CN116112290A - 一种应用于Web集中管理系统的流量中转方法及装置 - Google Patents

Abstract

本申请实施例提供了一种应用于Web集中管理系统的流量中转方法及装置，属于网络安全渗透测试技术领域，Web集中管理系统中配置有内存马，方法包括：接收第一机器发起的发送端请求；通过内存马拦截并识别发送端请求，并将发送端请求的Socket信息存储在Session中；与目标机器建立通信连接，并向目标机器转发存储在Session中的发送端请求；接收目标机器针对发送端请求做出的响应，并将响应返回至第一机器。其中，第一机器属于第一网段，目标机器属于第二网段，第一网段与第二网段之间不互通。在本发明中，测试人员利用Web集中管理系统承担桥梁的作用，在第一机器与另一网段的目标机器之间建立通信连接，实现跨越网段进行渗透测试，消除企业的网络安全隐患。

Description

一种应用于Web集中管理系统的流量中转方法及装置

技术领域

本申请各实施例属于网络安全渗透测试技术领域，具体涉及一种应用于Web集中管理系统的流量中转方法及装置。

背景技术

在大型企业中一般存在统一的集中管理系统，比如云桌面系统、主机管理系统、日志审计系统等，为了企业安全着想，运维人员一般会为这些管理系统只配置单向网络通路，即只能从客户机向服务端发起连接，而不能由服务端向客户机发起连接以进行反向通信。

在企业安全的渗透测试中，这种网络隔离环境会给安全测试人员带来很大的阻碍，即便拥有集中管理系统的权限，也无法跨越网段继续渗透测试，无法深入寻找内网可能存在的漏洞，给企业的网络安全带来隐患。

发明内容

为了解决现有技术存在的即便拥有集中管理系统的权限，也无法跨越网段继续渗透测试，无法深入寻找内网可能存在的漏洞，给企业的网络安全带来隐患的技术问题，本发明提供了一种应用于Web集中管理系统的流量中转方法及装置。

第一方面，本发明提供了一种应用于Web集中管理系统的流量中转方法，所述Web集中管理系统中通过安全漏洞或配置错误的方式配置有内存马，所述流量中转方法包括：

接收第一机器发起的发送端请求；

通过所述内存马拦截并识别所述发送端请求，并将所述发送端请求的Socket信息存储在Session中；

与所述目标机器建立通信连接，并向所述目标机器转发存储在Session中的所述发送端请求；

接收所述目标机器针对所述发送端请求做出的响应，并将所述响应返回至所述第一机器；

其中，所述第一机器属于第一网段，所述目标机器属于第二网段，所述第一网段与所述第二网段之间不互通。

第二方面，本发明提供了一种应用于Web集中管理系统的流量中转装置，所述Web集中管理系统中通过安全漏洞或配置错误的方式配置有内存马，所述流量中转装置包括：

接收模块，用于接收第一机器发起的发送端请求；

第一识别模块，用于通过所述内存马拦截并识别所述发送端请求，并将所述发送端请求的Socket信息存储在Session中；

转发模块，用于与所述目标机器建立通信连接，并向所述目标机器转发存储在Session中的所述发送端请求；

返回模块，用于接收所述目标机器针对所述发送端请求做出的响应，并将所述响应返回至所述第一机器；

其中，所述第一机器属于第一网段，所述目标机器属于第二网段，所述第一网段与所述第二网段之间不互通。

与现有技术相比，本发明至少具有以下有益效果：

（1）在本发明中，在测试人员的第一机器需要与另一网段的目标机器建立通信连接的时候，在Web集中管理系统中配置内存马，通过内存马拦截第一机器发送的发送端请求，进而利用Web集中管理系统承担桥梁的作用，与所述目标机器建立通信连接，并向所述目标机器转发存储在Session中的所述发送端请求，之后接收所述目标机器针对所述发送端请求做出的响应，并将所述响应返回至所述第一机器，最终实现测试人员的第一机器与另一网段的目标机器建立通信连接。实现跨越网段进行渗透测试，深入寻找内网可能存在的漏洞，消除企业的网络安全隐患。

（2）在本发明中，测试人员在实现流量中转的过程中，无需获得集中管理系统的全部权限，仅仅需要后台管理权限，对于集中管理系统所管控的机器没有任何影响，也不会影响集中管理系统的正常运行。

