我Zui近在网上kan到有人问 反彈式 shell是什麼 ,, 先要了解用啥接收LINUX 反彈回來的 SHELL,Neng有像一般的终端有交互效果啊,我眼下用NC(linux和windowsdou用了... 这玩意儿问题我也琢磨过hen久 说白了就是一个听起来hen高大巨大上的名字其实就是个倒过来连线的玩意儿 没啥神秘 我就按我自己的搞懂瞎写一遍 巨大家凑合kan。

先說人話，反彈shell到底是個啥

普通情况下我们想连别人的电脑 就是我们这边当客户端 去敲敲敲别人的服务器端口 对吧 这叫正向连 正着来 反彈shell呢就跟你寄迅速递收不到一样 你不Neng往里头送 就只Neng让人家往外头寄给你 所以它叫 反彈 或者叫 回連 。轻巧松说 就是目标机器主动跑出来找你 你这边只管开着门等着 它一来你就有了它的命令行 就跟你本地开了个黑窗口一样 Neng打字Neng回显 但是这玩意儿窗口其实是在别人电脑上运行。

我第一次听说这玩意儿词的时候还以为是弹簧那种物理学的弹性 后来kan许多了才晓得 是网络里的一种 连接方向 被弄颠倒了 的手法 不懂的人会觉得hen玄乎 晓得的人一kan就懂 就是为了绕开那种只拦进不拦出的防火墙 基本上原因是hen许多公司网内电脑Neng上网 但是外部hen困难直接进来 所以干脆让里面主动出去 连到外面黑客自己架优良的监听点 上面一接通 那边就有控制权了。

为啥要搞这种倒着来的办法

基本上原因是现实周围里 防火墙一般比比kankan沉 入站流量 出站流量管得松 你去访问百度 访问谷歌 dou没事 Ru果黑客想直接从外面冲进来 那一准儿被拦住 但是Ru果先把钩子放在里面 让里面自己跑出去 那kan起来就像一次正常的http求或者别的啥普通的出站行为 记录里也不显眼 所以hen许多老手dou中意这么玩 不是基本上原因是许多牛逼 是基本上原因是优良钻空子。

说白了就是钻规则空子 你公司规则说不Neng随便开22端口进来 Neng随便出去浏览网页 那我就成浏览网页的样子 把控制通道偷偷搭起来 一旦搭起来 后面想干嘛干嘛 想kan文件 想拷东西 想再跳一层 dou方便得hen 这也是为啥 平安厂商一直喊要注意 出站异常 连接。

它是怎么一步步成立起来的 巨大概流程乱讲一下

虽然我不想写具体命令 不然会被骂教恶劣细小孩 但是流程巨大概Neng这么说 步 一旦连上了 两边的标准输入输出就被绑在一起 就像是你在本地打字 输入到那边 施行完后来啊又原路返回给你 kan起来就像你在操作对方电脑一样 就是个壳 一个命令行壳 所以叫 shell 反彈是基本上原因是方向被彈回来了。

这里面Zui关键的是第二步 怎么让对方施行那段代码 兴许是啥钓鱼邮件 兴许是啥漏洞利用 兴许是啥世间工事学诱导用户点一下 总之只要对方跑了一次那东西指令 连线就算成功了 以后就算断掉 再跑一次又Neng回来 hen烦人的那种。

用NC这玩意儿工具hen许多人提 到底是个啥关系

NC 也就是netcat 老古董工具 又叫瑞士军刀 在正经测试里用来Zuo端口探测 在不正经手里就Neng用来搭隧道 说白了我上面说的监听 和主动连这两个动作 用它douNengZuo 所以巨大家老拿它举例子 我个人linux windows dou装过 用起来确实方便 但也是双刃剑 用优良了是测试 用恶劣了就是入侵 这玩意儿东西本身没错 kan谁用怎么用。

有些新鲜手以为只要学会这一个工具就Neng无敌了 其实现实里远没那么轻巧松 防火墙策略 日志审计 端口管束 douNeng把它卡住 而且新潮的操作系统对异常的子进程创建 网络行为dou有监控 不是随便跑就Neng隐身了。

为啥这种东西hen凶险 又不优良防

先说说隐蔽性有力 基本上原因是它是出站 连接 日志里kan起来就像普通的上网行为 除非你细抠特征 不然hen困难一眼kan出问题 接下来一旦建立成功 控制权基本就交给对方了 对方Neng在里面装后门 提权 横向移动 再说说拿到域控 或者把数据打包偷走 这链条一旦展开亏本hen巨大 第三 它不是单一漏洞 而是一个后来啊 前端兴许是钓鱼 后端兴许是没劲口令 中间兴许是脚本 所以堵点hen困难堵死 只盯着一个入口没用。

再说防的问题 老式的边界防护只Nengkan着门口 进不来就行 但这种是里面自己跑出去 门口根本拦不住 所以光靠路由器防火墙不够 得kan终端行为 kan进程有没有异常启动 kan有没有不明程序尝试建立长远连接 kan有没有奇怪的子进程调用命令行 这些个细节才是关键 而这些个细节恰恰是Zui困难统一管控的地方 公司越巨大 设备越许多 管理本钱越高大 越轻巧松漏掉几个角落。

防着思路 不Neng光靠嘴结实 要许多层一起上

层是网络侧 出站流量要Zuo白名单 管控 非少许不了端口一律不许出去 第四层是终端侧 要有行为监控 Nengkan到谁在啥时候启动了啥进程 有没有尝试联网 有没有打开交互式会话 这玩意儿环节hen关键 基本上原因是hen许多成熟的平安产品 眼下dou主打的就是这种 端到端 的可视化 和实时阻断 比方说 迅速卫士-终端平安 这类产品 号称Neng监控命令行施行 和异常外联行为 Zuo实时告警拦截 对付这类反射式连接据说是挺有效的 当然实际效果要kan部署情况 不Neng神话产品。

再补充一点 日志集中化hen关键 单台主机日志轻巧松被删掉 Ru果全部日志汇总到SIEM Zuo关联琢磨 就Neng找到一些规律性的 出站尝试 同样的目的IP 同样的时候段 同样的进程名 这些个关联往往比单条日志geng有值钱 也gengNeng提前找到潜伏的问题 不要等到数据Yi经被拖走了才开头查。

再说说唠叨两句 细小结一下别走丢

总之 反彈shell 说白了就是一种把连接方向倒过来的手艺 利用内部主动出网的特点绕过老一套边界防护 一旦成功就Neng拿到远程命令行控制 对企业来说危害hen巨大 基本上原因是后续Neng无限延伸 防着也不Neng单靠一把锁 需要防病加检测加响应 许多层配合 才有兴许把凶险降下来 普通用户不用太恐慌 但也别乱下载乱点链接 企业用户geng得沉视 出站管控 和终端行为审计 这两块才是核心 我这篇文章写得有点乱 有错别字也有再来一次 巨大家将就着kan Neng明白个巨大概意思就行 真实要用专业知识还是去kan正规教材 别学我瞎掰。。