内网常见隧道工具的使用

在学习内网安全的时候，总会见到一些隧道的概念。搭建隧道对于内网渗透来说是一个必不可少的环节。简单理解，隧道的概念即是做端口转发，将流量通过某种方式，转发到内部机器。

在内网渗透的过程中，当获取到边界主机之后，需要继续深入渗透，这时就需要搭建代理或者建立隧道，去探测访问处于内网中的机器。

常见的方法有：搭建socks5代理、端口转发、建立隧道等

frp即高性能反向代理应用，其主要用于将部分内网服务"暴露"到公网上供用户使用（例如http等）。官方给出的功能列表如下：

利用处于防火墙后的机器，对外网环境提供 http 或 https 服务。对于 http, https 服务支持基于域名的虚拟主机，支持自定义域名绑定，使多个域名可以共用一个80端口。利用处于防火墙后的机器，对外网环境提供 tcp 和 udp 服务，例如在家里通过 ssh 访问处于公司局部环境的主机。

这里稍微谈论一下反向代理和正向代理：

（1）正向代理

即当客户端由于某种原因，不能访问外部服务的时候（例如防火墙的限制），就需要一台代理服务器来中转一下（例如使用socks5代理服务器）。比较常见的方式就是使用VPN（俗称翻墙）。

在内网渗透的过程中，当我们获取到一台边界服务器之后，需要继续向内进行渗透时，可以将该边界服务器作为代理服务器，通过该服务器去访问内网服务。（即正向代理）

（2）反向代理

反向代理一般用于负载均衡。即当我们想要访问Web服务时，会发送一条请求给反向代理服务器，该代理服务器会将请求转发给处于内网的Web服务器（根据负载程度，转发到不同服务器），从而实现负载均衡。

反向代理对于客户端来说（即发送请求的一端）是透明，我们不知道代理服务器将请求发送给哪台主机。

（3）正向代理与反向代理的区别

正向代理对于服务器来说是透明的，因为它不知道访问它的客户是谁，所有的请求都是通过正向代理服务器转发过去的。

而反向代理对于客户端来说是透明的，即它不知道请求的目标主机的真正IP，因为它将所有的请求都只是发送到反向代理服务器上面。

适用场景：

（1）由于防火墙的限制，部分端口不能直接访问，可以将端口转发出去从而绕过防火墙（前提是获取了该目标主机的shell）

（2）利用frp可以搭建socks5服务

采用实验的方式进行理解：

实验拓扑结构：

目的：将内网机器Ubuntu Server流量通过OWASP Web服务器转发出来

接下来在V-PS直接连接边界主机的6000端口即可连接到内网的22端口

接下来通过socks5代理的方式去访问内网机器的22号端口:

SSH即Secure Shell，它对传输的数据进行了加密处理。利用SSH，也可以实现端口转发

SSH一般用于本地端口转发和远程端口转发

顾名思义，就是将本机的某个端口转发出去。

考虑以下这种情况：

V-P-S要连接内网机器，就必须得通过中间那台服务器。如果我们知道中间那台服务器的账号和密码，就可将中间服务器当作跳板，去访问内网机器，具体做法如下：

远程端口转发即将一台远程主机的端口转发到另外一台主机的某个端口

与本地端口转发不同，它需要在中间服务器上执行（也就是上面的跳板），一般用于内网流量可以出去，但是外网流量由于防火墙限制不能进的情况。

考虑以下这种情况：

在中间服务器执行ssh的远程端口转发，打开V-P-S的某个端口，与内网机器（中间服务器能访问的机器）的某个端口做一个映射。（与本地端口转发类似，这里只不过是打开远程主机的某个端口）

常规操作：

做个实验：模拟中间服务器不允许V-P-S访问其80端口，通过在中间服务器做一个远程端口转发，绕过防火墙

以上述实验拓扑为例，EarthWorm可以做正向代理和反向代理

（这里正向代理的含义是中间服务主动打开了一个端口等待我们的V-P-S连接，也就是主动去连接）

由于是做端口转发，因此考虑的场景是从外（边界）向里（内网），利用此工具进行端口转发，从而访问内网。

例如：假设边界主机是一台windows，并且我们已经获取了相应的权限。接下来要做的事情是向内网继续进行渗透。

实验拓扑：

由于V-PS无法直接访问内网的服务，因此在边界windows主机上做一个端口转发，将流量转发到内网主机的某个端口上。（以访问内网80端口为例）

考虑到另外一种场景：由于防火墙的限制，该windows主机只开放了几个端口，而你又想访问其他端口（例如3389）

此时可以做一个本地端口转发，将3389端口的流量映射到其他开放的端口上

netsh配置防火墙有两个参数firewall和advfirewall（firewall是简单模式、advfirewall是高级模式）

去查看防火墙规则，也可以看见此规则添加成功。

Neo-reGeory是一款建立HTTP隧道的工具，适用于目标服务器只开放了80端口，通过80端口去探测内网服务器。（利用文件上传漏洞即可）

最常见的使用应该还是搭建一个socks代理

（尝试了一下reGeory，搭代理后去访问内网的80端口，结果是408。但是使用Neo-reGeorg可以直接访问，也许是环境的问题）

lcx也是一款强大的内网端口转发工具，现已经有了跨平台的工具，在Linux和Windows下都可以使用

由于是做端口转发，因此考虑一下几种场景：

本地端口转发用于某个端口由于防火墙的限制，不能出网，例如常见的22，3389端口。如果此时，我们通过一些手段拿到了目标服务器的shell（例如通过Web服务上传了一个Webshell），我们可以利用本地端口转发的技术，将某个对外开放的端口（例如10000）将其流量转发给22号端口。这样，通过访问目标主机的10000端口，即可实现连接22号端口进行远程访问。

远程端口转发感觉多用于通过某个跳板去访问内部主机。例如如下拓扑结构：

在SSH服务器上做一个远程端口转发，将A的某个端口映射到B的某个端口上，这样V-PS可以直接访问A的某个端口实现对B的访问。