端口复用 | 基于Http.sys利用工具

admin 2023年2月25日12:59:55评论80 views字数 719阅读2分23秒阅读模式
声明:公众号大部分文章来自作者日常学习笔记,也有部分文章是经过作者授权和其他公众号白名单转载,未经授权,严禁转载,如需转载,联系开白。
请勿利用文章内的相关技术从事非法测试,如因此产生的一切不良后果与文章作者和本公众号无关。

现在只对常读和星标的公众号才展示大图推送,建议大家能把潇湘信安设为星标”,否则可能看不到了...!

工具原理

利用Http.sys驱动对urlacl进行操作,由于Http.sys是IIS服务器的基础,其优先级高于IIS,不会造成端口绑定冲突,达到端口复用效果,由于与受害机对外服务端口相同,可做到极高的隐蔽性。
作者原文:还在用winrm吗?浅谈http.sys的使用姿势

使用方法

此工具的使用前提是:管理员权限、IIS环境

1. 基于路径进行复用
Joker.exe "http://*:{PORT}/{PATH}"

端口复用 | 基于Http.sys利用工具

可直接使用蚁剑进行连接,配置如下:
端口复用 | 基于Http.sys利用工具

连接密码随便填写

端口复用 | 基于Http.sys利用工具

2. 基于HOST进行复用(强烈推荐)
Joker.exe "http://{HOST}:{PORT}/"

端口复用 | 基于Http.sys利用工具

蚁剑配置如下
端口复用 | 基于Http.sys利用工具

端口复用 | 基于Http.sys利用工具

这样,在正常访问80端口的时候为正常业务,在带特殊的头访问80端口的时候则为后门程序。

3. Regeorg适配

项目JokerTunnel为对Regeorg适配版本。
端口复用 | 基于Http.sys利用工具
端口复用 | 基于Http.sys利用工具

客户端使用Regeorg进行连接即可

二次开发

此项目的handle都集中在handle.h当中,以执行为例,传入参数依次为Request的body、RequestBody的长度与响应内容的指针

端口复用 | 基于Http.sys利用工具

下载地址

链接:https://pan.baidu.com/s/1a3IgSoQw7O0siz2wJ7x0IQ
提取码:b8fa

原文始发于微信公众号(潇湘信安):端口复用 | 基于Http.sys利用工具

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年2月25日12:59:55
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   端口复用 | 基于Http.sys利用工具https://cn-sec.com/archives/1574142.html

发表评论

匿名网友 填写信息