ToB企服应用市场:ToB评测及商务社交产业平台

标题: 某安全设备frp流量告警分析 [打印本页]

作者: 圆咕噜咕噜 时间: 2022-9-16 17:18
标题: 某安全设备frp流量告警分析
前言

第一次使用某商设备，不同厂商的规则库不一样，总的来说流量监控很大一部分是基于规则库来实现的，所以在进行内网穿透的时候就要考虑如何bypass设备告警。
环境搭建

ubuntu 公网vps
win10内网主机

wget https://github.com/fatedier/frp/releases/download/v0.44.0/frp_0.44.0_linux_amd64.tar.gz

[img=720,31.52238805970149]https://www.hetianlab.com/headImg.action?news=4d80453d-5a69-491a-920c-77e2f7dad2e2.png[/img]
服务端配置

bind_port = 9666 //frp服务端端口 token = 123 //客户端连接时的token认证 dashboard_port=9999 //面板服务端口 dashboard_user=Ggoodstudy //用户名 dashboard_pwd=xxxx //密码 enable_prometheus=true log_file=/var/log/frps.log //日志存放位置 log_level=info log_max_days=3 vhost_http_port=9998 //http服务端口

复制代码

[img=720,383.29990884229716]https://www.hetianlab.com/headImg.action?news=a805e067-1cfd-431b-b03a-bd143fde394d.png[/img]
启动

./frps -c frps.ini

如果后台运行

nohup ./frps -c frps.ini &

[img=720,38.943396226415096]https://www.hetianlab.com/headImg.action?news=f17171f3-ce8d-4d83-94fb-98225aa987b8.png[/img]
访问面板

http://xx.xxx.xx.xx:9666

输入账号密码登录

[img=720,347.70261219022103]https://www.hetianlab.com/headImg.action?news=db8673e0-e935-4952-bd97-ac91f66083fd.png[/img]
此时服务端的配置已成功，客户端配置

[common] server_addr = xx.xxx.x.x server_port = 9666 token = 123 [rdp] type = tcp local_ip = 127.0.0.1 local_port = 3389 remote_port = 7004

复制代码

这里设置代理本机的3389和8077端口
[img=720,292.4475524475524]https://www.hetianlab.com/headImg.action?news=63894782-eac9-4d71-a0aa-31f0b9d84ed1.png[/img]
mstsc连接到主机
[img=720,449.50276243093924]https://www.hetianlab.com/headImg.action?news=0d776f0d-6bfb-405a-9bd5-4b27027deb2c.png[/img]
抓取数据包

host xx.xx.xx.xx

[img=720,340.11049723756906]https://www.hetianlab.com/headImg.action?news=baae190f-a0b6-4fc1-b342-6a3a9f9b239a.png[/img]
主机ip192.168.43.246
[img=720,241.61725067385444]https://www.hetianlab.com/headImg.action?news=059da82c-600b-4bcf-8b04-40a972f6b8c7.png[/img]
这里我们可以看到请求的流量包，在请求服务端的9666端口
[img=720,117.70992366412214]https://www.hetianlab.com/headImg.action?news=eaf70f09-69cb-41a3-99b4-edefecdf6fb1.png[/img]
详情内容就是
[img=720,249.88606485539]https://www.hetianlab.com/headImg.action?news=2d5048a3-cb42-43b2-80c7-550bbc66215c.png[/img]
可以看到详细数据包中src_addr为受害主机出口地址，目的端口dst_port为vps的穿透端口7004端口，目的ip为vps的私网地址。
[img=720,38.45962732919255]https://www.hetianlab.com/headImg.action?news=1ed457a5-58d0-467c-a820-8b309815de8c.png[/img]
此时的连接状态显示的，同时，查看远程时的连接远程桌面时会产生这样流量特征run_id
[img=720,234.07616361071933]https://www.hetianlab.com/headImg.action?news=4f683c08-5175-46ef-84f5-d7c1cb5af856.png[/img]
另外有特别的发现，虚拟机winserver 2012 R2在运行客户端之后，vps在连接的过程中也能获取到宿主机的用户名
[img=720,286.9394435351882]https://www.hetianlab.com/headImg.action?news=054bde0f-aa40-4f30-b150-1fb7c012f577.png[/img]
这是一个比较特别的点儿，剩余的流量就是vps和跳板机的流量交互，没有很明显的特征。
回头看某商设备对于frp内网穿透的告警

我们可以对比之前的流量包，缺少的字段且仅有udp端口

这里可能某商的规则id是基于udp_port或者说是version字段而产生的告警行为。
【----帮助网安学习，以下所有学习资料免费领！加vx：yj009991，备注 “博客园” 获取！】
　① 网安学习成长路径思维导图
　② 60+网安经典常用工具包
　③ 100+SRC漏洞分析报告
　④ 150+网安攻防实战技术电子书
　⑤ 最权威CISSP 认证考试指南+题库
　⑥ 超1800页CTF实战技巧手册
　⑦ 最新网安大厂面试题合集（含答案）
　⑧ APP客户端安全检测指南（安卓+IOS）
魔改

从几个方面规避流量监测
1.交互量加密
对frp的认证使用tls加密，修改服务端frps.ini

tlsonly = true

客户端配置frpc.ini

tlsenable = true

2.重写服务端
在上面的流量包中可以看到,在进行交互的时候
[img=720,157.6510067114094]https://www.hetianlab.com/headImg.action?news=239dbdc2-c47e-4216-a445-0dd770ce07b8.png[/img]
服务端会请求客户端配置文件内容proxy_name,那么在定义变量的服务端，可以重写方法

case *msg.NewVisitorConn: if err = svr.RegisterVisitorConn(conn, m); err != nil { xl.Warn("register visitor conn error: %v", err) msg.WriteMsg(conn, &msg.NewVisitorConnResp{ ProxyName: m.ProxyName, Error: util.GenerateResponseErrorString("register visitor conn error", err, svr.cfg.DetailedErrorsToClient), }) conn.Close() } else { msg.WriteMsg(conn, &msg.NewVisitorConnResp{ ProxyName: m.ProxyName, Error: "", }) }

复制代码

在客户端和服务器连接的时候流量特征变成自定义变量即可。
总结

frp的特征比较明显,所以就单纯魔改frp的话除了流量上做加密外，简单的修改特征bypass设备也是可以实现的。
本文仅限于技术讨论与分享，严禁用于非法途径。若读者因此作出任何危害网络安全行为后果自负，与本人无关。
更多靶场实验练习、网安学习资料，请点击这里>>

搜索
复制

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！

欢迎光临 ToB企服应用市场:ToB评测及商务社交产业平台 (https://dis.qidao123.com/)