附图说明

图1是本发明提供的一种应用于Web集中管理系统的流量中转方法的流程示意图；

图2是本发明提供的一种应用于Web集中管理系统的流量中转方法的网络拓扑图；

图3是本发明提供的另一种应用于Web集中管理系统的流量中转方法的流程示意图；

图4是本发明提供的又一种应用于Web集中管理系统的流量中转方法的流程示意图；

图5是本发明提供的一种应用于Web集中管理系统的流量中转装置的结构示意图；

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。后文将参照附图以示例性而非限制性的方式详细描述本申请的一些具体实施例。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获取的所有其他实施例，都应当属于本申请保护的范围。

第一方面，本发明提供了一种应用于Web集中管理系统的流量中转方法，其中，Web集中管理系统可以云桌面系统、主机管理系统、日志审计系统等。其中，内存马能够在内存中执行特定的逻辑，比如拦截请求并处理，也能直接放行不需要的请求放行。

本发明提供的内存马与传统意义上的渗透测试用的内存马存在比较大的差异，其核心思想和特点如下：

（1）运行过程仅需要 Socket （套接字）相关的接口，因此对运行环境依赖极小，兼容度很好；

（2）支持多用户多连接同时使用，借助 Session（会话控制）实现连接隔离；

（3）自定义数据通信协议，流量加密传输。

在一种可能的实施方式中，通过安全漏洞或者配置错误的方式在Web集中管理系统中配置内存马。

在本发明中，通过安全漏洞或者配置错误的方式可以快速地在Web集中管理系统中配置内存马，对于集中管理系统所管控的机器没有任何影响，也不会影响集中管理系统的正常运行。

参照图1和图2，本发明提供了一种应用于Web集中管理系统的流量中转方法，所述Web集中管理系统中通过安全漏洞或配置错误的方式配置有内存马，具体包括：

S101：接收第一机器发起的发送端请求。

其中，第一机器可以是计算机、笔记本电脑、移动终端等电子设备，本发明对于第一机器的具体类型不做限定，可选地，第一机器拥有Web集中管理系统的后台管理权限。

在实际应用过程中，第一机器可以向Web集中管理系统发送请求信息：Host:10.3.0.2, Port: 22。

S102：通过内存马拦截并识别发送端请求，并将发送端请求的Socket信息存储在Session中。

其中，Socket（套接字）它是机器设备之间进行通信的一种约定或一种方式。通过Socket一台机器设备可以接收其他计算机的数据，也可以向其他机器设备发送数据。

其中，将发送端请求的Socket信息存储在Web集中管理系统的Session中，可以利用Session（会话控制）实现连接隔离。

在实际应用过程中，Web集中管理系统通过内存马拦截并识别发送端请求后，暂时不做处理，以等待合适的目标机器的接入。

S103：与目标机器建立通信连接，并向目标机器转发存储在Session中的发送端请求。

可选地，目标机器上设置有需进行网络安全测试的目标系统。

其中，第一机器属于第一网段，目标机器属于第二网段，第一网段与第二网段之间不互通。本发明提供的流量中转方法旨在实现处于不同网段的第一机器与目标机器之间的通信连接。

S104：接收目标机器针对发送端请求做出的响应，并将响应返回至第一机器。

在实际应用过程中，目标机器10.3.0.2的22端口返回响应 SSH-2.0-OpenSSH_8.2p1 Ubuntu-4ubuntu0.5。

进一步地，第二机器将响应发送给Web集中管理系统，Web集中管理系统将响应转发第一机器所在的连接，此时第一机器获得远端的响应。

最终，建立起一个可以从第一机器直通目标机器的网络隧道。测试人员通过第一机器可以透明地访问位于不同网段的目标机器。

与现有技术相比，本发明至少具有以下有益效果：

（1）在本发明中，在测试人员的第一机器想要与另一网段的目标机器建立通信连接的时候，在Web集中管理系统中配置内存马，通过内存马拦截第一机器发送的发送端请求，进而利用Web集中管理系统承担桥梁的作用，与目标机器建立通信连接，并向目标机器转发存储在Session中的发送端请求，之后接收目标机器针对发送端请求做出的响应，并将响应返回至第一机器，最终实现测试人员的第一机器与另一网段的目标机器建立通信连接。实现跨越网段进行渗透测试，深入寻找内网可能存在的漏洞，消除企业的网络安全隐患。

（2）在本发明中，测试人员在实现流量中转的过程中，无需获得集中管理系统的全部权限，仅仅需要后台管理权限，对于集中管理系统所管控的机器没有任何影响，也不会影响集中管理系统的正常运行。

