Viper 与 Behinder（冰蝎）联动：不出网主机上线 Meterpreter 完整方案

文档教程网络安全【免费下载链接】ViperAdversary simulation and Red teaming platform with AI项目地址https://gitcode.com/gh_mirrors/vip/Viper点击查看免费下载本篇实战指南以 Viper 红队平台为主体讲解如何利用 Behinder冰蝎Webshell 客户端作为「网络桥接通道」让无法直接访问外网的目标主机成功上线 Viper 的 meterpreter 会话。文章覆盖两条经典路线——Java 版 meterpreter 与功能更完整的原生版 meterpreter并给出 Viper 监听建立、载荷生成、参数一致性等关键配置说明读完后你可以将本方案直接复用于内网渗透中的不出网主机上线场景。适用场景与前置条件在真实内网渗透中目标主机经常处于**不出网无外网访问**状态它无法主动连接位于公网 VPS 上的 Viper 服务器因此常规的reverse_tcp、reverse_https反向连接载荷都无法直接上线。此时Behinder冰蝎这类以「服务端脚本 客户端连接」方式工作的 Webshell 管理工具反而成为可利用的通道——Behinder 客户端运行在攻击者 PC 上能够主动访问外网且它与目标主机之间已经建立了 Webshell 连接。本方案依赖以下前置条件与仓库中 docs/en/training/Behinder_and_Viper_collaborate.md 的原始描述一致Behinder 已经正常获取到目标主机的 Webshell并且可以正常执行命令无论该 Webshell 是 PHP、JSP 还是 ASPX 形态只要可执行命令即可Viper 部署在一台公网 VPS 上下文以文档示例中的116.85.xx.xx指代该 VPS 地址攻击者 PC 可以访问 Viper 控制台同时可以运行 Behinder 客户端在 Viper 中预先建立好对应的监听Listener。文档测试环境基于Behinder v3.0 Beta 7版本下文配置以该版本为参照。整个联动过程的核心思想是让 Behinder 客户端网络攻击者 PC充当端口映射器把 Viper VPS 的端口「映射」到目标主机本地的回环地址上从而让目标主机上执行的各种反向载荷以为自己连接的是本地端口实际却通过 PC 中转抵达 Viper。方案一通过反弹 Shell 通道上线 Java 版 Meterpreter该方案适合快速建立会话整体链路最短配置也最简单。第一步在 Viper 中建立监听在 Viper 控制台中进入监听管理建立对应端口的监听文档截图中展示了监听列表与新建监听的界面见 监听建立截图 与 监听配置截图。需要注意此方案最终的目标端口为9090Viper 监听应建立在 VPS 的 9090 端口上且监听类型需要能够接受来自 Behinder 反弹 Shell 通道传入的 meterpreter 流量。关于监听与载荷的更多用法可参考仓库中的 监听载荷指南——其中提到监听支持「生成 PE/ELF」「生成载荷」等快捷操作且「自动监听」选项可以在生成载荷完成后自动添加对应监听便于反复生成不同形态的载荷。第二步在 Behinder 中切换到「反弹 Shell」在 Behinder 中切换到反弹 Shell功能并按照下图进行配置配置要点如下配置项取值反弹目标Viper VPS 地址116.85.xx.xx反弹端口9090与 Viper 监听端口一致执行方式通过 Webshell 在目标主机上执行反弹 Shell 命令第三步执行并获取会话点击执行后Behinder 会在目标主机上发起一次指向「116.85.xx.xx:9090」的反弹连接。但由于这个连接实际经过 Behinder 客户端的通道中继最终落在 Viper 监听上的是一个Java 版本的 meterpreter会话。上线原理Behinder 会在目标主机9090 端口建立监听然后通过 Behinder 客户端网络即攻击者 PC将该端口映射到 Viper VPS116.85.xx.xx的 9090 端口。换言之目标主机发往本机 9090 端口的反弹连接经过 PC 中继后等价于连接到了 Viper 的 9090 监听端口。