当前位置：首页 > news >正文

【内网渗透基础】二、隧道建立

news 2026/6/12 9:58:18

【内网渗透基础】二、隧道建立

免责声明

请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息或者工具而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不承担任何法律及连带责任。
文章来源：微信公众号：混子Hacker
原文链接：https://mp.weixin.qq.com/s/DFV1YbHg3wLVW90-oX6Fug
隧道（Tunneling）
是一种用于在受限制的网络环境中隐藏和传输数据的技术手段，通过封装和加密数据包，将一种协议的数据嵌入到另一种协议中进行传输。通过隧道使攻击者能够绕过防火墙、IDS（入侵检测系统）或其他安全设备的检测，实现与目标系统的隐蔽通信。
漏洞信息

01 常见的隧道

常见的隧道类型：

HTTP/HTTPS隧道：

将数据封装在HTTP/HTTPS协议中传输，常用于绕过防火墙对Web流量的放行规则。 工具：reGeorg, Tunna, Neo-reGeorg。

DNS隧道：

将数据封装在DNS查询和响应中传输，常用于绕过严格的网络限制。 工具：dnscat2, iodine。

ICMP隧道：

将数据封装在ICMP协议（如Ping）中传输，适用于允许ICMP流量的环境。 工具：PingTunel, ptunnel, icmpsh

SSH隧道：

本地端口转发：ssh -L 本地端口:目标主机:目标端口 用户@跳板机 远程端口转发：ssh -R 远程端口:目标主机:目标端口 用户@跳板机 通过SSH协议建立加密隧道，用于端口转发或代理访问。

SOCKS隧道：

通过SOCKS代理将流量转发到目标网络，支持多种协议。 工具：EarthWorm, Proxychains。

SSL/TLS隧道：

将数据封装在SSL/TLS协议中传输，常用于绕过深度包检测（DPI）。 工具：Stunnel。

02 隧道建立

1. ICMP隧道

ICMP（Internet Control Message Protocol，互联网控制消息协议）
是TCP/IP协议族中的一个核心协议，主要用于在IP网络中传递控制消息和错误报告。它是IP协议的补充，用于帮助网络设备（如路由器、主机）进行通信状态的管理和故障诊断。在主机常见的ping命令就是使用ICMP进行探测网络的
PingTunnel建立隧道
下载地址：https://github.com/esrrhs/pingtunnel/releases

现有如下环境

kali做VPS，服务端启动，可以-key指定纯数字密码

win10主机上做客户端连接
pingtunnel.exe -type client -l 192.168.232.130:4455 -s 192.168.232.131 -t 192.168.52.143:80 -tcp 1

-l: 本地的端口 -s: 服务器地址 -t: 需要代理的地址和端口 -tcp: 指定对tcp数据进行转发

在kali上访问win10的4455端口成功代理到win7的80端口

通过抓包可以看到，192.168.232.131和192.168.232.130之间的通信都是通过ICMP协议

2.DNS隧道

DNS 协议本身设计用于域名解析（将域名转换为 IP 地址），因此缺乏深度检测，成为隐蔽通信的理想载体。隧道工作流程如下：将非 DNS
数据（如 HTTP 流量、SSH 命令）编码为 DNS 请求的子域名或查询类型。示例：将 “hello” 编码为
aGVsbG8=.example.com（Base64 或 Hex 编码）。客户端向受控的 DNS 服务器发送构造的 DNS 请求（如
AAAA、TXT 记录查询）。服务器解析请求中的隐藏数据，处理后将封装到 DNS 响应中（如 CNAME 或 TXT 记录）。客户端从
DNS 响应中提取并解码数据，完成双向通信
Iodine工具搭建隧道
下载工具：
windows上可以直接使用编译好的windows版本
下载地址：https://code.kryo.se/iodine/iodine-0.7.0-windows.zip

同时需要安装TAP网卡驱动程序。也可以下载OpenVPN，在安装时仅选择TAP-Win32驱动程序，安装后服务器上就会多出一块“TAP-Wndows ADApter V9”的网卡。

服务端启动监听指定域名，设置隧道IP

启动之后会发现本机多了一张网卡

客户端连接，-r表示指定DNS解析地址不走系统配置的DNS服务器

连接成功之后可以看到本地也多了一个网卡，地址和服务端的在同一C段

直接访问对端的80端口，访问成功表示隧道建立成功

在客户端抓包可以看到两者之间的通信都是DNS协议进行的，请求了大量的iodine.tunnel.com子域名的DNS请求