在一种可能的实施方式中，在S103之前，流量中转方法还包括：

S105：判断Web集中管理系统能否与目标机器直接建立通信连接。

S103具体包括子步骤S1031和S1032：

S1031：在Web集中管理系统能够与目标机器直接建立通信连接的情况下，与目标机器直接建立通信连接。

S1032：在Web集中管理系统无法与目标机器直接建立通信连接的情况下，通过第二机器与目标机器建立通信连接。

其中，第二机器可以是计算机、笔记本电脑、移动终端等电子设备，本发明对于第二机器的具体类型不做限定。

在本发明中，在Web集中管理系统无法与目标机器直接建立通信连接的情况下，将第二机器作为桥梁，通过第二机器与目标机器建立通信连接。在这其中，第二机器在其中充当流量中转和桥接的作用。

在一种可能的实施方式中，S105具体包括子步骤S1051和S1052：

S1051：Web集中管理系统向所有管控的机器发送指令。

S1052：Web集中管理系统根据指令的返回结果，确定能否与目标机器直接建立通信连接，并确定出可与目标机器建立通信连接的第二机器。

在本发明中，Web集中管理系统能够自动寻找可以到达目标机器的中转机器，进一步提升流量中转的效率。

参照图3，示出了本发明实施例提供的另一种应用于Web集中管理系统的流量中转方法的流程示意图。

在一种可能的实施方式中，在Web集中管理系统能够与目标机器直接建立通信连接的情况下，在向目标机器转发存储在Session中的发送端请求之前，流量中转方法还包括：

S106：控制目标机器，以使目标机器向Web集中管理系统发起第一接收端请求。

S107：通过内存马拦截并识别第一接收端请求。

向目标机器转发存储在Session中的发送端请求，具体包括：

在第一接收端请求与发送端请求完成配对的情况下，向目标机器转发存储在Session中的发送端请求的Socket信息。

在本发明中，如果Web集中管理系统可与目标机器直接建立通信连接，此时可以省去第二机器作为桥梁，Web集中管理系统可以直接控制目标机器向自己发送接收端请求，内存马将其拦截并与第一机器的发送端请求进行配对，直接实现测试人员的第一机器与另一网段的目标机器建立通信连接。实现跨越网段进行渗透测试，深入寻找内网可能存在的漏洞，消除企业的网络安全隐患。

参照图4，示出了本发明实施例提供的又一种应用于Web集中管理系统的流量中转方法的流程示意图。

在一种可能的实施方式中，在Web集中管理系统无法与目标机器直接建立通信连接的情况下，在向目标机器转发存储在Session中的发送端请求之前，流量中转方法还包括：

S108：控制第二机器，以使第二机器向Web集中管理系统发起第二接收端请求。

S109：通过内存马拦截并识别第二接收端请求。

向目标机器转发存储在Session中的发送端请求，具体包括：

在第二接收端请求与发送端请求完成配对的情况下，向第二机器转发发送端请求的Socket信息，以使第二机器解析发送端请求后，根据发送端请求与目标机器建立通信连接，并向目标机器转发存储在Session中的发送端请求。

在实际应用过程中，第二机器连接后将该发送端请求取回并解析该请求，之后根据发送端请求Host: 10.3.0.2, Port: 22，与目标机器 10.3.0.2建立通信连接。

在本发明中，通过控制第二机器以使第二机器主动向Web集中管理系统发送接收端请求，通过内存马拦截第二机器发送的发送端请求，进而利用第二机器承担桥梁的作用，通过第二机器与同网段的目标机器建立通信连接，最终实现测试人员的第一机器与另一网段的目标机器建立通信连接。实现跨越网段进行渗透测试，深入寻找内网可能存在的漏洞，消除企业的网络安全隐患。

在一种可能的实施方式中，第二机器解析发送端请求后，根据发送端请求与目标机器建立通信连接，并向目标机器转发发送端请求具体包括：

第二机器的流量转发器解析发送端请求后，根据发送端请求与目标机器建立通信连接，并向目标机器转发发送端请求。

其中，流量转发器可转发任意的TCP/UDP 流量，与应用层的协议无关，本发明提供的流量中转方法的通用性强。

在一种可能的实施方式中，在接收第一机器发起的发送端请求之前，流量中转方法还包括：

S110：通过安全漏洞或者配置错误的方式配置内存马。

在本发明中，通过安全漏洞或者配置错误的方式可以快速地在Web集中管理系统中配置内存马，对于集中管理系统所管控的机器没有任何影响，也不会影响集中管理系统的正常运行。

