教学文档：内网MSF无法接收公网服务器回弹权限的原理与解决方案
文档版本： 1.0
目标读者： 网络安全爱好者、渗透测试初学者
前置知识： 了解基本网络概念（IP地址、端口）、熟悉Metasploit框架基础操作。
一、 问题概述
在渗透测试过程中，一个常见的场景是：攻击者处于内网环境（如家庭或公司网络），试图攻击一个公网服务器，并希望获取一个反向Shell（Reverse Shell）连接回自己的攻击机器。
许多初学者会直接使用内网攻击机上的MSF（Metasploit Framework）生成Payload并监听，却发现攻击虽然成功执行，但始终无法接收到公网服务器回弹的Meterpreter会话。本文将深入剖析其根本原因，并提供明确的解决方案。
二、 模拟场景
为了清晰地说明问题，我们设定以下场景：
- 攻击机（Attacker）： 一台位于内网的笔记本电脑。
- 网络环境： 通过Wi-Fi或网线连接到一个路由器。
- IP地址： 内网私有IP，例如
192.168.1.105。 - 工具： 运行着MSF。
- 目标机（Target）： 一台部署在公网的Linux服务器。
- 网络环境： 拥有独立的公网IP。
- 漏洞： 存在一个已知的RCE漏洞（如文中提到的Solr组件漏洞）。
- 攻击动作： 使用内网攻击机的MSF对公网目标服务器进行渗透，并配置使用
reverse_tcp类型的Payload。
三、 核心原理：为什么无法收到回弹会话？
问题的根源在于网络地址转换（NAT） 和连接发起方的差异。整个通信过程可以分为两个阶段：
阶段一：内网攻击机主动发起攻击（出站连接）
- 攻击发起： 攻击机（
192.168.1.105）向公网服务器（222.xx.xx.xx）的漏洞端口发送攻击数据。数据包源地址为192.168.1.105:12345（随机高端口）。 - 经过路由器（NAT转换）： 数据包到达内网路由器。路由器会执行一个关键操作：
- 记录映射关系： 在它的NAT转换表中创建一条记录：
内网IP:端口 192.168.1.105:12345->公网IP:新端口 223.xx.xx.xx:56789。 - 修改数据包： 将数据包的源IP和端口替换为路由器自己的公网IP和新分配的端口（
223.xx.xx.xx:56789），然后转发给公网服务器。
- 记录映射关系： 在它的NAT转换表中创建一条记录：
- 到达目标： 公网服务器收到攻击数据包，它认为攻击来自
223.xx.xx.xx:56789。漏洞被触发，Payload成功执行。
阶段二：公网服务器尝试回弹连接（入站连接）
- 回弹尝试： 执行成功的Payload会按照预设的“回弹地址”（LHOST）发起连接。假设LHOST被设置为攻击机的公网IP（
223.xx.xx.xx），回弹端口（LPORT）为4444。 - 到达路由器： 回弹连接请求数据包的目标地址是
223.xx.xx.xx:4444。路由器收到了这个请求。 - 关键问题出现： 路由器此时会查找它的NAT表，试图找到一条规则，告诉它应该将发往
公网IP:4444的流量转发给哪个内网机器。- 然而，NAT表中只有阶段一创建的记录（关于端口
56789的），并没有关于端口4444的任何记录。 - 这条回弹连接是由公网服务器主动发起的，对于路由器来说，这是一个“未经请求”的入站连接。
- 然而，NAT表中只有阶段一创建的记录（关于端口
- 连接丢弃： 由于路由器找不到对应的转发规则，并且出于安全考虑，默认会拒绝所有未被主动请求的入站连接。因此，路由器会直接将这个回弹数据包丢弃。连接在路由器处被阻断，根本无法到达内网的攻击机。
通俗类比：
- 正常访问网站（如百度）： 好比是你（内网机器）主动给朋友（百度服务器）打电话。朋友接电话后，根据来电显示回拨给你，这个回拨是顺畅的。
- 权限回弹失败： 好比是你让一个陌生人（公网服务器）给你家座机（路由器公网IP）打电话。但你家座机没有呼叫转移功能（端口映射），接线员（路由器）接到电话后，不知道这个电话是找家里哪个人（哪台内网机器）的，于是就说“打错了”然后挂断。
