不出网主机的几种上线方式

阅读量    101359 |

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

 

前言

拿到一台边缘机器后,内网的机器很有可能大多数都不出网,这时又想上线cs方便后续操作。本文就如何上线不出网主机的方式进行了总结。

 

环境搭建

目标内网机器

  • os:win server 2012
  • ip:192.168.57.137

边缘机器

  • os:win server 2012
  • ip1:192.168.1.103(出网)
  • ip2:192.168.57.136

攻击机器

  • os:kali liunx
  • ip:192.168.1.128

  • os:ubutu 16.04
  • vps ip:47.xxxxxxxx

由于边缘主机出网,选择reverse反向连接,现在已经上线边缘主机

 

SMB Beacon

该方法通过已有的父Beacon使用SMB协议进行正向连接不出网机器,要求目标开启445端口,通过命名管道进行认证即可上线。其实有点像psexec这样的工具,有用户名和hash后,即可执行远程命令,其原理相似。内网的机器密码相同的情况很多,这也是为什么现在为了提高安全性不能批量设置密码,内网渗透一但有了密码往往有时候就宣告结束。

并且有个好处就是SMB协议一般防火墙是不拦截的,在一定程度上可以规避防火墙拦截。

先使用hashdump和logonpasswords命令抓一波密码。由于这里是win2012系统,是无法直接抓取明文密码的,这里也不需要去修改注册表,或者通过mimilib.dll注入的方式去获取明文密码,有hash就足够了,SMB验证身份本身用的就是NTMLv2协议。

这里是抓到了该机器上的hash

有个小tips,如果对方机器是64位的,最好就用x64的exe上线就可以了,以前我觉得x32和x64都行。虽然都可以上线,但是如果用的是x32的beacon,很有可能是抓不到64位机器上的密码的,使用cs集成的mimikatz会提示:32位的mimikatz无法抓取到64位机器的密码。所以目标是最好就用64位就用64位的artifact。

然后通过端口扫描,发现内网机器:

到这里不懂原理的小白(我)可能就会直接使用cs自带的psexec功能直接去横向,恰巧我之前就是这么做的,想起来还挺有意思的。

结果就是服务已经创建了,但是上不了线,那会儿自己心里想肯定是cs出bug了,还烦了一会儿,现在想起来还挺有意思的。

本身是没有问题的,说明psexec已经成功的完成了ntml认证,并且认证成功,但是这时候shell是反弹给边缘机器的,如果要上线就要再新建一个SMB Beacon Listener。相当于通过边缘机器再中转一下,反弹shell到vps。

选择子Beacon:SMB Beacon。成功上线。

(出去吃个饭回来内网机器ip变了。。)

这里可以看下拓扑图,是通过边缘机器正向连接了不出网的内网主机。

在external后面有一个oooo,这实际上是标明了当前SMB的连接状态:

SMB Beacon有两个命令:link,unlink。

unlink则会断开连接,link会重新连接

执行命令unlink

unlink 192.168.57.140

后面的oooo变成了oo oo,说明已经断开连接,但是只是断开了连接,进程并没有被杀掉。

使用命令重新回连:

link 192.168.57.140

我在实战中暂时没有用到过这个功能,但应该是有一定作用的,持久化后门,更加隐蔽?这里具体的实战情景明白的师傅可以说一下。

 

TCP Beacon

这种方式一般试用于:密码撞不上,内网机器有web服务。

这里做个代理,假设已经写入了shell文件,用冰蝎挂代理去连webshell。

在cs上新增一个Listen,Tcp Beacon

横向的时候最好都使用这个带s的windows可执行文件,s的含义为Stageless,相对的是Stager。下面是我自己的理解:

Stager是分步式,分阶段的,只用少部分代码来请求和加载payload,cs的加载payload模式为反射加载beacon.dll,但这个beacon.dll并不在可执行文件中,而是在远程C2服务端。

Stageless则是将beacon.dll包含在可执行文件中,并且可能有写额外的操作,于是文件比较大,特征也更明显,但是适合横向不出网机器,因为不出网所以有可能请求不了c2服务端上的beacon.dll。

Stageless的可执行文件比Stager的可执行文件大了将近15倍。真的离谱。

然后用冰蝎上传beacon.exe。然后执行

执行后使用connect 命令连接:

connect 192.168.57.140

拓扑图如下,为tcp正向连接:

同样是可以使用unlink来断开连接,这里与SMB Beacon不一样的是,如果Beacon进程是以普通权限运行的话,进程会直接死掉,再connect就会失败。

这里由于是Administrator权限,unlink后可以通过connect重新连接回来。

 

Reverse TCP Beacon

也可以被称为中继上线。

同样需要有内网web,传shell。右键跳板机shell,选择Pivoting->Listener。

Listen Host为内网ip。

这里要注意一下,如果有多张网卡,这个默认的Listen Host是需要改的,需要填入同一网段的ip。

比如我这里的跳板机器就有两张网卡,默认填入的host是192.168.1.103,这个就需要改,因为内网不出网机器是无法访问到192.168.1.103这张网卡的,只能访问192.168.57.143(跳板机ip又变了)

同样生成Stageless的可执行文件。

上传后执行beacon.exe

执行后回来看cs就已经上线,不需要link或者connect了。

拓扑图为反向的tcp连接

值得注意的是,中继方法无法unlink后重连,不管权限如何,一旦unlink后进程直接结束。要想重新上线只能重新执行beacon.exe。

 

后记

实际情况下,由于环境原因,网络状况错综复杂。比如:stageless的可执行文件比较大,又因为挂了代理,传不上去怎么办。其实就可以将beacon.exe上传到跳板机器上,用windows自带的certutil工具,直接在内网机器上请求下载跳板机上的beacon.exe。这样确实是更加稳当的。

上面这个tips是我再看星球中的@emmm…分享的pdf学到的,感谢分享。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多