【安全】内网渗透：内网穿透工具的原理与开发实战

https://studygolang.com/articles/11489

前言

在我国，由于网民众多，运营商无法保证为每一个宽带用户提供全球唯一的公网IPv4地址。因此很多用户会发现通过路由器端查看到的WAN端IP与百度“IP”关键词所得到的IP不一致，并且前者的IP为一个私有IP。

而还有一些情况下，公网IP比较昂贵，企业虽然本身也持有少量的独立的公网IP，但是由于成本限制无法为企业内每一台主机都提供一个公网IP，或者内网并不是所有服务都需要暴露到公网中进行访问，那么企业有可能就会使用NAT技术将大量的内网IP通过一定规则映射到公网IP上。而最常见的其中一种技术就是NAPT，也叫“网络端口地址转换”。因为一般一个服务都是通过一个端口来提供，因此通过这种方式可以将特定的服务通过特定的规则开放到少量的公网IP上。

问题

但是有的时候我们个人宽带用户也想将自己的服务发布到公网IP上。比如说我们做了一个很漂亮的网站想发布到互联网上供大家参观，在没有公网IP的情况下该怎么实现呢？

还有的时候我们在对企业做渗透测试的时候，发现企业某台公网服务器只对公网开放了常见的80端口，而我们提权时需要用到的3389等端口没有对公网开放，这个时候又该怎么办呢？

解决这些问题的方式就是内网穿透了。

NAPT原理

简单来说，在NAT网关上会有一张映射表，表上记录了内网向公网哪个IP和端口发起了请求，然后如果内网有主机向公网设备发起了请求，内网主机的请求数据包传输到了NAT网关上，那么NAT网关会修改该数据包的源IP地址和源端口为NAT网关自身的IP地址和任意一个不冲突的自身未使用的端口，并且把这个修改记录到那张映射表上。最后把修改之后的数据包发送到请求的目标主机，等目标主机发回了响应包之后，再根据响应包里面的目的IP地址和目的端口去映射表里面找到该转发给哪个内网主机。这样就实现了内网主机在没有公网IP的情况下，通过NAPT技术借助路由器唯一的一个公网IP来访问公网设备。

具体原理我到网上找了一张图片

从这里我们可以看到，NAPT只解决了内网主机在没有公网IP的情况下如何访问公网主机的问题，但是并不能解决公网主机如何主动向内网主机发起请求的问题。

私有地址

在较早以前的 RFC 1918 文档中对私有地址有相关的说明。

因特网域名分配组织IANA组织（Internet Assigned Numbers Authority）保留了以下三个IP地址块用于私有网络。

10.0.0.0 - 10.255.255.255 (10/8比特前缀)

172.16.0.0 - 172.31.255.255 (172.16/12比特前缀)

192.168.0.0 - 192.168.255.255 (192.168/16比特前缀)

我们可以看到其中有1个A类地址块，32个B类地址块和256个C类地址块。主流的家用路由器使用C类私有地址作为路由器LAN端的IP地址较多，所以我们可以看到路由器设置页面的IP一般都为192.168开头。

原因

先说说家庭宽带的情况吧。家庭宽带如果没有公网IP，那么意味着你在本机上监听的任何端口，都只能在本机网卡所在的网络中访问，这个网络一般是路由器LAN端所在的网络。如果没有做特定的映射规则，那么路由器WAN端所连接到的网络将无法正常访问该主机提供的服务。

如果这种情况下想要让WAN端（如果运营商为你分配了公网IP，那么WAN端所连接到的网络通常就是公网），那么需要在路由器上做端口映射。比如说路由器的LAN IP为192.168.1.1，WAN IP为23.23.23.23，我想让内网192.168.1.2主机的80端口提供的HTTP服务器直接能够在公网中通过 http://23.23.23.23 访问，那么就要将192.168.1.2:80 映射到 23.23.23.23:80 上。

但是通常情况下，运营商是不会给普通用户公网IP的。那么用这种方法映射，在公网仍然是无法访问的，因为你的路由器WAN端连接的又是运营商更上一级的路由器LAN端，严重一点，甚至是层层连接最后才到公网，这种行为称作流量穿透。国内某电，某动的宽带就有大量这种行为。通过流量穿透的方式来提供的宽带服务，看似便宜，实则影响很大，由于大家公用一个IP，可能会导致很多网站的反SPAM策略伤及无辜，或者内部为了节省带宽，使用缓存，导致一些不该缓存的敏感安全页面被缓存起来，甚至导致部分网站缓存失效完全打不开。

