搜索

[15248] 2020-04-13_照弹不误：出站端口受限环境下反弹Shell的思考

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-04-13_照弹不误：出站端口受限环境下反弹Shell的思考 照 弹 不 误 ： 出 站 端 口 受 限 环 境 下 反 弹 S h e l l 的 思 考 原 创   y a n g y a n g w i t h g n u   F r e e B u f   2 0 2 0 - 0 4 - 1 3 “ 是 否 允 许 出 站 是 否 允 许 出 站 ” 这 件 事 我 一 直 以 为 无 需 过 多 思 考 ， 无 非 限 制 出 站 协 议 ， 或 者 限 制 出 站 端 口 ， 对 于 限 制 端 口 的 目 这 件 事 我 一 直 以 为 无 需 过 多 思 考 ， 无 非 限 制 出 站 协 议 ， 或 者 限 制 出 站 端 口 ， 对 于 限 制 端 口 的 目 标 十 有 八 九 也 会 保 留 标 十 有 八 九 也 会 保 留   8 0 、 、 4 4 3 ， 向 这 两 个 端 口 反 弹 基 本 能 拿 到 ， 向 这 两 个 端 口 反 弹 基 本 能 拿 到   s h e l l ， 直 到 遇 到 这 个 目 标 ， 引 发 我 对 出 站 端 口 受 ， 直 到 遇 到 这 个 目 标 ， 引 发 我 对 出 站 端 口 受 限 的 环 境 下 ， 限 的 环 境 下 ， 如 何 成 功 反 弹 成 功 反 弹   s h e l l   的 思 考 。 的 思 考 。 这 次 遇 到 的 目 标 ， 通 过   n d a y   轻 松 拿 到   w e b s h e l l ， 打 点 的 过 程 毫 无 波 澜 ， 甚 至 有 一 丝 无 聊 ： w e b s h e l l   虽 然 赋 予 我 执 行 命 令 、 管 理 文 件 的 能 力 ， 但 毕 竟 不 是 真 正 的   s h e l l ， 无 法 执 行 交 互 式 命 令 、 无 法 控 制 进 程 状 态 、 无 法 补 全 命 令 等 等 ， 非 常 不 利 于 提 权 操 作 以 及 横 向 移 动 ， 所 以 ， 必 须 反 弹   s h e l l 。 肌 肉 记 忆 让 我 没 有 过 多 思 考 ， 攻 击 端 监 听 端 口   1 2 3 2 1 ： 目 标 上 执 行 反 弹 命 令 ： 等 待 许 久 ， 攻 击 端 就 是 不 见 回 连 信 息 ， 显 然 ， 一 定 是 目 标 上 的 某 种 防 御 在 作 祟 。 导 致 反 弹 失 败 的 因 素 很 多 ， 反 弹 命 令 不 存 在 、 禁 止 出 站   I P 、 流 量 审 查 等 等 都 有 可 能 ， 于 是 ， 我 从 积 累 的 知 识 库 中 搜 索 所 有 可 能 ， 再 逐 一 验 证 。 比 如 ， 我 在 目 标 上 确 认   b a s h   命 令 的 确 存 在 ： 在 攻 击 端 能 收 到 目 标 发 起 的   p i n g   探 测 ， 攻 击 端 能 收 到   i c m p   记 录 ： 用   S S L   加 密 回 连 流 量 仍 然 反 弹 失 败 ： 我 陷 入 沉 思 ， 这 台 内 网 机 器 ， 既 然 公 网 可 见 ， 说 明 它 的 边 界 处 有 个 防 火 墙 作 公 网   I P   映 射 ：
一 般 来 说 ， 防 火 墙 可 能 干 两 件 事 ， 一 是 限 制 出 站 协 议 、 一 是 限 制 出 站 端 口 。 协 议 方 面 ， 前 面 已 经 验 证 过   I C M P   可 以 出 网 而   H T T P   不 行 ， 所 以 ， 我 可 以 尝 试 用   I C M P   隧 道 反 弹 ， 即 便 可 行 ， 效 率 肯 定 也 不 高 ； 端 口 方 面 ， 目 标 通 过 防 火 墙 配 置 出 站 端 口 策 略 ， 若 限 制 端 口 黑 名 单 较 大 或 允 许 端 口 白 名 单 较 小 ， 则 攻 击 者 很 难 猜 测 出 哪 些 端 口 有 效 。 