起 到 非 常 重 要 的 作 用 。 这 里 分 享 一 些 我 在 之 前 渗 透 测 试 中 常 用 的 方 式 。 在 造 成 最 小 影 响 的 情 况 下 ， 构 建 稳 定 的 内 网 代 理 通 道 。 其 实 并 没 有 什 么 新 奇 的 工 具 。 我 相 信 有 很 多 我 没 都 还 没 见 识 过 的 工 具 ， 不 少 坊 间 流 传 的 远 控 工 具 功 能 强 大 ， 也 非 常 易 于 使 用 。 对 于 我 这 种 ， 至 今 还 在 使 用 初 版 菜 刀 的 “ 学 院 派 ” 来 说 ， 最 基 础 的 工 具 ， 往 往 是 最 可 靠 的 。 第 一 个 工 具 ： 第 一 个 工 具 ： S S H ( 别 急 着 喷 ， 先 看 完 别 急 着 喷 ， 先 看 完 ) S S H 在 渗 透 测 试 中 往 往 扮 演 了 非 常 重 要 的 角 色 。 一 方 面 ， 几 乎 所 有 的 L i n u x / U n i x 服 务 器 和 网 络 设 备 都 支 持 S S H 协 议 。 另 一 方 面 ， S S H 是 最 常 用 的 远 程 管 理 协 议 ， 网 络 层 面 的 访 问 控 制 协 议 ， 往 往 会 为 S S H 网 开 一 面 。 很 多 管 理 员 为 了 便 于 管 理 ， 都 会 开 放 S S H 远 程 管 理 ， 总 不 能 每 次 一 出 问 题 就 直 奔 机 房 吧 。 S S H 本 身 是 安 全 的 ， 但 是 安 全 的 通 道 ， 同 样 会 在 网 络 攻 击 中 被 利 用 。 S S H 最 简 单 的 命 令 行 格 式 如 下 ： 使 用 - p 指 定 目 标 服 务 器 上 的 s s h 端 口 或 者 用 下 面 的 形 式 ： 使 用 - N 建 立 静 默 连 接 ( 建 立 了 连 接 ， 但 是 你 看 不 到 会 话 , 这 个 选 项 不 是 所 有 的 s s h 都 支 持 ， 具 体 看 情 况 ) s s h   - N     r o o t @ 1 9 2 . 1 6 8 . 2 0 1 . 1 0 0 : 2 2 2 2 使 用 - f 对 s s h 进 行 后 台 执 行 ， 这 个 选 项 会 把 s s h 转 入 后 台 ， 即 使 用 户 登 出 ， s s h 会 话 也 不 会 终 端 ， 除 非 超 时 。 只 要 在 本 地 设 置 一 下 代 理 端 口 就 可 以 使 用 了 。 估 计 不 少 同 学 也 是 用 过 类 似 的 方 式 去 访 问 某 些 “ 不 可 描 述 ” 的 网 站 。 S S H 的 隧 道 ， 说 得 通 俗 一 些 ， 其 实 就 是 端 口 映 射 ， 或 者 叫 端 口 转 发 。 S S H 一 共 支 持 三 种 隐 射 方 式 ： 动 态 映 射 动 态 映 射 ( 使 用 - D 选 项 ， 前 面 说 的 就 是 这 种 方 式 ) 。 原 理 图 如 下 ： 这 个 命 令 行 会 在 本 机 上 监 听 8 0 8 0 端 口 ， 成 为 一 个 s o c k 5 代 理 ， 只 要 简 单 设 定 一 下 代 理 ， 就 可 以 以 1 9 2 . 1 6 8 . 2 0 1 . 1 0 0 作 为 代 理 服 务 器 传 送 流 量 了 。 本 地 映 射 本 地 映 射 ( 使 用 - L 选 项 ) ， 将 远 端 服 务 器 的 端 口 ， 隐 射 到 本 地 。 原 理 图 如 下 ： s s h   r o o t @ 1 9 2 . 2 6 8 . 2 0 1 . 1 0 0 s s h   r o o t @ 1 9 2 . 2 6 8 . 2 0 1 . 1 0 0   - p   2 2 2 2 s s h   r o o t @ 1 9 2 . 1 6 8 . 2 0 1 . 1 0 0 : 2 2 2 2 s s h   - f     r o o t @ 1 9 2 . 1 6 8 . 2 0 1 . 1 0 0 : 2 2 2 2 s s h   - D   8 0 8 0   r o o t @ 1 9 2 . 1 6 8 . 2 0 1 . 1 0 0