有的人发现，即使自己有公网IP，但是仍然无法通过常规方法架设服务器，这是怎么回事呢？这是运营商为了防止个人随意开设各种非法服务，也防止黑客通过扫描器进行抓鸡和批量扫描，将一些常用端口进行了封禁，比如说我们这的中国电信就将80，8080等端口封禁了。这样封禁，虽然一定程度上保证了我们的网络安全，比如说前段时间的勒索病毒正因为国内大部分用户没有独立的公网IP，并且操作系统最容易爆发漏洞的一些，135，139等端口被运营商封禁了，使得国内个人家庭电脑中招的概率小了很多；但是导致即使有公网IP，也无法使用常用端口向外网提供服务，只能更换到其他端口。这样有什么不好呢？比较典型的问题就是WEB网站默认使用80端口，那么在输入网址的时候可以不用带上端口号，显得比较美观。

解决方案

如果遇到了上述情况，我们该如何解决呢？

如果我们没有一台公网服务器，我们可以使用国内大名鼎鼎的“花生壳”，“nat123”等服务来实现，但是他们背后的原理是什么呢？

我们如果在自己拥有一台具有公网IP服务器的情况下，我们可以借助这台公网IP服务器提供服务。而具体又该怎么操作呢？

解决方案的实现

先假设我们自己有一台公网服务器，它的IP为45.45.45.45。我们又有一台内网服务器IP为23.23.23.23.我们现在想把23.23.23.23:80，即内网服务器上的HTTP服务开放到45.45.45.45上。

最简单粗暴的方式就是，我们可以直接将整个内网服务器环境在公网服务器上重新搭建一遍。

但是这样做很麻烦，我们有的时候并不想这样做，我们只是想简单的借助公网服务器的网络来发布一个内网服务。

前面我们通过NAPT原理得知：NAPT实现了内网主机在没有公网IP的情况下访问公网主机。那么我们可以这样做：假设公网IP为23.23.23.23，内网IP为192.168.1.2。公网主机先监听80端口，监听这个端口是用于向外部提供一个HTTP服务，80是WEB服务器的默认端口。同时其他任意一个端口（这里我们假设为7777），监听这个端口是用于让内网服务器主动连接进来打通一个隧道。接着内网再主动向公网主机的7777发起一个请求，这样内网就成功与公网主机建立了一个连接通道。然后当有任何客户端主动连接公网的80端口时，公网接收到连接请求之后马上把这连接请求通过先前建立好的隧道转发到内网主机，内网主机接收到来自隧道的数据包后再主动连接内网主机自身的80端口，连接成功之后将数据包原封不动地转发数据包给80端口，待HTTP服务器程序处理完这个数据包，生成了响应报文之后再原路转发回去，最终到达公网的80端口，然后返回给最开始请求公网服务器80端口的客户端。

看起来是不是比较绕呢？事实上大名鼎鼎的花生壳内网版以及nat123等内网穿透工具的原理基本就是如此，但是并不完全是这样。因为一个运输层端口只能同时提供一种服务，但是我们会发现花生壳这种内网穿透服务是借助一个公网IP同时给很多用户提供了服务，这是因为花生壳在流量转发这一层上并不是像我之前所说的原封不动的将报文进行转发，而是在转发之前加了一些控制协议的内容，用于指明该转发到哪个花生壳客户端所在的内网主机上。前者这种原封不动的转发方式通常叫做透明传输或者透明代理。

穿透防火墙

为了安全起见，通常会在网络中加入防火墙，防火墙有入站规则和出站规则。如果不是非常严格的安全管控，通常是不会设置出站规则的，但是入站规则一般都会设置的，比如说外部可以通过80端口传入内网的WEB服务器访问网页，但是不能通过3389端口登陆内网的远程桌面。

而在内网渗透的过程中碰到这种情况，我们也可以借助上面内网传统的方式实现穿透防火墙的入站规则。因为防火墙通常只拦截了入站，没有拦截出站，那么我们可以让内网服务器主动出站（主动连接到黑客的服务器），与黑客自己的服务器打通隧道，最终绕过防火墙连上3389远程桌面。

还有一种情况就是我们已经拿下了内网其中一台并没有做任何防火墙规则的白名单服务器，但是我们想连上内网另一台做了入站规则的目标服务器，那么我们可以让这台白名单服务器作为一个跳板，让他先监听自身任意一个端口，然后在有任何用户连上这个端口之后，白名单服务器就主动连上内网的目标服务器，然后借助这台白名单服务器打通黑客和目标服务器的连接隧道。

