17、渗透测试中的远程 shell 与反恶意软件规避技术

渗透测试中的远程 shell 与反恶意软件规避技术

1. 绑定 shell 与反向 shell 概述

渗透测试人员在目标主机系统和攻击机之间会使用绑定 shell（bind shell）和反向 shell（reverse shell）。

绑定 shell 场景

假设目标位于公共网络（如互联网）且有公共 IP 地址，而攻击机在防火墙后面。默认情况下，防火墙会阻止从互联网到内部网络的流量，因为防火墙配置为阻止从低信任网络区域到高信任网络区域的流量。若要连接目标，需从高信任网络区域（如内部网络）向低信任网络区域建立连接。
若目标系统运行监听器，可将其配置为绑定到 Windows 命令提示符或 Linux 终端 shell，并关联目标的 IP 地址和唯一服务端口号。这样攻击机就能通过目标的公共 IP 地址和端口号连接目标，在目标系统上获得远程绑定 shell。
例如，目标系统使用 Netcat 或 Metasploit 等工具创建监听器，这些工具将系统的 IP 地址和端口与 shell 绑定。目标监听所有传入连接，并为建立会话的设备提供 shell。攻击机通过绑定 shell 连接目标后，就能在目标系统上远程执行命令和代码。

graph LR
    A[攻击机（防火墙后）] -->|连接| B[目标系统（公共网络）]
    B -->|提供 shell| A

反向 shell 场景

假设目标系统在私有企业网络内，而攻击机在互联网上。若尝试从互联网向内部网络建立会话，会被阻止。但在反向 shell 中，目标