以 S S H   S e r v e r   为 跳 板 ， 将 T a r g e t   H o s t 的 端 口 ， 映 射 到 本 地 服 务 器 上 。 这 时 候 ， 你 访 问 本 地 的 8 0 8 0 端 口 ， 实 际 访 问 的 ， 就 是 T a r g e t   H o s t 的 3 3 0 6 了 。 前 提 ： S S H   S e r v e r 必 须 要 能 通 过 s s h 够 登 陆 到 T a r g e t   H o s t 上 去 。 场 景 ： S S H   S e r v e r 和 T a r g e t   H o s t 都 在 内 网 ， 但 是 外 部 机 器 只 能 访 问 到 S S H   S e r v e r ， 而 无 法 直 接 对 T a r g e t   H o s t 做 任 何 请 求 的 时 候 。 远 端 映 射 远 端 映 射 ( 使 用 - R 选 项 ) ， 将 一 个 远 端 服 务 器 的 端 口 ， 隐 射 到 另 一 个 远 端 服 务 器 。 这 个 时 候 ， 执 行 这 条 命 令 的 主 机 ， 就 成 为 跳 板 机 。 前 提 ： 执 行 这 条 命 令 的 主 机 ， 必 须 同 时 能 够 访 问 S S H   S e r v e r 和 T a r g e t   S e r v e r 。 场 景 ： S S H   S e r v e r 在 外 部 ， 跳 板 机 在 内 网 ， T a r g e t   H o s t 和 跳 板 机 同 网 段 但 无 法 直 接 从 互 联 网 访 问 到 ， 或 者 T a r g e t   H o s t 处 在 更 深 层 的 内 网 。 实 际 上 ， 本 地 映 射 、 远 端 映 射 和 动 态 隐 射 都 可 以 灵 活 应 用 ， 跳 板 机 、 目 标 主 机 的 角 色 是 可 以 互 相 转 换 的 。 假 设 渗 透 测 试 中 的 一 个 场 景 如 下 ： 假 设 ， 每 一 台 服 务 器 你 都 知 道 至 少 一 个 账 户 的 密 码 ， 这 里 假 设 内 网 的 服 务 器 上 都 有 一 个 弱 口 令 的 o r a c l e 账 户 。 第 一 步 ： 登 陆 公 网 跳 板 机 第 二 步 ： 把 2 1 8 . 2 . 1 3 5 . 2 的 公 钥 ， 添 加 到 跳 板 机 1 号 的 信 任 列 表 中 。 公 钥 信 息 ， 在 你 本 地 的 ~ / . s s h / k n o w _ h o s t s 里 面 可 以 找 到 形 如 ： 对 应 的 ， 跳 板 机 1 号 上 你 要 添 加 到 对 应 账 户 的 ~ / . s s h / k n o w n _ h o s t s 文 件 中 。 因 为 s s h 初 次 登 陆 一 台 主 机 的 时 候 ， 会 询 问 用 户 ， 是 否 信 任 该 主 机 。 而 且 ， 如 果 同 一 个 i p ， 其 公 钥 与 此 前 登 陆 时 记 录 的 公 钥 不 必 配 ， 是 无 法 登 陆 的 ， 所 以 需 要 进 行 这 个 操 作 。 第 三 部 ： 映 射 跳 板 机 2 号 的 s s h 端 口 ， 到 公 网 跳 板 机 上 ( 在 跳 板 机 1 号 的 w e b s h e l l 中 执 行 ) 图 解 ： s s h   - L   8 0 8 0 ( 本 地 端 口 ) : 1 9 2 . 1 6 8 . 2 0 1 . 1 0 1 ( 目 标 主 机 ) : 3 3 0 6 ( 目 标 端 口 )   r o o t @ 1 9 2 . 1 6 8 . 2 0 1 . 1 0 0 ( 跳 板 机 ) s s h   - R   3 3 0 7 : 1 9 2 . 1 6 8 . 2 0 2 . 2 4 4 : 3 3 0 6   r o o t @ 1 9 2 . 1 6 8 . 2 0 1 . 1 0 0 s s h   r o o t @ 2 1 8 . 