从 以 往 的 经 验 判 断 ， 8 0 、 4 4 3   是 两 个 可 能 性 较 大 的 允 许 出 站 的 端 口 ， 于 是 我 又 依 次 尝 试 向   8 0 、 4 4 3   反 弹 ， 失 败 ！ 捋 一 捋 ， 通 过 漏 洞 获 取 了   w e b s h e l l ， 该 主 机 只 开 放 了   H T T P   服 务 的   8 0   端 口 ， 要 获 得   s h e l l   有 两 种 方 式 ， 正 向 连 接 、 反 向 连 接 。 正 向 连 接 ， 目 标 上 用   n c   监 听 的 端 口 对 攻 击 端 不 可 见 ， 只 得 利 用 类 似   r e G e o r g   建 立   H T T P   隧 道 ； 反 向 连 接 ， 目 标 上 用   n c   回 连 攻 击 端   I P   及 端 口 。 前 者 效 率 低 下 ， 聚 焦 后 者 ， 目 标 允 许 向 外 访 问 任 意   I P ， 但 严 格 限 制 只 能 访 问 外 部 某 几 个 特 定 端 口 ， 攻 击 者 必 须 找 出 有 效 端 口 ， 否 则 反 弹   s h e l l   的 流 量 无 法 通 过 防 火 墙 到 达 攻 击 端 。 所 以 ， 我 需 要 猜 解 出 站 端 口 。 猜 解 出 站 端 口 ， 思 路 与   S Q L i   或   C M D i   盲 注 的 带 外 信 道 手 法 差 不 多 ， 即 ， 攻 击 端 监 听 某 个 端 口 ， 目 标 访 问 攻 击 端 的 该 端 口 ， 若 攻 击 端 出 现 端 口 访 问 记 录 则 说 明 该 端 口 是 目 标 允 许 的 出 站 端 口 。 思 路 简 单 ， 但 实 现 不 一 定 容 易 ， 要 成 功 猜 解 出 有 效 端 口 ， 需 要 关 注 三 方 面 事 宜 ： 目 标 的 端 口 探 测 命 令 、 猜 测 的 端 口 范 围 、 攻 击 端 的 端 口 请 求 记 录 。 目 标 的 端 口 探 测 命 令 目 标 的 端 口 探 测 命 令 说 到 端 口 状 态 探 测 ， 第 一 时 间 想 到 的 肯 定 是   n m a p 、 m a s s c a n 、 n c   这 类 专 用 工 具 。 看 下 目 标 上 有 没 有 ： 毫 无 悬 念 地 没 有 ； 自 己 装 个   m a s s c a n   试 试 ： 权 限 又 不 够 ， 即 便 有 权 限 ， 估 计 也 连 接 内 网 的 镜 像 源 ； 那 我 上 传 个 与 目 标 架 构 、 发 行 套 件 一 致 的   n m a p   呢 ： 缺 失 依 赖 出 现 段 错 误 而 无 法 运 行 。 没 事 ， 除 了 以 上 那 些 专 用 工 具 外 ， l i n u x   中 还 有 其 他 挺 多 可 选 的 方 式 ， 可 以 利 用   p y t h o n 、 p e r l 各 类 脚 本 语 言 探 测 端 口 ， 也 能 借 助   c u r l 、 w g e t   这 类   H T T P   客 户 端 实 现 ， 只 要 能 请 求 服 务 的 命 令 均 可 ， 但 是 ， 环 境 就 是 那 么 苛 刻 ， 我 要 啥 它 没 啥 ：
好 嘛 ， 这 时 ， 我 觉 得 基 本 无 解 ， 不 借 助 第 三 方 命 令 不 可 能 达 到 端 口 探 测 的 目 的 。 休 息 一 会 ， 是 喝 口 水 去 打 乒 乓 球 哇 ， 还 是 去 打 乒 乓 球 喝 口 水 呢 。 回 过 头 ， 检 查 之 前 的 反 弹 命 令 是 否 有 误 ： 突 然 ， 我 注 意 到   / d e v / t c p   后 面 的   1 2 3 2 1   端 口 ， (   ⊙   o   ⊙   ) # ， 这 不 就 是 在 探 测 端 口 么 。 一 切 皆 文 件 ！ l i n u x   下 探 测 端 口 状 态 竟 如 此 简 单 ， 比 如 ， 探 测   b a i d u . c o m   的   4 4 3   端 口 ， 一 定 存 活 ： 但 由 于 这 不 是 专 门 的 端 口 探 测 工 具 ， 所 以 存 在 三 个 问 题 ， 一 是 如 何 批 量 输 入 端 口 ， 二 是 如 何 控 制 任 务 超 时 ， 三 是 如 何 查 看 探 测 结 果 。 于 是 ， 我 开 始 在 本 地 探 索 解 决 思 路 。 批 量 端 口 问 题 。 这 个 不 难 ， 使 用   b a s h   的   f o r   语 句 即 可 ： 若 目 标 过 滤 大 括 号 ， 可 考 虑 ： 若 目 标 过 滤 小 于 号 ， 可 考 虑 ： 甚 至 无 需 任 何 特 殊 字 符 ：
解 决 了 第 一 个 问 题 。 超 时 控 制 问 题 。 当 我 用   / d e v / t c p   去 探 测 某 个 存 在 的 端 口 时 ， 命 令 将 立 即 返 回 ， 而 探 测 某 个 不 存 活 端 口 时 ， 命 令 将 挂 起 ， 直 到 强 制 退 出 ： 所 以 ， 必 须 得 想 个 法 子 让 它 超 时 时 自 动 结 束 。 超 时 ， t i m e o u t ， 哇 ， 这 么 简 单 啊 。 比 如 ， 本 来 要 执 行   8 s   的 命 令 ： 借 助   t i m e o u t 命 令 可 以 实 现 超 时 控 制 ： 第 二 个 问 题 搞 定 。 查 看 探 测 结 果 。 你 知 道 ， 在   b a s h   中 命 令 执 行 结 果 可 以 通 过 环 境 变 量   $ ?   查 看 ， 成 功 为   0 、 是 否 非   0 ， 换 言 之 ， 我 需 要 找 个 方 式 判 断   $ ?   是 否 为   0 ， 常 规 方 式 用   i f   语 句 ， 或 者 ， 更 优 的 方 式 ， 短 路 运 算 符   & &   和   | | ： 第 三 个 问 题 也 不 是 问 题 了 。 解 决 了 以 上 三 个 问 题 ， 我 在 不 借 助 任 何 外 部 命 令 情 况 下 ， 实 现 了 批 量 探 测 端 口 ：
虽 然 这 次 关 于 出 站 端 口 探 测 的 思 考 是 由   l i n u x   的 目 标 引 起 的 ， 但 从 知 识 体 系 完 整 性 考 虑 ， 我 应 该 把   w i n d o w s   系 统 也 考 虑 进 去 。 w i n d o w s   命 令 行 环 境 条 件 苛 刻 ， 几 乎 没 有 专 门 用 于 端 口 探 测 的 内 部 命 令 ， 只 能 借 助 那 些 访 问 服 务 的 命 令 间 接 实 现 ， 另 外 ， 我 仍 然 需 要 解 决 批 量 端 口 、 超 时 控 制 等 问 题 。 批 量 输 入 端 口 ， c m d   中 的   f o r   语 句 可 以 实 现 ： 控 制 任 务 超 时 ， l i n u x   有   t i m e o u t   命 令 ， 本 质 上 ， 一 旦 超 时 则 向 目 标 进 程 发 送   K I L L   信 号 ， 达 到 控 制 进 程 运 行 时 长 的 目 的 。 w i n   也 有   t i m e o u t ， 但 语 义 完 全 不 同 ， 类 似   l i n u x   的   s l e e p   命 令 ， 没 关 系 ， 参 考   l i n u x   版   t i m e o u t   原 理 ， 搭 配   t a s k k i l l 命 令 也 能 间 接 实 现 ： 其 中 ， p i n g   - n   3 2 1 2 7 . 0 . 0 . 1   模 拟 长 时 间 运 行 的 进 程 ， t i m e o u t   / t   1   为 等 待 时 长 ， 一 旦 等 待 时 长 到 期 则 用   t a s k k i l l   / i m   p i n g . e x e   杀 死 进 程 。 虽 然 不 及   l i n u x   优 雅 ， 聊 胜 于 无 。 