这几天跟着师傅们体验了一番内网渗透，记录一下。

背景：最近公司分配了一个攻防演练的项目，目标资产较少，挖了几天都没有收获。后来其它师傅通过一个Struts2的框架漏洞成功Get Shell并打进内网，而我对内网这块一窍不通，所以趁着这几天跟着师傅们小小地体验了一番内网渗透。

$ python3 neoreg.py -h # 查看帮助

可选参数:

-h, —help # 显示此帮助信息并退出 -u URI, —url URI # 包含隧道脚本的url -k KEY, —key KEY # 特定连接密钥 -l IP, —listen-on IP # 默认监听地址 (默认值: 127.0.0.1) -p PORT, —listen-port PORT # 默认监听端口 (默认值: 1080) -s, —skip # 跳过可用性测试 -H LINE, —header LINE # 将自定义标题行传递到服务器 -c LINE, —cookie LINE # 自定义到服务器的cookie -x LINE, —proxy LINE # proto://host[:port] 在给定端口上使用代理 —read-buff Bytes # 本地读取缓冲区，每个日志发送的最大数据(默认值: 1024) —read-interval MS # 读取数据间隔（毫秒） (默认值: 100) —max-threads N # 代理最大线程数 (默认值: 1000) -v # 显示详细信息 (使用-vv或者更多的v显示更详细的信息)

  1. <a name="iA7MB"></a>
  2. ### 使用
  4. - 设置密码并生成隧道文件，运行后会生成一个`neoreg_server`目录，里面包含了各种语言类型的隧道文件
  5. ```shell
  6. $ python3 neoreg.py generate -k <password>
  7. [+] Create neoreg server files:
  8.     => neoreg_server/key.txt.   # 密码
  9.     => neoreg_server/tunnel.nosocket.php
  10.     => neoreg_server/tunnel.js
  11.     => neoreg_server/tunnel.php
  12.     => neoreg_server/tunnel.ashx
  13.     => neoreg_server/tunnel.aspx
  14.     => neoreg_server/tunnel.tomcat.5.jsp
  15.     => neoreg_server/tunnel.tomcat.5.jspx
  16.     => neoreg_server/tunnel.jsp
  17.     => neoreg_server/tunnel.jspx

实习记录(一) - 内网渗透之Neo-reGeorg - 图1

  • 将相应的隧道文件上传到WEB服务器后运行以下命令，在本地建立Socks代理。

    1. $ python3 neoreg.py -k <password> -u http://xxx/tunnel.php
    2. +------------------------------------------------------------------------+
    3. Log Level set to [ERROR]
    4. Starting socks server [127.0.0.1:1080], tunnel at [http://xx/tunnel.php]
    5. +------------------------------------------------------------------------+

    实习记录(一) - 内网渗透之Neo-reGeorg - 图2

  • 使用Neo-reGeorg建立Socks隧道后

    • 浏览器可直接通过Proxy、FoxyProxy等插件配置Socks代理
    • 某些工具（如Nmap）不支持socks代理，则需要额外配置Proxychains-Ng

实习记录(一) - 内网渗透之Neo-reGeorg - 图3

Proxychains-Ng

  • 安装

    1. # Linux
    2. $ git clone https://github.com/rofl0r/proxychains-ng.git     # 下载
    3. $ cd proxychains-ng && ./configure &&  make && make install  # 编译安装
    4. $ cp ./src/proxychains.conf /etc/proxychains.conf            # 拷贝配置文件
    5. $ cd .. && rm -rf proxychains-ng                             # 删除目录(可不执行)
    6. # Mac
    7. $ brew install proxychains-ng

  • 配置

    1. # 找到proxychains.conf文件所在的路径
    2. # 将socks4 127.0.0.1 9095改为 socks5 127.0.0.1 1080
    3. $ vim /etc/proxychains.conf            # Kali
    4. $ vim /usr/local/etc/proxychains.conf  # Mac

    实习记录(一) - 内网渗透之Neo-reGeorg - 图4

  • 测试

    1. # 用法: proxychains4  XXX
    2. $ proxychains4 curl ifconfig.io
    3. $ proxychains4 curl cip.cc

    联合BurpSuite

    如果要使用BurpSuite抓包进行如暴力破解等操作，还需要另外配置一下BurpSuite的代理

  • 配置本地代理，监听1080端口，用于接收数据包

实习记录(一) - 内网渗透之Neo-reGeorg - 图5

  • 配置Socks代理，用于发送数据包

实习记录(一) - 内网渗透之Neo-reGeorg - 图6

其它