第二方面，参照图5，示出了本发明实施例提供的一种应用于Web集中管理系统的流量中转装置的结构示意图。

本发明提供了一种应用于Web集中管理系统的流量中转装置40，Web集中管理系统中通过安全漏洞或配置错误的方式配置有内存马，流量中转装置40包括：

接收模块401，用于接收第一机器发起的发送端请求；

第一识别模块402，用于通过内存马拦截并识别发送端请求，并将发送端请求的Socket信息存储在Session中；

转发模块403，用于与目标机器建立通信连接，并向目标机器转发存储在Session中的发送端请求；

返回模块404，用于接收目标机器针对发送端请求做出的响应，并将响应返回至第一机器；

其中，第一机器属于第一网段，目标机器属于第二网段，第一网段与第二网段之间不互通。

在一种可能的实施方式中，流量中转装置40还包括：

判断模块405，判断Web集中管理系统能否与目标机器直接建立通信连接；

转发模块403具体用于：

在Web集中管理系统能够与目标机器直接建立通信连接的情况下，与目标机器直接建立通信连接；

在Web集中管理系统无法与目标机器直接建立通信连接的情况下，通过第二机器与目标机器建立通信连接。

在一种可能的实施方式中，判断模块405具体用于：

Web集中管理系统向所有管控的机器发送指令；

Web集中管理系统根据指令的返回结果，确定能否与目标机器直接建立通信连接，并确定出可与目标机器建立通信连接的第二机器。

在一种可能的实施方式中，在Web集中管理系统能够与目标机器直接建立通信连接的情况下，流量中转装置40还包括：

第一控制模块406，用于控制目标机器，以使目标机器向Web集中管理系统发起第一接收端请求；

第二识别模块407，用于通过内存马拦截并识别第一接收端请求；

转发模块403具体用于：

在第一接收端请求与发送端请求完成配对的情况下，向目标机器转发存储在Session中的发送端请求的Socket信息。

在一种可能的实施方式中，在Web集中管理系统无法与目标机器直接建立通信连接的情况下，流量中转装置40还包括：

第二控制模块408，用于控制第二机器，以使第二机器向Web集中管理系统发起第二接收端请求；

第三识别模块409，用于通过内存马拦截并识别第二接收端请求；

转发模块403具体用于：

在第二接收端请求与发送端请求完成配对的情况下，向第二机器转发发送端请求的Socket信息，以使第二机器解析发送端请求后，根据发送端请求与目标机器建立通信连接，并向目标机器转发存储在Session中的发送端请求。

在一种可能的实施方式中，第二机器解析发送端请求后，根据发送端请求与目标机器建立通信连接，并向目标机器转发发送端请求具体包括：

第二机器的流量转发器解析发送端请求后，根据发送端请求与目标机器建立通信连接，并向目标机器转发发送端请求；

其中，流量转发器可转发任意的TCP/UDP 流量。

在一种可能的实施方式中，流量中转装置40还包括：

配置模块410，用于通过安全漏洞或者配置错误的方式配置内存马。

在一种可能的实施方式中，第一机器拥有Web集中管理系统的后台管理权限。

在一种可能的实施方式中，目标机器上设置有需进行网络安全测试的目标系统。

本发明提供的流量中转装置40能够实现上述方法实施例中实现的各个过程，为避免重复，这里不再赘述。

本发明提供的虚拟装置可以是装置，也可以是终端中的部件、集成电路、或芯片。

与现有技术相比，本发明至少具有以下有益效果：

（1）在本发明中，在测试人员的第一机器想要与另一网段的目标机器建立通信连接的时候，在Web集中管理系统中配置内存马，通过内存马拦截第一机器发送的发送端请求，进而利用Web集中管理系统承担桥梁的作用，与目标机器建立通信连接，并向目标机器转发存储在Session中的发送端请求，之后接收目标机器针对发送端请求做出的响应，并将响应返回至第一机器，最终实现测试人员的第一机器与另一网段的目标机器建立通信连接。实现跨越网段进行渗透测试，深入寻找内网可能存在的漏洞，消除企业的网络安全隐患。

（2）在本发明中，测试人员在实现流量中转的过程中，无需获得集中管理系统的全部权限，仅仅需要后台管理权限，对于集中管理系统所管控的机器没有任何影响，也不会影响集中管理系统的正常运行。