具 体 到 端 口 探 测 ， 大 概 有   t n c   模 块 和   t e l n e t   命 令 两 种 方 式 。 t n c   模 块 方 式 。 t n c   也 就 是   p o w e r s h e l l   的   T e s t - N e t C o n n e c t i o n   模 块 ， 专 门 用 于 网 络 连 接 性 测 试 ： 其 中 ， t n c   默 认 先 用   I C M P   探 测   I P   存 活 性 ， 通 过 指 定   - I n f o r m a t i o n L e v e l   选 项 为   Q u i e t   参 数 ， 可 忽 略   I P   探 测 ， 只 关 注 端 口 是 否 存 活 ， 类 似   n m a p   的   - P n   选 项 ， 以 提 高 端 口 探 测 效 率 。 t e l n e t   命 令 方 式 。 服 务 器 上 基 本 安 装 了   t e l n e t ， 也 可 用 于 探 测 端 口 状 态 ： 用   t e l n e t   命 令 访 问 攻 击 端 的   [ 4 4 0 ,   4 4 5 ]   的 端 口 ， 每 次 访 问 限 时   1 s 。
猜 测 的 端 口 范 围 猜 测 的 端 口 范 围 目 标 既 然 允 许 访 问 外 部 的 几 个 端 口 ， 一 定 是 那 些 端 口 提 供 目 标 所 需 服 务 ， 那 么 ， 我 没 必 要 一 开 始 就 到   [ 1 ,   6 5 5 3 5 ]   中 去 找 有 效 端 口 ， 而 是 根 据 服 务 的 常 见 程 度 ， 将 所 有 端 口 划 为 几 个 层 次 ， 依 次 逐 层 猜 解 。 第 一 层 ， 最 常 见 端 口 。 经 验 来 看 ， D N S   的   5 3 、 H T T P   服 务 的 默 认 端 口   8 0 、 H T T P S   的   4 4 3   是 三 个 最 常 见 的 出 站 端 口 。 w i n   下 执 行 如 下 命 令 行 确 认 出 站 端 口 ： l i n u x   下 执 行 ： 第 二 层 ， 较 常 见 端 口 。 大 概 包 括 如 下 几 类 ： w e b   服 务 ，   H T T P   的   8 0 、 H T T P S   的   4 4 3 ； 中 间 件 服 务 ， w e b l o g i c   的   7 0 0 1 / 7 0 0 2 、 w e b s h p e r e   的   9 0 8 0 / 9 0 9 0 、 j b o s s   的   8 0 8 0 ； 远 程 管 理 服 务 ， S S H   的   2 2 、 t e l n e t   的   2 3 、 S N M P   的   1 6 1 、 R D P   的   3 3 8 9 ； 数 据 传 输 服 务 ， F T P   的   2 1 、 S C P / S F T P   的   2 2 、 S M B   的   1 3 7 / 1 3 8 / 1 3 9 / 4 4 5 ； 数 据 库 服 务 ， m s s q l   的   1 4 3 3 、 m y s q l   的   3 3 0 6 、 o r a c l e   的   1 5 2 1 、 L D A P   的   3 8 9 ； 缓 存 服 务 ， r e d i s   的   6 3 7 9 、 m e m c a c h e d   的   1 1 2 1 1 ； 邮 件 服 务 ， S M T P   的   2 5 、 P O P 3   的   1 1 0 、 I M A P   的   1 4 3 ； 其 他 服 务 ， D N S   的   5 3 、 N T P   的   1 2 3 、 k e r b e r o s   的   8 8 ； w i n   下 探 测 ： l i n u x   下 探 测 ： 第 三 层 ， t o p 1 0 0   常 见 端 口 。 n m a p   默 认 扫 描   t o p 1 0 0 0   常 见 端 口 ， 通 过   — t o p - p o r t s   选 项 可 以 指 定 扫 描 更 多 常 见 端 口 ：
