企业官网建设流程全解析

PortBender终极指南：TCP端口重定向工具如何改变网络安全测试格局

【免费下载链接】PortBenderTCP Port Redirection Utility项目地址: https://gitcode.com/gh_mirrors/po/PortBender

PortBender是一款强大的TCP端口重定向工具，能够帮助网络安全测试人员将入站流量从一个TCP端口（如445/TCP）重定向到另一个TCP端口（如8445/TCP），为红队操作和渗透测试提供灵活的网络流量控制能力。

什么是PortBender？核心功能解析

PortBender作为一款专业的TCP端口重定向实用工具，其设计初衷是为红队操作人员提供隐蔽的网络流量重定向解决方案。该工具采用反射DLL（Reflective DLL）实现，这意味着它可以与任何支持"ReflectiveLoader"接口的C2框架集成，而不仅仅局限于Cobalt Strike。

两大核心工作模式

PortBender主要提供两种操作模式，满足不同场景下的网络测试需求：

1. 重定向模式（Redirector Mode）

在这种模式下，任何连接到目标端口（如445/TCP）的流量都会被自动重定向到指定的替代端口（如8445/TCP）。这一功能特别适用于需要绕过端口限制或进行流量转发的场景。

2. 后门模式（Backdoor Mode）

后门模式提供了更高级的访问控制机制。只有当攻击者向目标端口（如443/TCP）发送特定格式的TCP数据包时，流量才会被重定向。发送者的IP地址会被添加到后门客户端列表，之后所有来自该IP的流量都会被重定向到替代端口（如3389/TCP）。这一机制模拟了Duqu 2.0威胁 actor使用的"PortServ.sys"持久化技术。

PortBender的技术架构与实现原理

PortBender的核心技术基于WinDivert库，该库利用Windows过滤平台（WFP）来拦截和修改网络流量。其设计在很大程度上受到了同样使用WinDivert库的DivertTCPConn工具的启发。

关键组件与文件

• 反射DLL注入组件：src/PortBender/ReflectiveDLLInjection.h 和 src/PortBender/ReflectiveLoader.c 实现了反射式DLL注入功能，使工具能够在目标系统上隐蔽加载。

• WinDivert集成：src/PortBender/WinDivert.cpp 和 src/PortBender/WinDivert.h 文件负责与WinDivert库交互，实现网络流量的拦截与重定向。

• 连接管理：src/PortBender/ConnectionManager.cpp 和 src/PortBender/ConnectionManager.h 处理连接的建立、跟踪和管理。

• Cobalt Strike集成脚本：static/PortBender.cna 提供了与Cobalt Strike的集成能力，方便在红队操作中使用。

快速上手：PortBender安装与基础配置

要开始使用PortBender，需要完成以下几个简单步骤：

1. 获取源代码

首先克隆项目仓库到本地：

git clone https://gitcode.com/gh_mirrors/po/PortBender

2. 编译项目

项目使用Visual Studio解决方案进行构建，打开 src/PortBender.sln 解决方案文件，选择适当的配置（Debug/Release）和平台（x86/x64），然后编译生成PortBender.dll。

3. 准备WinDivert驱动文件

PortBender需要WinDivert驱动文件的支持。项目中已包含32位和64位版本的驱动文件：

• static/WinDivert32.sys - 32位系统驱动
• static/WinDivert64.sys - 64位系统驱动

根据目标系统的架构，将相应的驱动文件上传到目标主机。

实战指南：PortBender的两种使用方法

方法一：重定向模式使用详解

重定向模式是PortBender最常用的功能，适用于将特定端口的流量转发到另一个端口。

基本语法

PortBender redirect FakeDstPort RedirectedPort

操作步骤

1. 在Cobalt Strike中导入PortBender.cna脚本
2. 在beacon中执行重定向命令：

beacon> PortBender redirect 445 8445

这条命令会将所有发往445端口的流量重定向到8445端口。

典型应用场景：SMB中继攻击

重定向模式非常适合用于SMB中继攻击。通过将445端口（SMB服务）的流量重定向到运行攻击者SMB服务的8445端口，可以轻松实施中继攻击，获取目标系统的访问权限。

方法二：后门模式高级应用

后门模式提供了一种隐蔽的持久化机制，只有知道特定"密码"的客户端才能触发流量重定向。

基本语法

PortBender backdoor FakeDstPort RedirectedPort Password

操作步骤

1. 在目标系统上部署PortBender后门：

beacon> PortBender backdoor 443 3389 praetorian.antihacker

这条命令会在443端口上设置后门，当带有"praetorian.antihacker"关键字的特定TCP数据包到达时，将流量重定向到3389端口（远程桌面服务）。

2. 从攻击机发送包含特定关键字的数据包，触发重定向
3. 之后所有来自该攻击机IP的流量都会被重定向

典型应用场景：互联网-facing服务器持久化

后门模式特别适用于在已 compromised 的互联网-facing服务器（如IIS web服务器）上建立持久化访问。通过443端口（HTTPS）作为入口，既不容易引起怀疑，又能提供可靠的访问通道。

PortBender在网络安全测试中的价值与优势

1. 隐蔽性强

采用反射DLL注入技术，不需要将DLL文件写入磁盘，减少了被检测的风险。

2. 灵活性高

支持与多种C2框架集成，不仅限于Cobalt Strike，适应不同的红队操作需求。

3. 功能独特

后门模式模拟了高级威胁 actor 的持久化技术，为安全测试提供了接近真实攻击场景的环境。

4. 基于成熟技术

建立在WinDivert库之上，利用Windows过滤平台（WFP）提供稳定可靠的流量控制能力。

总结：PortBender如何改变网络安全测试格局

PortBender通过提供灵活、隐蔽的TCP端口重定向能力，为网络安全测试人员和红队操作人员带来了新的可能性。它不仅简化了流量重定向的过程，还引入了类似高级威胁 actor 使用的持久化技术，使安全测试更加贴近真实攻击场景。

无论是进行端口转发、绕过安全控制，还是建立隐蔽的持久化访问通道，PortBender都展现出了其在网络安全测试中的独特价值。对于希望提升红队操作能力和网络渗透测试水平的安全专业人员来说，PortBender无疑是一个值得掌握的强大工具。

参考资料

• Arno0x0x的DivertTCPConn项目
• Stephen Fewer的Reflective DLL Injection技术
• Basil00的WinDivert库
• Francisco Dominguez关于Windows上SMB中继的研究

【免费下载链接】PortBenderTCP Port Redirection Utility项目地址: https://gitcode.com/gh_mirrors/po/PortBender