最后应说明的是：以上各实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述各实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的范围。

Claims (9)

1.一种应用于Web集中管理系统的流量中转方法，其特征在于，所述Web集中管理系统中通过安全漏洞或配置错误的方式配置有内存马，所述流量中转方法包括：

接收第一机器发起的发送端请求；

通过所述内存马拦截并识别所述发送端请求，并将所述发送端请求的Socket信息存储在Session中；

与目标机器建立通信连接，并向所述目标机器转发存储在Session中的所述发送端请求；

接收所述目标机器针对所述发送端请求做出的响应，并将所述响应返回至所述第一机器；

其中，所述第一机器属于第一网段，所述目标机器属于第二网段，所述第一网段与所述第二网段之间不互通。

2.根据权利要求1所述的流量中转方法，其特征在于，在与所述目标机器建立通信连接之前，还包括：

判断所述Web集中管理系统能否与所述目标机器直接建立通信连接；

所述与所述目标机器建立通信连接，具体包括：

在所述Web集中管理系统能够与所述目标机器直接建立通信连接的情况下，与所述目标机器直接建立通信连接；

在所述Web集中管理系统无法与所述目标机器直接建立通信连接的情况下，通过第二机器与所述目标机器建立通信连接。

3.根据权利要求2所述的流量中转方法，其特征在于，所述判断所述Web集中管理系统能否与所述目标机器直接建立通信连接具体包括：

所述Web集中管理系统向所有管控的机器发送指令；

所述Web集中管理系统根据所述指令的返回结果，确定能否与所述目标机器直接建立通信连接，并确定出可与所述目标机器建立通信连接的所述第二机器。

4.根据权利要求3所述的流量中转方法，其特征在于，在所述Web集中管理系统能够与所述目标机器直接建立通信连接的情况下，在向所述目标机器转发存储在Session中的所述发送端请求之前，还包括：

控制所述目标机器，以使所述目标机器向所述Web集中管理系统发起第一接收端请求；

通过所述内存马拦截并识别所述第一接收端请求；

所述向所述目标机器转发存储在Session中的所述发送端请求，具体包括：

在所述第一接收端请求与所述发送端请求完成配对的情况下，向所述目标机器转发存储在Session中的所述发送端请求的Socket信息。

5.根据权利要求3所述的流量中转方法，其特征在于，在所述Web集中管理系统无法与所述目标机器直接建立通信连接的情况下，在向所述目标机器转发存储在Session中的所述发送端请求之前，还包括：

控制第二机器，以使所述第二机器向所述Web集中管理系统发起第二接收端请求；

通过所述内存马拦截并识别所述第二接收端请求；

所述向所述目标机器转发存储在Session中的所述发送端请求，具体包括：

在所述第二接收端请求与所述发送端请求完成配对的情况下，向所述第二机器转发所述发送端请求的Socket信息，以使所述第二机器解析所述发送端请求后，根据所述发送端请求与所述目标机器建立通信连接，并向所述目标机器转发存储在Session中的所述发送端请求。

6.根据权利要求5所述的流量中转方法，其特征在于，所述第二机器解析所述发送端请求后，根据所述发送端请求与所述目标机器建立通信连接，并向所述目标机器转发所述发送端请求具体包括：

所述第二机器的流量转发器解析所述发送端请求后，根据所述发送端请求与所述目标机器建立通信连接，并向所述目标机器转发所述发送端请求；

其中，所述流量转发器可转发任意的TCP/UDP 流量。

7.根据权利要求1所述的流量中转方法，其特征在于，所述第一机器拥有所述Web集中管理系统的后台管理权限。

8.根据权利要求1所述的流量中转方法，其特征在于，所述目标机器上设置有需进行网络安全测试的目标系统。

9.一种应用于Web集中管理系统的流量中转装置，其特征在于，所述Web集中管理系统中通过安全漏洞或配置错误的方式配置有内存马，所述流量中转装置包括：

接收模块，用于接收第一机器发起的发送端请求；

第一识别模块，用于通过所述内存马拦截并识别所述发送端请求，并将所述发送端请求的Socket信息存储在Session中；

转发模块，用于与目标机器建立通信连接，并向所述目标机器转发存储在Session中的所述发送端请求；

返回模块，用于接收所述目标机器针对所述发送端请求做出的响应，并将所述响应返回至所述第一机器；

其中，所述第一机器属于第一网段，所述目标机器属于第二网段，所述第一网段与所述第二网段之间不互通。

Images