而在黑客工具中大名鼎鼎的lcx原理也就是如此，前者的实现是lcx的listen和slave命令，后者的实现是lcx的tran命令。

代码实现

知道了原理之后，具体该怎么实现呢？

我这里选择了使用Go语言编程实现了这样一个内网穿透工具。

Golang本身提供了非常多的网络库，并且Golang本身内置的Goroutine能够很方便的处理网络编程中的异步IO，而且最重要的是，Golang开发的程序是可以跨平台运行的，意味着写了一份代码，我们可以在任何一个操作系统上编译并使用。

github.com/cw1997/NATBy

初始运行时根据情况输出欢迎信息以及语法提示（这里要重点注意printWelcome函数末尾调用了time.Sleep阻塞一秒，这是因为fmt包输出是非线程安全的，而log包下的输出都是线程安全的，因此为了防止后面执行流中打的日志会穿插到提示信息中而使用该函数休息一秒钟）

首先通过判断传入参数决定当前使用何种转发策略

然后再判断传入参数是否正确，通过正则表达式等方式验证IP的合法性以及端口范围

通过port2port函数实现了两个端口同时监听双向并且转发数据。

在port2host操作中实现了跳板中转。

在host2host中实现了主动连接打通隧道的功能。

看代码便可以知道，在Golang中进行socket操作的net包要比C语言中的socket.h操作简单很多。

转发功能的核心就在于forward函数部分。

先输出一个日志说明是对哪两个连接进行双向转发，然后通过sync包下的WaitGroup实现一个条件阻塞功能，防止在Goroutine还未执行完，主线程就已经退出了。

然后发射两个Goroutine，分别处理连接1到连接2的IO数据包拷贝以及连接2到连接1的IO数据包拷贝。因为要保证两个端口间的通信是全双工的，也就是两边同时都要能够互相交换数据，所以要用Goroutine来实现这两个操作的并发。

而IO数据包的拷贝核心代码在connCopy函数中，根据是否要记录流量日志判断是否要使用io.MultiWriter这个多路写数据流的函数。

如果打开日志文件的文件流成功，则通过io.MultiWriter函数生成一个多路写入流，这里这个多路写入流的变量名为w，任何写入到w这个写入流的数据都会同时写入先前参与执行多路写入流创建函数io.MultiWriter的参数中，在这里参数为conn1和logFile，即为端口1和日志文件流。

接着调用io.Copy将第二参数的读取流中读取到的数据源源不断地拷贝到第一个参数的写入流中。

这里要注意io.Copy函数是同步阻塞的，意味着只要连接没有断开，那么程序执行流将一直卡在这个函数。如果拷贝出错，那么io.Copy函数就会返回，也就是执行他下面的代码。拷贝出错意味着可能连接已断开，那么先把写入流的连接断掉。

这里要重点注意，为什么是断开写入流而不是读写流全部断开呢。因为我们前面发射了两个Goroutine，如果盲目全部断开，将会导致另一个Goroutine中可能还有未写完的数据丢失。具体可以根据TCP四次挥手来分析。

实际执行

如果没有Golang环境的朋友可以直接下载编译好的可执行文件，下载地址：github.com/cw1997/NATBy

我们先来看看代码编译之后实际运行，上图左边为虚拟机跑的内网服务器，他已经设置了入站规则，通过直接连接192.168.2.112:3389是无法连上远程桌面的。

此时此刻右图开始通过listen命令监听7777和9999端口。

接着内网服务器再通过slave命令开始双向连接黑客的主机（右图的192.168.2.101:7777）以及本地的127.0.0.1:3389。

然后黑客的主机上连接本地监听的另一个端口127.0.0.1:9999即可连接上内网服务器的远程桌面。

大家可以根据netstat -an的结果以及控制台日志输出来综合理解这个过程。

写在最后

这个工具现在实现的仍然只是简单的透明传输，并且存在诸多问题。比如说本地主动连接内网服务是一开始就预连接好的，这样会导致一些服务如果在连上之后长期没有数据传输，会主动断掉连接，导致公网端偶尔出现无法连接上，要重新断开重连后才能连上的小BUG，具体在HTTP服务器要多刷新几次页面，远程桌面则可能要连接上然后又取消，然后再连才能连上。而且在并发连接上处理还有一些细节没有做好。并且目前还仅仅支持TCP连接的转发等等，当然要实现UDP的转发也不是很困难稍加改进即可。大家也可以点个star，提个pull request一起来改进这些问题。目前相关的开源项目也有做的比较成熟的，比如说Golang写的ngork，大家也可以参考参考。

本文章由 @昌维 原创，在知乎专栏-代码之美 https://zhuanlan.zhihu.com/codes 首发，转载请注明出处。大家喜欢和支持我的文章可以点开我的头像以及专栏名称进行关注，或是点击下方的打赏按钮进行支持，谢谢！