也 就 是 说 ， n m a p 内 部 梳 理 了 一 份 已 知 服 务 默 认 端 口 列 表 ， 并 且 还 能 按 常 见 程 度 排 序 ， 简 直 巴 适 ， 要 获 取   t o p 1 0 0   常 见 端 口 ： w i n   下 探 测 ： l i n u x   下 探 测 ： 采 用 相 同 思 路 ， 我 可 以 持 续 探 测   t o p 2 0 0 、 t o p 4 0 0   常 见 端 口 。 攻 击 端 的 端 口 请 求 记 录 攻 击 端 的 端 口 请 求 记 录 从 目 标 发 起 的 端 口 访 问 请 求 ， 攻 击 端 必 须 得 配 合 记 录 ， 否 则 即 便 找 到 有 效 的 出 站 端 口 ， 我 也 无 法 获 悉 。 思 路 一 ， 单 个 逐 次 监 听 端 口 。 对 于 少 量 端 口 的 探 测 ， 攻 击 端 很 容 易 记 录 。 比 如 ， 要 验 证   w i n d o w s   目 标 的   8 0 8 8   端 口 是 否 为 出 站 端 口 ， 我 先 在 攻 击 端 用   n c   - n   - v   - l p   8 0 8 8   监 听   8 0 8 8 ， 指 定   - v   选 项 观 察 实 时 访 问 记 录 ， 再 在 目 标 上 用   t e l n e t 1 9 2 . 1 6 8 . 5 6 . 8   8 0 8 8   连 接 攻 击 端 的   8 0 8 8   端 口 ， 最 后 在 攻 击 端 查 看 端 口 访 问 记 录 ， 若 有 则 该 端 口 是 有 效 出 站 端 口 ： 若 无 则 重 复 以 上 步 骤 继 续 验 证 其 他 端 口 。 对 于   t o p 1 0 0   甚 至   t o p 1 0 0 0   这 样 大 规 模 的 端 口 探 测 ， 当 前 验 证 目 标 的   8 0   端 口 ， 那 么 攻 击 端 也 要 联 动 监 听   8 0 ， 验 证   8 1 则 联 动 监 听   8 1 ， 手 工 执 行   n c   不 断 监 听 不 同 端 口 是 不 现 实 的 ， 这 就 需 要 一 个 脚 本 ， 控 制 攻 击 端 的 监 听 动 作 和 目 标 端 的 探 测 动 作 ， 倒 是 可 以 写 个 这 样 的 脚 本 ， 但 通 用 性 不 强 ， 我 得 找 寻 更 加 普 适 性 的 方 法 。 思 路 二 ， 批 量 捆 绑 监 听 端 口 。 试 想 一 下 ， 如 果 能 够 把 攻 击 端 的 多 个 端 口 流 量 转 发 至 单 个 汇 聚 端 口 ， 就 只 需 监 听 单 个 汇
聚 端 口 ， 目 标 上 发 起 多 个 端 口 探 测 ， 只 要 在 攻 击 端 转 发 的 多 个 端 口 的 范 围 内 ， 那 么 ， 一 旦 找 到 有 效 出 站 端 口 ， 攻 击 端 的 汇 聚 端 口 一 定 有 访 问 记 录 。 说 到 端 口 转 发 ， 系 统 自 带 的   s s h 、 i p t a b l e s ， 三 方 的   f r p 、 n p s ， 这 些 工 具 都 能 高 效 实 现 ， 于 是 ， 我 从 这 四 个 工 具 中 找 寻 具 备 端 口 捆 绑 能 力 的 那 位 ， 简 单 查 阅 资 料 ， i p t a b l e s   就 是 我 需 要 的 。 只 需 一 条 命 令 行 即 可 实 现 端 口 捆 绑 ， 如 下 ： 这 样 ， 就 把   6 5 5 3 5   个 全 量 端 口 捆 绑 至   4 4 4 2   端 口 。 验 证 下 ， 在 攻 击 端 将 全 量 端 口 捆 绑 至   4 4 4 2   端 口 ： 监 听   1 0 0 8 6   端 口 ： 靶 机 目 标 取 消 所 有 出 站 限 制 ， 访 问 攻 击 端 的   1 0 0 8 6   端 口 ： 显 示 端 口 不 存 活 ！ 