核心問題： 代理（agent）成功站上目標機器之後，下一個難題往往不是「還有什麼漏洞」，而是**「連線根本不通」**——目標在內網、沒有對外網路、中間有防火牆。隧道技術就是為了解決這個問題。 本文角度： 原理圖解與防禦偵測。所有內容為公開專案的架構研讀，不含操作步驟。
為什麼「進了門」之後反而更難
假設一個代理已經在目標伺服器上取得執行權限。此時它面對的處境是：
- 目標沒有對外網路（很多內網機器的預設狀態）；
- 防火牆只允許特定協定（例如只放行 HTTP/HTTPS）；
- 目標所在網段與攻擊機之間沒有路由。
這意味著：即使拿到了執行權限，每一次操作都要先「想辦法把指令送進去、把結果拿出來」。如果每次都靠最原始的方式（例如把指令寫進網頁請求參數），效率極低，而且日誌噪音極大。
隧道技術就是把這條「繞路」變成一條穩定的通道：一旦建立，後續所有工具流量都走這條路，就像在兩地之間鋪了一條專線。
三種主流做法：原理各不相同
做法一：SOCKS5 代理（代表工具：chisel）
資料流： 攻擊機執行 server → 目標執行 client → 雙方用 WebSocket/HTTP 建立連線 → 在目標端開出一個 SOCKS5 代理端口。
之後攻擊機上的任何工具，只要設定「proxy = 那個端口」，流量就會自動經由目標轉發。
適用： 目標能主動對外發起連線（至少能連到攻擊機的監聽端口）。
特徵： 通道是「應用層代理」，工具相容性極好（幾乎所有工具都支援 SOCKS5）。
做法二：HTTP 偽裝隧道（代表工具：suo5）
資料流： 目標端部署一段「看起來像普通網頁」的程式（例如一個 PHP/JSP 檔案）→ 攻擊機用正常的 HTTP 請求與它通訊 → 指令與結果藏在請求／回應的內容裡。
關鍵差異： 因為通訊完全長得像一般的網頁瀏覽，目標不需要能主動出網——只要有一個可被訪問的 Web 服務就夠了。
適用： 目標在防火牆後、只能透過既有 Web 服務單向通訊。
代價： 通道效率受 HTTP 請求／回應往返限制，且需要先在目標上放一個檔案（這一步本身就是可被發現的痕跡）。
做法三：TUN 虛擬網卡（代表工具：ligolo-ng）
資料流： 目標執行 agent → 攻擊機執行 proxy → 建立一條 TUN（虛擬網路介面）→ 攻擊機的操作系統直接多出一張網卡。
最直觀的比喻： 前面兩種做法是「在兩地之間拉一條線」；這一種是直接把目標內網「接」成你本機的一個網路介面。之後你可以直接用內網 IP 存取，不需要為每個端口單獨做轉發。
適用： 需要長期、大量、跨協定存取內網時。
代價： 需要在攻擊機建立虛擬網卡（需要較高權限），部署門檻較高。
三者的選擇邏輯
| 情境 | 建議做法 | 原因 |
|---|---|---|
| 目標能出網，只需轉發部分流量 | SOCKS5 代理 | 工具相容性最好、部署最簡單 |
| 目標不能出網，但有可訪問的 Web 服務 | HTTP 偽裝隧道 | 唯一可行的路徑 |
| 需要把整個內網當本機網路使用 | TUN 虛擬網卡 | 一次設定、全域可用 |
值得一提的是，開源代理式滲透平台在實作上普遍採用自動選型：先探測目標是否能出網、有哪些可用服務，再決定用哪一種。這個「探測—判斷—選擇」的流程，本身就是代理能力的一部分。
防守方能在流量上看到什麼
隧道技術的設計目標是「讓流量看起來正常」，但通道的建立過程往往留痕。可觀察的方向包括：
第一，對外連線的目的地異常。 內網伺服器主動對外發起長連線，本身就是值得關注的行為——尤其當目的地位址不屬於企業已知的服務範圍。
第二，單一連線的流量特徵。 隧道會把多種協定的流量壓縮進同一條連線。若某條連線同時出現資料庫協定、檔案共享協定、遠端桌面協定的特徵，這在正常業務中幾乎不可能出現。
第三，Web 服務目錄中出現的非業務檔案。 HTTP 偽裝隧道需要在目標上放置檔案。定期的檔案完整性檢查與目錄基線比對，是發現這類痕跡的基礎工作。
第四，連線時長與頻率的異常。 人工操作有休息、有間斷；自動化通道傾向於長時間保持連線並維持穩定的心跳。這種「過於規律」反而是特徵。
一句話： 隧道的目的是讓『通道』隱形，但它很難同時讓『通道建立與維持的行為』也隱形。
與 AI 代理的關係
隧道技術本身並不新。變化在於誰在決定何時開隧道、開哪一種。
傳統流程中，這是一個人類專家的判斷：他會先看目標環境、評估風險、再選擇手法。在代理式系統中，這個判斷被拆成「探測事實 → 寫入知識圖 → 由規劃者選擇適配的子系統」。這意味著：
- 速度更快：從發現到建立通道的時間被壓縮；
- 決策更一致：不一定更聰明，但更少遺漏常見情境；
- 但仍有瓶頸：公開的演練復盤顯示，環境不友善時（缺少工具、網路受限）系統會被迫走低效路徑，甚至做出錯誤判斷。
對防守方而言，這是一個可預期的變化：需要偵測的行為變得更「規律」，而非更「狡猾」——因為自動化本身就會產生規律性。
下一步
- 想了解隧道在整體攻擊鏈中的位置，可閱讀本系列個案導入一篇
- 想了解建立通道之後如何取得憑據，可閱讀憑據與 AD 概念層
- 想了解如何在隔離環境中安全研究此類工具，可閱讀隔離研究實務
- 想從防守角度系統性檢視，可閱讀從紅隊復盤看防禦