该方案的局限文档明确提示Java 版本的 meterpreter 缺失了很多功能。这是因为 Java meterpreter 运行在 JVM 环境中其底层能力受限于 Java 平台 API许多原生 meterpreter 的扩展如进程注入、DLL 注入、系统级 API 调用等不可用或降级。因此若需要完整的后渗透能力应当采用下面的方案二上线原生版本 meterpreter。方案二通过内网穿透通道上线原生版 Meterpreter原生版本 meterpreter 功能更加强大是正式后渗透阶段的首选。该方案的链路为Behinder 内网穿透建立目标主机本地端口与 Behinder 客户端之间的隧道→ Behinder 客户端将本地端口与 Viper VPS 端口互联 → 目标主机执行 Viper 生成的、连接本地端口的原生载荷。第一步在 Behinder 中切换到「内网穿透」在 Behinder 中切换到内网穿透功能按照下图配置此步骤的实质是在目标主机上开启一个本地监听端口本方案约定的端口为2222并让 Behinder 客户端网络把该端口与 Viper VPS 的 2222 端口连通。第二步在 Viper 中建立 reverse_tcp_rc4 监听在 Viper 中建立监听监听类型选择reverse_tcp_rc4TCP 反向连接 RC4 流量加密监听端口为2222关于传输协议仓库的 传输协议指南 中有两点与本方案直接相关的说明Session 通常只能在初始阶段指定一种传输方式待 Session 完全加载后才能增加多个传输协议以保证可靠性传输协议中无法添加 rc4 密码参数因此不要将 rc4 类的监听添加到传输协议中。这条约束在联动场景中尤其重要一旦为 Session 配置了传输协议RC4 加密通道将无法被持久化复用。第三步在 Viper 中生成载荷选择监听点击生成载荷生成 PE/ELF 或按需手动配置配置如下图所示这里有三个参数必须严格注意原文强调「请仔细阅读下方说明」参数取值规则LHOST填写已控主机的内网 IP 地址或直接填写127.0.0.1LPORT必须与Viper 监听端口和Behinder 配置端口保持一致即2222RC4 密码一定要与Viper 监听配置中的 RC4 密码一致需要理解LHOST填写127.0.0.1的深层原因载荷在目标主机上执行后将直接连接目标主机的本地 2222 端口而该端口已经被 Behinder 内网穿透通道接管。因此载荷不需要知道任何真实的远端地址只要连接本机回环地址即可实际流量经由 Behinder 客户端中继到 Viper。这与仓库中 不出网主机利用出网主机上线 一文所述的「反向端口转发 reverse_tcp_rc4」方案LHOST 填写出网主机内网 IP、LPORT 填写端口转发的远程监听端口原理同源可相互印证。第四步上传载荷并执行将 Viper 生成的载荷exe文件通过 Behinder 的文件管理上传到目标主机然后执行执行成功后目标主机即以原生 meterpreter身份上线到 Viper 的 2222 监听获得完整的后渗透能力。上线原理Behinder 会在目标主机2222 端口建立监听通过 Behinder 客户端网络攻击者 PC将该端口映射到 Viper VPS116.85.xx.xx的 2222 端口Viper 生成的载荷连接目标主机本地 2222 端口即等同于连接 VPS116.85.xx.xx的 2222 端口。两种方案的链路对比与原理总结维度方案一Java meterpreter方案二原生 meterpreterBehinder 功能反弹 Shell内网穿透端口约定90902222Viper 载荷形态无需本地生成载荷生成exe载荷并上传执行LHOST不需要已控主机内网 IP 或127.0.0.1RC4 密码不涉及必须与监听一致会话类型Java 版 meterpreter原生 meterpreter后渗透能力受限完整两种方案的数据流都可以概括为目标主机 (不出网) │ │ ① Webshell 连接HTTP/HTTPS仅能到达攻击者 PC 可见网络 ▼ 攻击者 PCBehinder 客户端 │ │ ② Behinder 客户端网络将目标主机端口映射至 Viper VPS 端口 ▼ Viper VPS 116.85.xx.xx监听 9090 / 2222 │ ▼ meterpreter 会话上线其中关键的一环是Behinder 客户端攻击者 PC同时具备对目标内网的访问能力通过 Webshell和对公网 Viper VPS 的访问能力因此它天然成为「内网 ↔ 公网」的桥梁这与 Viper 平台自带的 多级代理/隧道方案 中「以已控主机为跳板构建隧道」的思路互为补充前者把流量桥接到攻击者本机后者把流量桥接到已控内网主机。