四、 解决方案：配置端口映射（Port Forwarding）
解决此问题的核心思路是：提前在路由器上设置一条规则，明确告知路由器“所有发送到我公网IP特定端口的流量，请直接转发给内网的某台机器”。 这个操作通常被称为“端口映射”、“虚拟服务器”或“NAT转发”。
操作步骤：
-
信息收集：
- 内网攻击机IP： 在内网攻击机上执行
ipconfig(Windows) 或ifconfig(Linux/macOS)，记下IP地址，例如192.168.1.105。 - 公网IP： 打开浏览器访问
ip.cn或whatismyip.com，记下路由器的公网IP，例如223.xx.xx.xx。 - 监听端口： 确定一个MSF将要监听的端口，建议选择
1024-65535之间的端口，例如4444。
- 内网攻击机IP： 在内网攻击机上执行
-
配置路由器：
- 登录路由器管理后台（通常是
192.168.1.1或192.168.0.1，详见路由器背面标签）。 - 寻找“端口映射”、“虚拟服务器”、“NAT转发”或“高级设置”下的类似功能。
- 添加一条新规则，填写以下信息：
- 外部端口/服务端口：
4444(与MSF监听端口一致) - 内部IP地址：
192.168.1.105(你的内网攻击机IP) - 内部端口：
4444(攻击机MSF监听的端口) - 协议：
TCP(MSF的reverse_tcpPayload使用TCP协议)
- 外部端口/服务端口：
- 保存并启用该规则。
- 登录路由器管理后台（通常是
-
配置并启动MSF：
- 生成Payload时，
LHOST参数必须设置为路由器的公网IP（223.xx.xx.xx），LPORT设置为映射的端口（4444）。 - 启动MSF监听器时，配置如下：
msf6 > use exploit/multi/handler msf6 exploit(multi/handler) > set PAYLOAD windows/meterpreter/reverse_tcp # 根据目标系统选择 msf6 exploit(multi/handler) > set LHOST 0.0.0.0 # 监听本机所有网络接口 msf6 exploit(multi/handler) > set LPORT 4444 # 与映射端口一致 msf6 exploit(multi/handler) > run
- 生成Payload时，
配置后的成功流程：
当公网服务器执行Payload并向 223.xx.xx.xx:4444 发起回弹连接时，路由器会根据我们预设的端口映射规则，准确地将连接请求转发给内网的 192.168.1.105:4444，从而被MSF监听器成功接收。
五、 补充说明
-
公网服务器为何可以直接接收？
因为公网服务器拥有独立的公网IP，通信是直接的点对点方式，没有内网路由器NAT的阻隔，所以不存在此问题。 -
与容器端口映射的类比
文末提到的Docker端口映射（如-p 12456:8983）原理与此类似，都是将外部对宿主机某个端口的访问，转发到内部容器的服务端口。
六、 总结
| 关键点 | 错误理解 | 正确理解与操作 |
|---|---|---|
| 回弹地址（LHOST） | 设置为内网攻击机的IP（192.168.1.105） |
必须设置为路由器的公网IP（223.xx.xx.xx） |
| 网络障碍 | 认为是防火墙或Payload问题 | 根本原因是路由器的NAT机制阻止了未经映射的入站连接 |
| 解决方案 | 无计可施 | 在攻击机所在网络的路由器上配置端口映射 |
| MSF监听LHOST | 设置为公网IP | 监听器LHOST应设置为 0.0.0.0，表示监听本机所有IP。 |
通过理解NAT原理并掌握端口映射技术，即可成功解决内网MSF无法接收公网回弹权限这一常见难题。