Ligolo-ng 双跳网络配置中的常见问题解析

概述

在使用Ligolo-ng进行安全测试时，双跳网络配置是一个常见但容易出错的环节。本文将详细分析一个典型的配置错误案例，帮助安全研究人员正确设置双跳网络环境。

问题现象

在HTB安全测试实验室环境中，当尝试建立双跳网络时，用户遇到了"connection refused"错误。具体表现为：

1. 在Evil-WinRM环境下执行网络转发
2. 拥有目标机器的root/administrator权限
3. 尝试建立从外部端口到本地端口的转发时连接被拒绝

根本原因分析

经过深入排查，发现问题出在网络监听端口与转发规则的配置不匹配上。具体表现为：

1. 网络服务启动时指定了监听443端口：

   ./proxy -selfcert -laddr 0.0.0.0:443
   

2. 但在创建转发规则时，却错误地配置为转发到13000端口：

   listener_add --addr 0.0.0.0:12000 --to 127.0.0.1:13000 --tcp
   

这种不匹配导致连接请求被发送到一个未监听的端口，从而触发"connection refused"错误。

正确配置方法

要实现正确的双跳网络配置，必须确保：

1. 网络监听端口与转发目标端口一致
2. 转发规则中的回环地址端口必须匹配网络监听端口

正确的配置示例如下：

1. 启动网络服务监听443端口：

   ./proxy -selfcert -laddr 0.0.0.0:443
   

2. 创建转发规则时，目标端口必须设置为443：

   listener_add --addr 0.0.0.0:12000 --to 127.0.0.1:443 --tcp
   

技术要点

1. 端口一致性原则：在网络转发配置中，目标端口必须与网络服务实际监听的端口完全一致。

2. 回环地址使用：当在同一主机上进行端口转发时，使用127.0.0.1地址可以确保流量不会离开本地主机，提高安全性。

3. 多层网络注意事项：

   • 每一跳的网络都需要独立的监听端口
   • 转发规则需要逐级正确配置
   • 建议使用不同端口区分各层网络

最佳实践建议

1. 端口规划：提前规划好各层网络使用的端口，避免冲突。

2. 配置检查：在应用配置前，使用netstat或ss命令验证端口监听状态。

3. 日志记录：启用网络服务的详细日志，便于排查问题。

4. 测试验证：先使用简单场景测试网络功能，确认基本转发正常后再构建复杂环境。

总结

Ligolo-ng作为一款强大的网络工具，在正确配置下能够实现复杂的网络穿透。理解端口转发的基本原理和确保配置一致性是成功建立网络通道的关键。通过本文的分析和正确配置示例，安全研究人员可以避免类似的配置错误，提高安全测试效率。