内网安全：代理技术详解

时间：09-25来源：作者：点击数：

本篇将介绍在内网攻防中经常用到的代理技术，正向连接，反向连接。

内网攻防中阶段有三：

1. 建立通讯使用代理技术，建立攻击机与目标的联系

2. 横向移动

3. 后渗透获得主机权限后，使用隧道技术，把权限移交给攻击机

本篇中的所有实现均是获得了系统权限，因为不涉及内网横向移动，只是为了研究第一，第三阶段。

代理技术实验所用网络拓扑图及说明

网段情况：Vmware配置网络

攻击机：47.94.236.117

靶机：

win 7：内网唯一可出网主机也可对内网192.168.11.* 网段主机进行通讯

192.168.1.119 （外网的出口）192.168.11.128（内网Vmware2）

win 10：内网主机流量不出网

192.168.11.129（内网Vmware2）192.168.22.130（内网Vmware3）

win 2008：内网主机流量不出网

192.168.22.131（内网Vmware3）192.168.33.129（内网Vmware4）

win 2012：内网主机流量不出网

192.168.33.130（内网Vmware4）

代理技术

代理技术使用的协议是SOCK 4/5

常使用的代理工具有 SockCap， Proxifier， ProxyChains 等

代理工具的使用会在下面实验中演示出来

SOCK协议

SOCK（Socket）协议是一种网络协议，用于在计算机网络中提供网络应用程序之间的通信。它是一种通用的、面向连接的协议，常用于实现客户端和服务器之间的通信。

SOCK协议可以分为两个主要的版本：SOCKS4和SOCKS5。下面对这两个版本进行简要介绍：

SOCKS4协议：
- SOCKS4协议是SOCK协议的第一个版本，最早由David Koblas开发。
- 它是一种简单的协议，只支持IPv4地址，不支持认证，适用于IPv4环境。
- 客户端向服务器发送连接请求，并指定目标主机的IP地址和端口号。
- 服务器将请求转发到目标主机，并在建立连接后将数据流转发给客户端。
SOCKS5协议：
- SOCKS5协议是SOCK协议的第二个版本，由RFC 1928规范定义。
- 它是SOCKS协议的扩展版本，支持更多的功能和特性。
- SOCKS5协议支持IPv4和IPv6地址，支持各种身份验证方法，如无验证、用户名/密码验证等。
- 客户端向服务器发送连接请求，并指定目标主机的域名或IP地址以及端口号。
- 服务器根据客户端请求的目标地址，与目标主机建立连接，并将数据流转发给客户端。

SOCK协议主要用于实现网络代理功能，可以在本地计算机和远程服务器之间建立一个中间通道，使得网络请求可以通过该通道进行转发和处理。这在某些场景下具有重要的应用，例如在防火墙后访问被封锁的网站、隐藏真实IP地址等。

SOCK协议并不属于OSI（Open Systems Interconnection）参考模型中的七层模型，它更多地被视为一个独立的协议或协议族，用于实现网络代理功能。然而，从功能上来说，SOCK协议涉及到了传输层和应用层的一些功能。

具体地说，SOCK协议在传输层负责建立和管理连接，以及数据的传输。它在应用层负责处理网络代理的相关功能，例如解析目标地址、转发数据等。

尽管SOCK协议在传输层和应用层之间扮演着关键的角色，但它并没有明确定义在OSI参考模型中的特定层级。它更像是一个在传输层和应用层之间操作的协议集合，具体实现可能会有所不同。SOCK协议通常是在操作系统的网络栈中实现的

总结起来，SOCK协议在功能上涉及传输层和应用层，但它并没有明确定义在OSI参考模型中的特定层级。

使用代理技术的原因

从代理技术的表现来看，主要是通过跳板机来代理流量。

将通过上面的网络拓扑图说明代理技术

使用代理技术的原因一：建立攻击机与内网主机通讯

Ubuntu主机是作为我们的攻击机，win7作为外网主机通过web渗透测试被拿下。但是Ubuntu无法拿下win10，因为Ubuntu访问不到。

使用代理技术的原因二：避免被发现，隐蔽自身，执行攻击对象

Ubuntu上安装有大量的渗透测试工具，有人头铁可能会想到在win7上上传工具，通过win7能攻击到win10，之后的其它内网主机也是同理。这样做符合网络通信，但是风险极大。首先需要考虑到真实环境可能存在有安全设备，流量检测设备，杀软。上传几个G的流量动静太大了，很容易被发现，一般情况下，流量的大小最好500KB左右，不要超过1KB.

使用代理技术的原因三：实现持久化控制

通过横向渗透拿下全新后，我们需要把权限反弹给攻击机实现持久化控制。因为攻击机上集成大量工具软件，需要使用来进行权限维持。