2 . 1 3 5 . 2 2 1 8 . 2 . 1 3 5 . 2   s s h - r s a   A A A A B 3 N z a C 1 y * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 7 / W g g m J 4 O Y M J p 0 O n K Q = = s s h   - f   - N   - R   2 2 2 2 : 2 1 8 . 2 . 1 3 5 . 2 : 2 2   o r a c l e @ 1 9 2 . 1 6 8 . 1 0 0 . 1 0 0
第 四 部 ： 登 陆 到 跳 板 机 2 号 上 因 为 上 一 步 已 经 将 跳 板 机 2 号 的 2 2 端 口 映 射 到 公 网 跳 板 机 上 去 了 ， 这 时 候 可 以 直 接 登 陆 。 （ 注 ， 公 网 跳 板 机 也 要 做 好 防 护 ， 映 射 出 去 的 端 口 ， 很 有 可 能 被 扫 描 或 者 攻 击 ， 这 个 时 候 实 际 上 被 扫 描 的 就 是 内 网 的 服 务 器 ， 我 们 不 希 望 这 种 事 情 发 生 ， 这 个 时 候 就 应 当 限 制 ， 2 2 2 2 端 口 只 能 被 本 地 访 问 ） 第 五 部 ， 在 跳 板 机 2 号 上 继 续 创 建 动 态 隐 射 图 解 ： 渗 透 测 试 中 有 很 多 变 数 ， 不 能 一 竿 子 打 死 ， 只 映 射 特 定 的 一 个 端 口 ( 比 如 1 5 2 1 ) 。 最 后 一 跳 ， 个 人 建 议 以 动 态 映 射 的 方 式 ， 这 样 可 以 保 证 后 续 的 其 他 测 试 工 作 也 能 顺 利 进 行 。 但 如 果 甲 方 对 渗 透 测 试 有 特 定 的 需 求 ， 请 务 必 按 照 甲 方 要 求 的 方 式 进 行 。 ( 比 如 ， 甲 方 不 希 望 你 访 问 除 1 0 . 1 0 . 1 0 . 2 之 外 的 任 意 服 务 器 ， 那 么 最 后 一 跳 就 做 一 个 本 地 隐 射 就 可 以 了 ) 第 六 部 ： 在 跳 板 机 1 号 上 执 行 最 终 ， 打 开 了 一 个 直 通 内 网 核 心 的 S S H 隧 道 。 只 要 配 置 代 理 ， s o c k 5 : / / 2 1 8 . 2 . 1 3 5 . 2 : 7 7 7 7 ， 就 可 以 使 用 浏 览 器 或 者 数 据 库 终 端 或 者 其 他 工 具 ， 来 进 行 更 深 入 的 测 试 。 （ 我 自 己 都 觉 得 好 烦 的 说 … . . ） 你 发 送 的 流 量 ， 在 公 网 跳 板 机 上 ， 跳 板 机 2 号 上 ， 目 标 主 机 上 都 会 进 行 解 密 和 重 新 加 密 的 工 作 ， 所 以 效 率 会 低 很 多 ( 有 点 类 似 于 洋 葱 路 由 了 ) 。 一 般 的 手 工 测 试 或 者 文 件 传 输 没 有 太 大 问 题 ， 但 是 这 个 隧 道 一 般 无 法 支 撑 N a m p 或 者 W V S 之 类 快 速 发 包 的 工 具 。 如 果 你 觉 得 这 些 操 作 太 过 于 繁 琐 ， 不 妨 试 试 S S H   T u n n e l ( 仅 限 M a c ， 非 常 值 得 花 钱 买 的 一 个 软 件 ) 。 w i n d o w s 的 话 ， 还 是 一 行 一 行 敲 命 令 吧 。 第 二 个 工 具 ， 第 二 个 工 具 ， P r o x i f i e r 其 实 我 并 不 是 很 喜 欢 这 个 工 具 ， 虽 然 功 能 强 大 。 个 人 感 觉 配 置 P r o x i f i e r 比 配 置 防 火 墙 还 麻 烦 ， 所 以 用 的 很 少 。 s s h   o r a c l e @ l o c a l h o s t : 2 2 2 2 s s h   - f   - N   - D   1 9 2 . 1 6 8 . 1 0 0 . 1 0 0 : 7 7 7 7   o r a c l e @ 1 0 . 1 0 . 1 0 . 2 s s h   - f   - N   - R   7 7 7 7 : 2 1 8 . 2 . 1 3 5 . 2 : 7 7 7 7   o r a c l e @ 1 9 2 . 1 6 8 . 1 0 0 . 1 0 0
