通过 WebVPN 扫描内网-阿里云开发者社区

通过 WebVPN 扫描内网

2023-10-07 79

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 通过 WebVPN 扫描内网

经过@尼克的信息搜集，获取到一位人员的工号并且成功重置其密码，登陆其统一认证系统，以及VPN，发现此VPN不是彼VPN，访问资源都是以他代理去访问的，而不是直接拨入内网。

访问任何资源都如此形式：

https://webvpn.xxxxx.cn/http-8009/77726476706e697776646265737421a1ae13d27666301e2f5bdce2ca

很明显URL路径中有HTTP协议，以及要访问资源的端口，而URL则被进行编码加密操作，此时想要批量探测内网变得有些困难，并且也通过href看到了几个内网IP段。

所以需要分析一下他做的加密操作：

查看JS发现点击“立即跳转”会调用go()

接着可以发现encrypUrl()函数为处理url函数，所以下断点查看调用方法

进入encrypUrl()函数发现又会调用encrypt函数，使用AES加密处理URL

至此已经确定是使用JS并且AES加密等编码来处理URL的，所以我们想使用这个“鸡肋”的VPN探测内网，并且批量可控的话，就要还原这个加密方式，可以考虑自己参照实现AES加密或者扒出来相关功能JS直接使用他的代码来进行处理自己的数据，事半功倍。

使用@c0ny1所写的jsEncrypterBurp插件，是用来爆破前端存在JS加密的登陆口使用的，原理一样，所以使用其中的phantomjs_server.js，使用phantomjs开启webserver并提供一个接口，并将自己的数据传入到要调用的代码中做处理。

/**
 * author: c0ny1
 * date: 2017-12-16
 * last update: 2019-5-30 11:16
 */
var fs = require('fs');
var logfile = 'jsEncrypter.log';
var webserver = require('webserver');
server = webserver.create();
var host = '127.0.0.1';
var port = '1664';
// 加载实现加密算法的js脚本
var wasSuccessful = phantom.injectJs('xxxx.js');/*引入实现加密的js文件*/
// 处理函数
function js_encrypt(payload){
  var newpayload;
  /**********在这里编写调用加密函数进行加密的代码************/
  newpayload = encrypUrl("http",payload);
  /**********************************************************/
  return newpayload;
}
if(wasSuccessful){
  console.log("[*] load js successful");
  console.log("[!] ^_^");
  console.log("[*] jsEncrypterJS start!");
  console.log("[+] address: http://"+host+":"+port);
}else{
  console.log('[*] load js fail!');
}
var service = server.listen(1664, function(request, response){
  try{
    if(request.method == 'POST'){
      var payload = request.post['payload'];
      var encrypt_payload = js_encrypt(payload); 
      var log = payload + ':' + encrypt_payload;
      console.log('[+] ' + log);
            fs.write(logfile,log + '\n', 'w+');
      response.statusCode = 200;
      response.write(encrypt_payload.toString());
      response.close();
    }else{
        response.statusCode = 200;
        response.write("^_^\n\rhello jsEncrypter!");
        response.close();
    }
  }catch(e){
    //console.log('[Error]'+e.message+' happen '+e.line+'line');
    console.log('\n-----------------Error Info--------------------')
    var fullMessage = "Message: "+e.toString() + ':'+ e.line;
    for (var p in e) {
      fullMessage += "\n" + p.toUpperCase() + ": " + e[p];
    } 
    console.log(fullMessage);
    console.log('---------------------------------------------')
    console.log('[*] phantomJS exit!')
    phantom.exit();
    } 
});