这 正 是 端 口 捆 绑 的 必 然 结 果 ， 因 为 攻 击 端 接 收 到 的   1 0 0 8 6   端 口 访 问 流 量 已 被 转 发 至   4 4 4 2   端 口 ， 而 n c   并 未 监 听   4 4 4 2 ， 所 以 没 有 访 问 记 录 。 接 下 来 ， n c   监 听   4 4 4 2 ： 目 标 端 再 次 访 问   1 0 0 8 6 ： 你 看 ， 攻 击 端 收 到 访 问 记 录 了 ： 验 证 完 毕 ， 不 再 需 要 端 口 捆 绑 ， 恢 复 先 前 规 则 ： s u d o   i p t a b l e s   - A   P R E R O U T I N G   - t   n a t   - p   t c p   - - d p o r t   1 : 6 5 5 3 5   - j   R E D I R E C T   - - t o - p o r t   4 4 4 2
安 逸 哇 ， 这 样 我 监 听 单 个 端 口 即 可 获 取 全 量 端 口 的 探 测 记 录 。 如 果 再 结 合 结 合   M S F   的   r e v e r s e _ t c p _ a l l p o r t s   载 荷 ， 甚 至 可 以 省 去 找 寻 有 效 端 口 的 步 骤 ， 直 接 反 弹   s h e l l 。 w i n d o w s   环 境 的 模 拟 实 验 环 境 的 模 拟 实 验 简 单 模 拟 实 战 中 反 弹   s h e l l   的 场 景 。 先 看   w i n d o w s   环 境 。 第 一 步 ， 查 看 环 境 信 息 。 靶 机   I P   为   1 9 2 . 1 6 8 . 5 6 . 9 ， 如 下 ： 攻 击 端   I P   为   1 9 2 . 1 6 8 . 5 6 . 8 ， 如 下 ： 第 二 步 ， 配 置 出 站 策 略 。 在 操 作 系 统 自 带 防 火 墙 中 增 加 出 站 策 略 ， 只 允 许   2 0 4 8   端 口 出 站 ， 即 禁 止   1 - 2 0 4 7   及   2 0 4 9 - 6 5 5 3 5 ， 规 则 管 理 界 面 中 配 置 即 可 ： 攻 击 端 监 听   2 0 4 7   端 口 ： 从 目 标 访 问 攻 击 端 的   2 0 4 7   端 口 ， 结 果 为 不 存 活 ： 攻 击 端 重 新 监 听   2 0 4 8   端 口 ：
从 目 标 访 问 攻 击 端 的   2 0 4 8   端 口 ， 结 果 为 存 活 ： 说 明 只 放 行   2 0 4 8   端 口 的 出 站 策 略 已 生 效 。 第 三 步 ， 攻 击 端 端 口 捆 绑 。 为 了 便 于 接 收 目 标 发 起 的 端 口 探 测 ， 将 攻 击 端 的 全 量 端 口 捆 绑 至   4 4 4 2   端 口 ： 并 在 攻 击 端 监 听 汇 聚 端 口   4 4 4 2 ： 第 四 步 ， 目 标 端 猜 解 出 站 端 口 。 现 在 ， 我 的 身 份 恢 复 为 攻 击 者 ， 假 定 先 前 通 过 漏 洞 拿 到 目 标   1 9 2 . 1 6 8 . 5 6 . 9   的 命 令 执 行 权 限 ， 且 执 行 结 果 有 回 显 。 尝 试 在   n m a p   定 义 的   t o p 1 0 0   常 见 端 口 范 围 内 找 寻 允 许 出 站 的 端 口 ， 很 快 找 到   2 0 4 8   为 有 效 端 口 ： 第 五 步 ， 反 弹   s h e l l 。 首 先 ， 攻 击 端 取 消 端 口 捆 绑 ： 然 后 ， 攻 击 端 生 成 反 弹 端 口 为   2 0 4 8   的   p s 1   脚 本 木 马 ： 并 启 动   M S F   监 听   2 0 4 8   端 口 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理