在 P r o x i e s 中 添 加 你 的 代 理 服 务 器 ， 可 以 配 置 多 个 代 理 ， 支 持 S o c k s 4 / 5 ， H T T P S 和 H T T P 代 理 。 看 到 下 面 的 P r o x y C h a i n s 了 么 ？ 这 是 它 非 常 强 大 的 一 个 功 能 。 其 次 是 配 置 代 理 规 则 ， 规 则 中 可 以 详 细 指 定 ， 什 么 应 用 ， 访 问 什 么 站 点 的 时 候 ， 使 用 哪 一 条 代 理 链 路 。 在 渗 透 测 试 的 时 候 ， 这 样 的 多 链 路 代 理 会 有 比 较 大 的 用 处 。 切 记 ， 隧 道 和 多 链 路 代 理 本 身 已 经 打 破 了 信 息 系 统 中 固 有 的 访 问 控 制 策 略 ， 如 果 你 不 能 保 证 你 自 己 的 环 境 是 否 安 全 ， 请 不 要 给 客 户 增 加 额 外 的 麻 烦 。 注 ： P r o x i f i e r 跟 V M w a r e   W o r k s t a t i o n 在 功 能 上 有 冲 突 ， 如 果 安 装 了 P r o x i f i e r ， V M 的 虚 拟 机 共 享 功 能 就 无 法 使 用 。 我 之 前 遇 到 这 个 问 题 ， 蛋 疼 地 把 系 统 都 重 装 好 几 次 才 意 识 到 它 俩 有 冲 突 。 第 三 个 工 具 ， 第 三 个 工 具 ， S S H   P r o x y 算 是 S S H   T u n n e l 的 姊 妹 ， 同 一 个 开 发 者 ， 也 是 只 有 M a c 下 才 有 的 工 具 。 一 般 两 者 配 合 使 用 ， 基 本 上 可 以 不 用 P r o x i f i e r 了 。 它 其 实 就 做 做 了 一 个 S S H 的 动 态 隐 射 而 已 。
配 置 好 本 地 的 映 射 端 口 ， 代 理 的 服 务 器 和 对 应 的 身 份 验 证 信 息 就 可 以 了 。 S S H   P r o x y 的 白 名 单 功 能 比 较 好 用 ， 如 果 只 需 要 对 特 定 的 站 点 或 I P 地 址 进 行 代 理 ， 就 把 I P 地 址 添 加 到 白 名 单 里 就 可 以 了 。 但 相 比 P r o x i f i e r ， 就 没 有 的 P r o x y C h a i n s 功 能 和 多 链 路 代 理 功 能 。 忠 告 ： 不 建 议 使 用 S S H 隧 道 出 墙 ， 因 为 流 量 特 征 明 显 ， 非 常 容 易 被 屏 蔽 。 第 四 个 工 具 ， 第 四 个 工 具 ， w i n d o w s 专 用 的 专 用 的 s o c k 5 代 理 工 具 。 代 理 工 具 。 这 个 工 具 很 小 ， 可 以 使 用 命 令 行 方 式 安 装 ， 可 以 在 系 统 中 注 册 成 一 个 服 务 ， 随 系 统 启 动 。 也 可 以 使 用 下 面 的 命 令 行 来 运 行 这 个 服 务 ， 监 听 的 端 口 是 1 0 0 8 6 。 这 个 工 具 只 有 三 个 参 数 ： s o c k s 5 . e x e   - i     安 装 s o c k s 5 代 理 服 务 s o c k s 5 . e x e   - d   删 除 服 务 s o c k s 5 . e x e   - r   直 接 运 行 代 理 ， 不 会 注 册 一 个 新 的 服 务 。 ( 为 了 避 免 测 试 结 束 之 后 就 忘 记 了 ， 建 议 还 是 用 - r 方 式 直 接 运 行 ， 使 用 完 毕 就 k i l l 掉 这 个 进 程 ) 第 五 个 工 具 ， 第 五 个 工 具 ， n e t s h 我 自 己 用 得 也 不 是 很 多 ， 暂 时 还 没 有 好 的 案 例 可 以 分 享 ， 但 是 在 内 网 中 效 果 还 是 很 不 错 的 。 命 令 行 格 式 如 下 ： 创 建 端 口 映 射 删 除 端 口 映 射 查 看 当 前 所 有 的 端 口 映 射 规 则 ： 同 样 的 ， 如 果 你 能 够 在 多 台 服 务 器 上 创 建 端 口 转 发 的 链 路 ， 效 果 和 s s h 隧 道 几 乎 是 一 样 的 。 最 后 ， 渗 透 测 试 结 束 的 时 候 ， 务 必 清 除 你 创 建 的 所 有 代 理 链 路 。 毕 竟 ， 这 些 代 理 隧 道 已 经 打 破 了 内 网 的 访 问 控 制 策 略 了 。 （ 使 用 - N   和   - f 选 项 建 立 的 S S H 会 话 运 行 在 后 台 ， 只 能 k i l l 掉 对 应 的 进 程 ， 但 别 k i l l 错 了 ） 如 果 你 用 我 的 方 式 去 修 改 了 k n o w n _ h o s t s 文 件 ， 也 要 把 对 应 的 公 钥 信 息 做 清 理 。 小 结 ： 小 结 ： 隧 道 之 所 以 能 成 功 ， 前 提 是 系 统 中 访 问 控 制 不 足 。 如 果 系 统 中 配 置 了 S S H 远 程 管 理 的 白 名 单 ， 或 者 在 A C L 里 限 制 特 定 的 I P 才 能 连 接 S S H ， 又 或 者 系 统 完 全 使 用 带 外 管 理 ， 那 就 得 两 说 了 。 对 于 甲 方 来 说 ， S S H 固 然 是 最 常 用 的 一 种 远 程 管 理 工 具 ， S S H 本 身 安 全 性 也 可 以 保 障 。 但 一 定 要 意 识 到 ， 安 全 工 具 ， 往 往 也 会 沦 为 攻 击 的 重 要 手 段 。 如 果 没 有 足 够 的 资 源 来 建 立 带 外 管 理 的 网 络 结 构 ， 内 网 中 至 少 要 限 制 S S H 远 程 登 录 的 地 址 和 双 向 的 访 问 控 制 策 略 ( 从 外 部 到 内 部 ， 从 内 部 到 外 部 ) 切 记 ， 再 牛 逼 的 安 全 防 护 策 略 ， 也 敌 不 过 内 网 里 遍 地 的 弱 口 令 。 - _ - | | | 我 身 边 的 很 多 人 都 用 L C X ， 但 是 从 业 三 年 时 间 里 ， 我 自 己 还 没 有 成 功 地 使 用 过 这 个 工 具 ， 这 里 就 不 做 介 绍 了 。 期 待 各 位 来 做 补 充 。 * 本 文 作 者 ： 戒 贤 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 n e t s h   i n t e r f a c e   p o r t p r o x y   a d d     v 4 t o v 4   l i s t e n a d d r e s s = 1 9 2 . 1 6 8 . 1 0 0 . 1 0 0   l i s t e n p o r t = 8 4 4 3   c o n n e c t a d d r e s s = 1 0 . 1 0 . 1 0 . 2   c o n n e c t p o r t = 8 4 4 3 n e t s h   i n t e r f a c e     p o r t p r o x y   d e l e t e   v 4 t o v 4   l i s t e n a d d r e s s = 1 9 2 . 1 6 8 . 1 0 0 . 1 0 0   l i s t e n p o r t = 8 4 4 3 n e t s h   i n t e r f a c e     p o r t p r o x y   s h o w     v 4 t o v 4
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理