联动方案的实战要点与排错建议端口三处一致方案二中Viper 监听端口、Behinder 内网穿透端口、载荷 LPORT三者必须完全一致文档示例统一使用2222任何一处不一致都会导致连接失败RC4 密码一致性reverse_tcp_rc4监听在建立时设定的 RC4 密码会写入监听配置生成载荷时必须复用同一密码否则载荷与监听无法完成握手解密。仓库中的 Reverse_TCP_RC4 直连免杀模块 展示了该监听类型的另一种典型用法——生成免杀 exe 及其 C 源码其中同样强调「新建 reverse_tcp_rc4 监听 → 选择对应的 rc4 监听 → 运行模块」的操作序列可见 RC4 监听配置在 Viper 生态中是反复复用的核心对象LHOST 语义载荷的LHOST在联动场景中并不是「真正要连接的远端」而是「目标主机本地可到达的地址」因此填127.0.0.1或已控主机内网 IP 均可若填真实公网 VPS 地址反而会因目标不出网而失败回连地址联动Viper 的 通用配置 中提供了「回连地址」项用于监听/载荷/端口转发等功能的自动填充。在联动场景中若频繁更换 VPS 或端口可以先在通用配置中维护好回连地址再快速生成监听与载荷降低手填出错的概率Java 与原生会话的取舍优先使用原生 meterpreter 会话进行正式的后渗透操作Java 会话适合快速验证链路连通性或作为临时通道Behinder 版本文档测试基于 Behinder v3.0 Beta 7若使用其他版本反弹 Shell 与内网穿透的界面入口和参数名称可能存在差异但「本地监听 客户端中继 远端对接」的原理不变。延伸阅读不出网主机利用出网主机上线同主题的另两条路线内网路由 bind_tcp、反向端口转发 reverse_tcp_rc4可作为无 Behinder 场景下的替代方案监听载荷指南虚拟监听、生成 PE/ELF、自动监听等监听进阶用法传输协议指南Session 传输协议的管理、切换与休眠以及 rc4 监听不能加入传输协议的注意事项Reverse_TCP_RC4 直连免杀模块利用 reverse_tcp_rc4 监听生成免杀载荷的独立用法多级内网穿透之原生隧道Viper 平台侧构建多级代理隧道的整体方案可与本文的 Webshell 桥接通道组合使用。赞分享文档教程网络安全【免费下载链接】ViperAdversary simulation and Red teaming platform with AI项目地址https://gitcode.com/gh_mirrors/vip/Viper点击查看免费下载相关推荐Decepticon 对手模拟实战TurlaVenomous Bear / Secret BlizzardAPT 配置文件深度解析Decepticon 对手模拟实战TurlaVenomous Bear / Secret BlizzardAPT 配置文件深度解析 本篇技术指南以 Dec霞鹜文楷开源楷体中文字体上手指南一条命令完成安装霞鹜文楷开源楷体中文字体上手指南一条命令完成安装 霞鹜文楷LXGW WenKai是一款基于 FONTWORKS 开源字体 Klee One 衍生的开源楷UI组件Viper 内网 ARP 扫描模块实战主机存活探测、路由联动与跨网段限制解析Viper 内网 ARP 扫描模块实战主机存活探测、路由联动与跨网段限制解析 本文以 Viper 红队平台的 Discovery_NetworkService文档教程网络安全上一篇Vitess 本地集群实操指南从单分片到垂直/水平分片再到 vtgate 慢查询可观测性下一篇doocs/md AI 集成与智能写作辅助创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考